Two security vulnerabilities were discovered in the Open Ticket Request System that could lead to information disclosure or privilege escalation. New configuration options were added to resolve those problems.

CVE-2019-12248

An attacker could send a malicious email to an OTRS system. If a logged in agent user quotes it, the email could cause the browser to load external image resources.

CVE-2019-12497

In the customer or external frontend, personal information of agents can be disclosed like Name and mail address in external notes.

For Debian 8 'Jessie', these problems have been fixed in version 3.3.18-1+deb8u10.

We recommend that you upgrade your otrs2 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Otrs was updated to 5.0.42, fixing lots of bugs and security issues :

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10 :

  - Session / Password / Password token leak An attacker     with the ability to generate session IDs or password     reset tokens, either by being able to authenticate or by     exploiting OSA-2020-09, may be able to predict other     users session IDs, password reset tokens and     automatically generated passwords.

  - CVE-2020-1772 boo#1168029 OSA-2020-09 :

  - Information Disclosure It&rsquo;s possible to craft Lost     Password requests with wildcards in the Token value,     which allows attacker to retrieve valid Token(s),     generated by users which already requested new     passwords.

  - CVE-2020-1771 boo#1168030 OSA-2020-08 :

  - Possible XSS in Customer user address book Attacker is     able craft an article with a link to the customer     address book with malicious content (JavaScript). When     agent opens the link, JavaScript code is executed due to     the missing parameter encoding.

  - CVE-2020-1770 boo#1168031 OSA-2020-07 :

  - Information disclosure in support bundle files Support     bundle generated files could contain sensitive     information that might be unwanted to be disclosed.

  - CVE-2020-1769 boo#1168032 OSA-2020-06 :

  - Autocomplete in the form login screens In the login     screens (in agent and customer interface), Username and     Password fields use autocomplete, which might be     considered as security issue.

Update to 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - Installer refers to non-existing     documentation

  - added code to upgrade OTRS from 4 to 5

    READ UPGRADING.SUSE

  - steps 1 to 4 are done by rpm pkg

  - steps 5 to *END* need to be done manually cause of DB     backup

Update to 5.0.40

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02: Improper handling     of uploaded inline images Due to improper handling of     uploaded images it is possible in very unlikely and rare     conditions to force the agents browser to execute     malicious JavaScript from a special crafted SVG file     rendered as inline jpg file.

  - CVE-2020-1765, OSA-2020-01: Spoofing of From field in     several screens An improper control of parameters allows     the spoofing of the from fields of the following     screens: AgentTicketCompose, AgentTicketForward,     AgentTicketBounce and AgentTicketEmailOutbound

  - run bin/otrs.Console.pl Maint::Config::Rebuild after the     upgrade

  - Update 5.0.39     https://community.otrs.com/otrs-community-edition-5s-pat     ch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15: Denial of     service OTRS can be put into an endless loop by     providing filenames with overly long extensions. This     applies to the PostMaster (sending in email) and also     upload (attaching files to mails, for example).

  - CVE-2019-18179 OSA-2019-14: Information Disclosure An     attacker who is logged into OTRS as an agent is able to     list tickets assigned to other agents, which are in the     queue where attacker doesn&rsquo;t have permissions.

Update to 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375, boo#1156431 OSA-2019-13: Stored XXS An     attacker who is logged into OTRS as an agent or customer     user with appropriate permissions can create a carefully     crafted string containing malicious JavaScript code as     an article body. This malicious code is executed when an     agent compose an answer to the original article.

Update to 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458, boo#1141432, OSA-2019-12 :

    Information Disclosure An attacker who is logged into     OTRS as an agent user with appropriate permissions can     leverage OTRS tags in templates in order to disclose     hashed user passwords.

  - CVE-2019-13457, boo#1141431, OSA-2019-11 :

    Information Disclosure A customer user can use the     search results to disclose information from their     &ldquo;company&rdquo; tickets (with the same     CustomerID), even when     CustomerDisableCompanyTicketAccess setting is turned on.

  - CVE-2019-12746, boo#1141430, OSA-2019-10 :

    Session ID Disclosure A user logged into OTRS as an     agent might unknowingly disclose their session ID by     sharing the link of an embedded ticket article with     third parties. This identifier can be then potentially     abused in order to impersonate the agent user.

