This update for otrs fixes the following issues :

Update to version 4.0.33.

Security issues fixed :

  - CVE-2018-19141: Fixed privilege escalation, that an     attacker who is logged into OTRS as an admin user cannot     manipulate the URL to cause execution of JavaScript in     the context of OTRS.

  - CVE-2018-19143: Fixed remote file deletion, that an     attacker who is logged into OTRS as a user cannot     manipulate the submission form to cause deletion of     arbitrary files that the OTRS web server user has write     access to.

Non-security issues fixed :

  - Full release notes can be found at :

  - https://community.otrs.com/release-notes-otrs-4-patch-level-33/

Two security vulnerabilities were discovered in OTRS, a Ticket Request System, that may lead to privilege escalation or arbitrary file write.

CVE-2018-19141

An attacker who is logged into OTRS as an admin user may manipulate the URL to cause execution of JavaScript in the context of OTRS.

CVE-2018-19143

An attacker who is logged into OTRS as a user may manipulate the submission form to cause deletion of arbitrary files that the OTRS web server user has write access to.

Please also read the upstream advisory for CVE-2018-19141. If you think you might be affected then you should consider to run the mentioned clean-up SQL statements to remove possible affected records.

https://community.otrs.com/security-advisory-2018-09-security-update-f or-otrs-framework/

For Debian 8 'Jessie', these problems have been fixed in version 3.3.18-1+deb8u7.

We recommend that you upgrade your otrs2 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このotrsの更新では、次の問題が修正されます：

バージョン4.0.33に更新してください。

修正されたセキュリティ問題：

  - CVE-2018-19141：権限昇格を修正しました。この修正により、管理者ユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行するためにURLを操作できなくなります。

  - CVE-2018-19143：リモートファイル削除を修正しました。この修正により、ユーザーとしてOTRSにログインしている攻撃者が、OTRS Webサーバーのユーザーが書き込みアクセス権を持つ任意のファイルを削除するために送信フォームを操作することができなくなります。

セキュリティ以外の修正された問題：

  - 完全なリリースノートは次の場所にあります：

  - https://community.otrs.com/release-notes-otrs-4-patch-level-33/

チケットリクエストシステムであるOTRSに、権限昇格または任意のファイル書き込みにつながる可能性がある、2つのセキュリティ脆弱性が発見されました。

CVE-2018-19141

管理者ユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

CVE-2018-19143

ユーザーとしてOTRSにログインしている攻撃者が送信フォームを操作して、OTRS Webサーバーのユーザーが書き込みアクセス権を持つ任意のファイルを削除する可能性があります。

CVE-2018-19141のアップストリームアドバイザリーも参照してください。影響を受ける可能性があると思われる場合は、前述のクリーンアップSQLステートメントを実行し、影響を受ける可能性のあるレコードを削除することを検討してください。

https://community.otrs.com/security-advisory-2018-09-security-update-f or-otrs-framework/

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u7で修正されました。

otrs2パッケージのアップグレードをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 OTRS (一種票證要求系統) 中發現兩個安全性弱點，可導致權限提升或任意檔案寫入。CVE-2018-19141 以 admin 使用者身分登入 OTRS 的攻擊者可以操縱該 URL，在 OTRS 內容中導致 JavaScript 執行。CVE-2018-19143 以使用者身分登入 OTRS 的攻擊者可以操縱提交表單，刪除 OTRS 網頁伺服器使用者具有寫入權限的任意檔案。請一併閱讀 CVE-2018-19141 的上游公告。如果您認為自己可能受到影響，則應考慮執行上述的清理 SQL 陳述式來刪除可能受影響的記錄。https://community.otrs.com/security-advisory-2018-09-security-update-f or-otrs-framework/。針對 Debian 8「Jessie」，這些問題已在 3.3.18-1+deb8u7 版本中修正。我們建議您升級 otrs2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

票证请求系统 OTRS 中发现两个安全漏洞，可能会造成权限提升或任意文件写入。CVE-2018-19141 以管理员用户身份登录 OTRS 的攻击者可能会操纵 URL 造成 OTRS 环境中执行 JavaScript。CVE-2018-19143 以用户身份登录 OTRS 的攻击者可能会操纵提交表单造成删除 OTRS web 服务器用户有权限写入的任意文件。另请阅读 CVE-2018-19141 的上游公告。如果您认为自己可能受到了影响，那么您可以考虑运行所提到的清理 SQL 语句，从而删除可能受影响的记录。https://community.otrs.com/security-advisory-2018-09-security-update-f or-otrs-framework/ 对于 Debian 8“Jessie”，这些问题已在 3.3.18-1+deb8u7 版本中修复。我们建议您升级 otrs2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

このotrsの更新では、次の問題を修正します：

バージョン4.0.33に更新してください。

修正されたセキュリティ問題：

  - CVE-2018-19141：権限昇格を修正しました。この修正により、管理者ユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行するためにURLを操作できなくなります。

  - CVE-2018-19143：リモートファイル削除を修正しました。この修正により、ユーザーとしてOTRSにログインしている攻撃者が、OTRS Webサーバーのユーザーが書き込みアクセス権を持つ任意のファイルを削除するために送信フォームを操作することができなくなります。

セキュリティ以外の修正された問題：

  - 完全なリリースノートは次の場所にあります：

  - https://community.otrs.com/release-notes-otrs-4-patch-level-33/

ID	Name	Product	Family	Published	Updated	Severity
123396	openSUSE Security Update : otrs (openSUSE-2019-973)	Nessus	SuSE Local Security Checks	3/27/2019	6/7/2024	medium
119120	Debian DLA-1592-1 : otrs2 security update	Nessus	Debian Local Security Checks	11/26/2018	1/11/2021	medium
123396	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2019-973）	Nessus	SuSE Local Security Checks	3/27/2019	6/7/2024	medium
119120	Debian DLA-1592-1: otrs2のセキュリティ更新	Nessus	Debian Local Security Checks	11/26/2018	1/11/2021	medium
119539	openSUSE Security Update : otrs (openSUSE-2018-1503)	Nessus	SuSE Local Security Checks	12/10/2018	7/16/2024	medium
119120	Debian DLA-1592-1：otrs2 安全性更新	Nessus	Debian Local Security Checks	11/26/2018	1/11/2021	medium
119120	Debian DLA-1592-1：otrs2 安全更新	Nessus	Debian Local Security Checks	11/26/2018	1/11/2021	medium
119539	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2018-1503）	Nessus	SuSE Local Security Checks	12/10/2018	7/16/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium