Debian DLA-1877-1：otrs2 安全性更新

medium Nessus Plugin ID 127920

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在著名的故障票證系統 otrs2 中已修正數個安全性問題。CVE-2018-11563 以客戶身份登入 OTRS 的攻擊者可以使用票證概觀畫面，來洩漏其客戶票證的內文資訊。CVE-2019-12746 以代理人身分登入 OTRS 的使用者可能在不知情的情況下，透過與第三方共用嵌入票證文章的連結來洩漏其工作階段 ID。然後可能會濫用此識別碼，來模擬代理使用者。CVE-2019-13458 以具有適當權限的代理使用者身分登入 OTRS 的攻擊者，可以利用範本中的 OTRS 標籤，洩漏經過雜湊的使用者密碼。因為　CVE-2019-12248　的修正不完整，所以無法再查看電子郵件附件。此更新正確實作新的 Ticket::Fronted::BlockLoadingRemoteContent 選項。針對 Debian 8「Jessie」，這些問題已在 3.3.18-1~deb8u11 版本中修正。我們建議您升級 otrs2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。