This update for otrs fixes the following security issues :

  - CVE-2016-9139: execution of JavaScript in OTRS context     by opening malicious attachment (OSA-2016-02,     bsc#1008017)

In addition, OTRS was updated to 3.3.16, containing all upstream improvements and bug fixes.

A cross-site sripting vulnerability (XSS) was discovered in OTRS, a ticket requesting system for the web. An attacker could trick an authenticated user into opening a malicious attachment which could lead to the execution of JavaScript in OTRS context. This update addresses the vulnerability by setting a strict default HTTP content security policy that forbids loading of third-party files.

For Debian 7 'Wheezy', these problems have been fixed in version 3.1.7+dfsg1-8+deb7u6.

We recommend that you upgrade your otrs2 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Florian Heinz and Martin Kluge reported that pdns-recursor, a recursive DNS server, parses all records present in a query regardless of whether they are needed or even legitimate, allowing a remote, unauthenticated attacker to cause an abnormal CPU usage load on the pdns server, resulting in a partial denial of service if the system becomes overloaded.

For Debian 7 'Wheezy', these problems have been fixed in version 3.3-3+deb7u2.

We recommend that you upgrade your pdns-recursor packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Open Ticket 4.0.x Request SystemOTRSのクロスサイトスクリプティングXSS 5.0.14 の脆弱性により 3.3.x 、リモートの攻撃者が 3.3.16、細工された添付ファイルを通じて、任意の Web スクリプトまたは HTML を注入すること 4.0.19が可能 5.0.x です。CVE-2016-9139

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

このotrsの更新では、次のセキュリティ問題が修正されます：

  - CVE-2016-9139：悪意のある添付ファイルを開くことで、OTRSコンテキストでJavaScriptが実行されます（OSA-2016-02、bsc#1008017）

さらにOTRSが3.3.16に更新されました。これにはすべてのUpstreamの強化とバグ修正が含まれています。

Web のチケットリクエストシステムである OTRS でクロスサイトスクリプティング脆弱性 (XSS) が発見されました。攻撃者は、認証されたユーザーをだまして悪意のある添付ファイルを開き、OTRS コンテキストで JavaScript を実行する可能性があります。このアップデートでは、サードパーティファイルの読み込みを禁止する厳格なデフォルト HTTP Content Security Policy を設定することで、脆弱性に対処します。Debian 7 'Wheezy' では、これらの問題はバージョン 3.1.7+dfsg1-8+deb7u6 で修正されています。お使いのotrs2パッケージのアップグレードをお勧めします。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Florian Heinz 氏と Martin Kluge 氏は、再帰 DNS サーバー である pdns-recursor が、必要か正当かに関わらずクエリに存在するすべてのレコードを解析し、リモートの認証されていない攻撃者が pdns サーバー上で異常な CPU 使用負荷を引き起こし、その結果、システムが過負荷になると、部分的なサーバー拒否が発生することを報告しました。Debian 7 'Wheezy' では、これらの問題はバージョン 3.3-3+deb7u2 で修正されています。お使いの pdns-recursor パッケージをアップグレードすることを推奨します。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 web 票證要求系統 OTRS 中發現一個跨網站指令碼 (XSS) 弱點。攻擊者可藉此誘騙經驗證的使用者開啟惡意附件，導致在 OTRS 內容中執行 JavaScript。此更新藉由設定嚴格的預設 HTTP 內容安全性原則來解決弱點，該安全性原則會禁止載入第三方檔案。針對 Debian 7「Wheezy」，這些問題已在 3.1.7+dfsg1-8+deb7u6 版本中修正。我們建議您升級 otrs2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Florian Heinz 和 Martin Kluge 报告递归 DNS 服务器 pdns-recursor 会解析查询中存在的所有记录，无论是否必需甚至是否合法，从而允许未经身份验证的远程攻击者在 pdns 服务器上造成异常的 CPU 使用负载，进而在系统过载时导致部分拒绝服务。对于 Debian 7“Wheezy”，这些问题已在 3.3-3+deb7u2 版本中修复。建议您升级 pdns-recursor 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 開放票證要求系統 (OTRS) 3.3.x 之前的 3.3.16、 4.0.x 之前的 4.0.19] 和 5.0.x 之前的 5.0.14 中有一個跨網站指令碼 (XSS) 弱點其允許遠端攻擊者透過特製附件插入任意 Web 指令碼或 HTML。 (CVE-2016-9139)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 3.3.16] 的开放票证请求系统 (OTRS) 3.3.x ]、低于 4.0.19的 4.0.x 以及低于 5.0.x 的 [ 5.0.14 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过构建的附件注入任意 Web 脚本或 HTML。 (CVE-2016-9139)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Florian Heinz 和 Martin Kluge 報告遞迴 DNS 伺服器 pdns-recursor 會剖析查詢中呈現的所有記錄，無論是否有必要或該記錄合法與否，未經驗證的遠端攻擊者可藉此造成 pdns 伺服器上出現異常的 CPU 使用量載入，導致系統過載時發生部分拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 3.3-3+deb7u2 版本中修正。建議您升級 pdns-recursor 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Cross-site scripting (XSS) vulnerability in Open Ticket Request System (OTRS) 3.3.x before 3.3.16, 4.0.x     before 4.0.19, and 5.0.x before 5.0.14 allows remote attackers to inject arbitrary web script or HTML via     a crafted attachment. (CVE-2016-9139)

Note that Nessus relies on the presence of the package as reported by the vendor.

在 web 票证请求系统 OTRS 中发现一个跨站脚本漏洞 (XSS)。攻击者可能诱使经身份验证的用户打开恶意附件，从而可能导致在 OTRS 环境中执行 JavaScript。此更新通过设置严格的默认 HTTP 内容安全策略禁止加载第三方文件，从而解决了此漏洞。对于 Debian 7“Wheezy”，这些问题已在 3.1.7+dfsg1-8+deb7u6 版本中修复。我们建议您升级 otrs2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名稱	產品	系列	已發布	已更新	嚴重性
94950	openSUSE Security Update : otrs (openSUSE-2016-1316)	Nessus	SuSE Local Security Checks	2016/11/18	2021/1/19	medium
96536	Debian DLA-787-1 : otrs2 security update	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium
96537	Debian DLA-788-1 : pdns-recursor security update	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium
253707	Linux Distros のパッチ未適用の脆弱性: CVE-2016-9139	Nessus	Misc.	2025/8/24	2025/8/24	medium
94950	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2016-1316）	Nessus	SuSE Local Security Checks	2016/11/18	2021/1/19	medium
96536	Debian DLA-787-1 : otrs2 セキュリティ更新	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium
96537	Debian DLA-788-1 : pdns-recursor セキュリティ更新	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium
96536	Debian DLA-787-1：otrs2 安全性更新	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium
96537	Debian DLA-788-1：pdns-recursor 安全更新	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium
253707	Linux Distros 未修補的弱點：CVE-2016-9139	Nessus	Misc.	2025/8/24	2025/8/24	medium
253707	Linux Distros 未修补的漏洞：CVE-2016-9139	Nessus	Misc.	2025/8/24	2025/8/24	medium
96537	Debian DLA-788-1：pdns-recursor 安全性更新	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium
253707	Linux Distros Unpatched Vulnerability : CVE-2016-9139	Nessus	Misc.	2025/8/24	2025/8/24	medium
96536	Debian DLA-787-1：otrs2 安全更新	Nessus	Debian Local Security Checks	2017/1/17	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium