Debian DLA-1119-1：otrs2 安全性更新

high Nessus Plugin ID 103577

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

以代理程式身分登入票證要求系統 OTRS 的攻擊者若具備寫入統計資料的權限，即可藉此將任意程式碼插入系統中。此問題會導致如權限提升、資料遺失和拒絕服務等嚴重問題。此問題也稱為 CVE-2017-14635，已藉由升級至最新的 OTRS3 上游版本解決。****重要升級注意事項**** =============================== 此更新必須人為介入操作。強力建議在升級前備份所有檔案和資料庫。如果是使用 MySQL 後端，請閱讀 Debian 錯誤報告 #707075 及內附 README.Debian 檔案中提供的更多詳細資訊。如果發現更新後還是有啟用維護模式，建議您移除 /etc/otrs/maintenance.html 和 /var/lib/otrs/httpd/htdocs/maintenance.html 以解決問題。此外，此更新也解決了下列安全性弱點：CVE-2014-1695 OTRS 中存在跨網站指令碼 (XSS) 弱點，遠端攻擊者可藉此透過特製的 HTML 電子郵件，插入任意 web 指令碼或 HTML CVE-2014-2553 OTRS 中存在跨網站指令碼 (XSS) 弱點，經驗證的遠端使用者可藉此透過與動態欄位相關的向量，插入任意 web 指令碼或 HTML CVE-2014-2554 遠端攻擊者可利用 OTRS，透過 IFRAME 元素執行點擊劫持攻擊針對 Debian 7「Wheezy」，這些問題已在 3.3.18-1~deb7u1 版本中修正。我們建議您升級 otrs2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。