It has been discovered that OTRS (Open source Ticket Request System) is susceptible to code injection vulnerability. An attacker who is logged into OTRS as an agent or a customer user may upload a carefully crafted resource in order to cause execution of JavaScript in the context of OTRS. This is related to Content-type mishandling.

For Debian 8 'Jessie', this problem has been fixed in version 3.3.18-1+deb8u8.

We recommend that you upgrade your otrs2 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Otrs was updated to 5.0.42, fixing lots of bugs and security issues :

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10 :

  - Session / Password / Password token leak An attacker     with the ability to generate session IDs or password     reset tokens, either by being able to authenticate or by     exploiting OSA-2020-09, may be able to predict other     users session IDs, password reset tokens and     automatically generated passwords.

  - CVE-2020-1772 boo#1168029 OSA-2020-09 :

  - Information Disclosure It&rsquo;s possible to craft Lost     Password requests with wildcards in the Token value,     which allows attacker to retrieve valid Token(s),     generated by users which already requested new     passwords.

  - CVE-2020-1771 boo#1168030 OSA-2020-08 :

  - Possible XSS in Customer user address book Attacker is     able craft an article with a link to the customer     address book with malicious content (JavaScript). When     agent opens the link, JavaScript code is executed due to     the missing parameter encoding.

  - CVE-2020-1770 boo#1168031 OSA-2020-07 :

  - Information disclosure in support bundle files Support     bundle generated files could contain sensitive     information that might be unwanted to be disclosed.

  - CVE-2020-1769 boo#1168032 OSA-2020-06 :

  - Autocomplete in the form login screens In the login     screens (in agent and customer interface), Username and     Password fields use autocomplete, which might be     considered as security issue.

Update to 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - Installer refers to non-existing     documentation

  - added code to upgrade OTRS from 4 to 5

    READ UPGRADING.SUSE

  - steps 1 to 4 are done by rpm pkg

  - steps 5 to *END* need to be done manually cause of DB     backup

Update to 5.0.40

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02: Improper handling     of uploaded inline images Due to improper handling of     uploaded images it is possible in very unlikely and rare     conditions to force the agents browser to execute     malicious JavaScript from a special crafted SVG file     rendered as inline jpg file.

  - CVE-2020-1765, OSA-2020-01: Spoofing of From field in     several screens An improper control of parameters allows     the spoofing of the from fields of the following     screens: AgentTicketCompose, AgentTicketForward,     AgentTicketBounce and AgentTicketEmailOutbound

  - run bin/otrs.Console.pl Maint::Config::Rebuild after the     upgrade

  - Update 5.0.39     https://community.otrs.com/otrs-community-edition-5s-pat     ch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15: Denial of     service OTRS can be put into an endless loop by     providing filenames with overly long extensions. This     applies to the PostMaster (sending in email) and also     upload (attaching files to mails, for example).

  - CVE-2019-18179 OSA-2019-14: Information Disclosure An     attacker who is logged into OTRS as an agent is able to     list tickets assigned to other agents, which are in the     queue where attacker doesn&rsquo;t have permissions.

Update to 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375, boo#1156431 OSA-2019-13: Stored XXS An     attacker who is logged into OTRS as an agent or customer     user with appropriate permissions can create a carefully     crafted string containing malicious JavaScript code as     an article body. This malicious code is executed when an     agent compose an answer to the original article.

Update to 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458, boo#1141432, OSA-2019-12 :

    Information Disclosure An attacker who is logged into     OTRS as an agent user with appropriate permissions can     leverage OTRS tags in templates in order to disclose     hashed user passwords.

  - CVE-2019-13457, boo#1141431, OSA-2019-11 :

    Information Disclosure A customer user can use the     search results to disclose information from their     &ldquo;company&rdquo; tickets (with the same     CustomerID), even when     CustomerDisableCompanyTicketAccess setting is turned on.

  - CVE-2019-12746, boo#1141430, OSA-2019-10 :

    Session ID Disclosure A user logged into OTRS as an     agent might unknowingly disclose their session ID by     sharing the link of an embedded ticket article with     third parties. This identifier can be then potentially     abused in order to impersonate the agent user.

Update to 5.0.36

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09: Information     Disclosure In the customer or external frontend,     personal information of agents can be disclosed like     Name and mail address in external notes.

  - CVE-2019-12248, boo#1137615, OSA-2019-08: Loading     External Image Resources An attacker could send a     malicious email to an OTRS system. If a logged in agent     user quotes it, the email could cause the browser to     load external image resources.

Update to 5.0.35

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067, boo#1139406, OSA-2019-05 :

    Reflected and Stored XSS An attacker who is logged into     OTRS as an agent user with appropriate permissions may     manipulate the URL to cause execution of JavaScript in     the context of OTRS.

  - CVE-2019-9892, boo#1139406, OSA-2019-04 :

    XXE Processing An attacker who is logged into OTRS as an     agent user with appropriate permissions may try to     import carefully crafted Report Statistics XML that will     result in reading of arbitrary files of OTRS filesystem.

  - update missing CVE for OSA-2018-10, OSA-2019-01

Update to 5.0.34

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01: Stored XSS An     attacker who is logged into OTRS as an agent or a     customer user may upload a carefully crafted resource in     order to cause execution of JavaScript in the context of     OTRS.

Update to 5.0.33

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

Update to 5.0.26

- https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - remove obsolete

  - otrs-scheduler.service

  - otrs-scheduler.init This update was imported from the     openSUSE:Leap:15.1:Update update project.

Otrs was updated to 5.0.42, fixing lots of bugs and security issues :

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10 :

  - Session / Password / Password token leak An attacker     with the ability to generate session IDs or password     reset tokens, either by being able to authenticate or by     exploiting OSA-2020-09, may be able to predict other     users session IDs, password reset tokens and     automatically generated passwords.

  - CVE-2020-1772 boo#1168029 OSA-2020-09 :

  - Information Disclosure It&rsquo;s possible to craft Lost     Password requests with wildcards in the Token value,     which allows attacker to retrieve valid Token(s),     generated by users which already requested new     passwords.

  - CVE-2020-1771 boo#1168030 OSA-2020-08 :

  - Possible XSS in Customer user address book Attacker is     able craft an article with a link to the customer     address book with malicious content (JavaScript). When     agent opens the link, JavaScript code is executed due to     the missing parameter encoding.

  - CVE-2020-1770 boo#1168031 OSA-2020-07 :

  - Information disclosure in support bundle files Support     bundle generated files could contain sensitive     information that might be unwanted to be disclosed.

  - CVE-2020-1769 boo#1168032 OSA-2020-06 :

  - Autocomplete in the form login screens In the login     screens (in agent and customer interface), Username and     Password fields use autocomplete, which might be     considered as security issue.

Update to 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - Installer refers to non-existing     documentation

  - added code to upgrade OTRS from 4 to 5

    READ UPGRADING.SUSE

  - steps 1 to 4 are done by rpm pkg

  - steps 5 to *END* need to be done manually cause of DB     backup

Update to 5.0.40

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02: Improper handling     of uploaded inline images Due to improper handling of     uploaded images it is possible in very unlikely and rare     conditions to force the agents browser to execute     malicious JavaScript from a special crafted SVG file     rendered as inline jpg file.

  - CVE-2020-1765, OSA-2020-01: Spoofing of From field in     several screens An improper control of parameters allows     the spoofing of the from fields of the following     screens: AgentTicketCompose, AgentTicketForward,     AgentTicketBounce and AgentTicketEmailOutbound

  - run bin/otrs.Console.pl Maint::Config::Rebuild after the     upgrade

  - Update 5.0.39     https://community.otrs.com/otrs-community-edition-5s-pat     ch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15: Denial of     service OTRS can be put into an endless loop by     providing filenames with overly long extensions. This     applies to the PostMaster (sending in email) and also     upload (attaching files to mails, for example).

  - CVE-2019-18179 OSA-2019-14: Information Disclosure An     attacker who is logged into OTRS as an agent is able to     list tickets assigned to other agents, which are in the     queue where attacker doesn&rsquo;t have permissions.

Update to 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375, boo#1156431 OSA-2019-13: Stored XXS An     attacker who is logged into OTRS as an agent or customer     user with appropriate permissions can create a carefully     crafted string containing malicious JavaScript code as     an article body. This malicious code is executed when an     agent compose an answer to the original article.

Update to 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458, boo#1141432, OSA-2019-12 :

    Information Disclosure An attacker who is logged into     OTRS as an agent user with appropriate permissions can     leverage OTRS tags in templates in order to disclose     hashed user passwords.

  - CVE-2019-13457, boo#1141431, OSA-2019-11 :

    Information Disclosure A customer user can use the     search results to disclose information from their     &ldquo;company&rdquo; tickets (with the same     CustomerID), even when     CustomerDisableCompanyTicketAccess setting is turned on.

  - CVE-2019-12746, boo#1141430, OSA-2019-10 :

    Session ID Disclosure A user logged into OTRS as an     agent might unknowingly disclose their session ID by     sharing the link of an embedded ticket article with     third parties. This identifier can be then potentially     abused in order to impersonate the agent user.

Update to 5.0.36

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09: Information     Disclosure In the customer or external frontend,     personal information of agents can be disclosed like     Name and mail address in external notes.

  - CVE-2019-12248, boo#1137615, OSA-2019-08: Loading     External Image Resources An attacker could send a     malicious email to an OTRS system. If a logged in agent     user quotes it, the email could cause the browser to     load external image resources.

Update to 5.0.35

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067, boo#1139406, OSA-2019-05 :

    Reflected and Stored XSS An attacker who is logged into     OTRS as an agent user with appropriate permissions may     manipulate the URL to cause execution of JavaScript in     the context of OTRS.

  - CVE-2019-9892, boo#1139406, OSA-2019-04 :

    XXE Processing An attacker who is logged into OTRS as an     agent user with appropriate permissions may try to     import carefully crafted Report Statistics XML that will     result in reading of arbitrary files of OTRS filesystem.

  - update missing CVE for OSA-2018-10, OSA-2019-01

Update to 5.0.34

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01: Stored XSS An     attacker who is logged into OTRS as an agent or a     customer user may upload a carefully crafted resource in     order to cause execution of JavaScript in the context of     OTRS.

Update to 5.0.33

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

Update to 5.0.26

- https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - remove obsolete

  - otrs-scheduler.service

  - otrs-scheduler.init

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしたユーザーによって生成された有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性がありました。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

次への更新：5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - インストーラーが、存在しないドキュメントを参照します

  - OTRSを4から5にアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれで可能性は極めて低いですが、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから悪意のあるJavaScriptを実行するようエージェントのブラウザを強制できます。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、次の画面のfromフィールドのなりすましが可能になります：AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint: : Config: : Rebuildをアップグレード後に実行します

  - 次への更新：5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：過度に長い拡張子を持つファイル名を提供することで、サービス拒否OTRSを無限ループに入れることができます。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

次への更新：5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458、boo#1141432、OSA-2019-12：

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合であっても、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09：情報漏洩。顧客または外部フロントエンドで、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩される可能性があります。

  - CVE-2019-12248, boo#1137615, OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05：

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04：

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、入念に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、入念に細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init この更新は次からインポートされました：openSUSE: Leap: 15.1: 更新プロジェクトを更新します。

OTRS (オープンソースのチケットリクエストシステム) が、コードインジェクションの脆弱性の影響を受けやすくなっていることが判明しました。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRS のコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。これは、コンテンツタイプの不適切な処理が関係しています。

Debian 8 'Jessie'では、この問題はバージョン3.3.18-1+deb8u8で修正されました。

お使いのotrs2パッケージのアップグレードをお勧めします。

注意: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

- 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41に更新しました/

  - bug#14912 - インストーラーが存在しないドキュメントを参照します

  - OTRSを4から5へアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、エージェントのブラウザが悪意のあるJavaScriptを実行させることが可能です。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、以下の画面のfromフィールドのなりすましが可能になります。AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint：：Config：：Rebuildをアップグレード後に実行します

  - 5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39を更新/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：サービス拒否OTRSは、過度に長い拡張子を持つファイル名を提供することで、無限ループに陥る可能性があります。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、 boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

- 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37に更新しました/

  - CVE-2019-13458、boo#1141432、OSA-2019-12に更新してください

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合でも、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497、boo#1137614、OSA-2019-09：情報漏洩。顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

  - CVE-2019-12248、boo#1137615、OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05に更新してください

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04に更新してください

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、慎重に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752、boo#1122560、OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init

據發現，OTRS (開放原始碼票證要求系統) 容易發生程式碼插入弱點。以代理程式或客戶使用者身分登入 OTRS 的攻擊者可以上傳特製的資源，以在 OTRS 內容中導致 JavaScript 執行。這與 Content-type 處理不當相關。

針對 Debian 8「Jessie」，此問題已在 3.3.18-1+deb8u8 版本中修正。

我們建議您升級 otrs2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

开放票证请求系统 OTRS 中发现代码注入漏洞。以代理或客户用户身份登录 OTRS 的攻击者可能会上传精心构建的资源，从而造成 OTRS 环境中执行 JavaScript。此漏洞与内容类型不当处理有关。

对于 Debian 8“Jessie”，此问题已在 3.3.18-1~deb8u8 版本中修复。

我们建议您升级 otrs2 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	Name	Product	Family	Published	Updated	Severity
122956	Debian DLA-1721-1 : otrs2 security update	Nessus	Debian Local Security Checks	3/20/2019	6/13/2024	medium
140741	openSUSE Security Update : otrs (openSUSE-2020-1475)	Nessus	SuSE Local Security Checks	9/23/2020	5/13/2022	high
136023	openSUSE Security Update : otrs (openSUSE-2020-551)	Nessus	SuSE Local Security Checks	4/28/2020	5/16/2022	high
140741	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-1475）	Nessus	SuSE Local Security Checks	9/23/2020	5/13/2022	high
122956	Debian DLA-1721-1 : otrs2 セキュリティ更新	Nessus	Debian Local Security Checks	3/20/2019	6/13/2024	medium
136023	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-551）	Nessus	SuSE Local Security Checks	4/28/2020	5/16/2022	high
122956	Debian DLA-1721-1：otrs2 安全性更新	Nessus	Debian Local Security Checks	3/20/2019	6/13/2024	medium
122956	Debian DLA-1721-1：otrs2 安全更新	Nessus	Debian Local Security Checks	3/20/2019	6/13/2024	medium

Detections

Analytics

Plugins Search

medium

high

high

high

medium

high

medium

medium