Update to 5.0.36

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09: Information     Disclosure In the customer or external frontend,     personal information of agents can be disclosed like     Name and mail address in external notes.

  - CVE-2019-12248, boo#1137615, OSA-2019-08: Loading     External Image Resources An attacker could send a     malicious email to an OTRS system. If a logged in agent     user quotes it, the email could cause the browser to     load external image resources.

Update to 5.0.35

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067, boo#1139406, OSA-2019-05 :

    Reflected and Stored XSS An attacker who is logged into     OTRS as an agent user with appropriate permissions may     manipulate the URL to cause execution of JavaScript in     the context of OTRS.

  - CVE-2019-9892, boo#1139406, OSA-2019-04 :

    XXE Processing An attacker who is logged into OTRS as an     agent user with appropriate permissions may try to     import carefully crafted Report Statistics XML that will     result in reading of arbitrary files of OTRS filesystem.

  - update missing CVE for OSA-2018-10, OSA-2019-01

Update to 5.0.34

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01: Stored XSS An     attacker who is logged into OTRS as an agent or a     customer user may upload a carefully crafted resource in     order to cause execution of JavaScript in the context of     OTRS.

Update to 5.0.33

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

Update to 5.0.26

- https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - remove obsolete

  - otrs-scheduler.service

  - otrs-scheduler.init This update was imported from the     openSUSE:Leap:15.1:Update update project.

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしたユーザーによって生成された有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性がありました。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

次への更新：5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - インストーラーが、存在しないドキュメントを参照します

  - OTRSを4から5にアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれで可能性は極めて低いですが、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから悪意のあるJavaScriptを実行するようエージェントのブラウザを強制できます。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、次の画面のfromフィールドのなりすましが可能になります：AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint: : Config: : Rebuildをアップグレード後に実行します

  - 次への更新：5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：過度に長い拡張子を持つファイル名を提供することで、サービス拒否OTRSを無限ループに入れることができます。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

次への更新：5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458、boo#1141432、OSA-2019-12：

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合であっても、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09：情報漏洩。顧客または外部フロントエンドで、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩される可能性があります。

  - CVE-2019-12248, boo#1137615, OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05：

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04：

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、入念に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、入念に細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init この更新は次からインポートされました：openSUSE: Leap: 15.1: 更新プロジェクトを更新します。

リモートの Debian 10 ホストには、dla-3551 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Object.prototype が汚染されているため、Drupal、Backdrop CMS、および他の製品で使用されている、3.4.0 より前の jQuery が jQuery.extend(true,{}, ...) を誤って処理します。サニタイズされていないソースオブジェクトに列挙可能な
    __proto__ property が含まれている場合、ネイティブの Object.prototype を拡張できる可能性があります。(CVE-2019-11358)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.7、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。攻撃者が、悪意のあるメールを OTRS システムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。(CVE-2019-12248)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。顧客または外部フロントエンドでは、エージェントの個人情報 (外部注記の名前やメールアドレスなど) が漏洩する可能性があります。(CVE-2019-12497)

  - Open Ticket Request System (OTRS) Community Edition 5.0.x から 5.0.36、および 6.0.x から 6.0.19 で問題が見つかりました。エージェントとして OTRS にログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッション ID を漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。(CVE-2019-12746)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 5.0.x から 5.0.36、および 6.0.x から 6.0.19 で問題が見つかりました。適切な権限を持つエージェントユーザーとして OTRS にログインした攻撃者が、テンプレート内の OTRS 通知タグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。(CVE-2019-13458)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.11、Community Edition 5.0.x から 5.0.37、および 6.0.x から 6.0.22 で問題が見つかりました。適切な権限を持つエージェントまたは顧客ユーザーとしてログインした攻撃者が、悪意のある JavaScript コードを記事の本文として含む、巧みに細工された文字列を作成する可能性があります。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。
    (CVE-2019-16375)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.12、Community Edition 5.0.x から 5.0.38、および 6.0.x から 6.0.23 で問題が見つかりました。OTRS にエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。(CVE-2019-18179)

  - ((OTRS)) Community Edition および OTRS の PostMaster (電子メールの送信) またはファイルのアップロード (メールの添付など) で、過度に長い拡張子を持つファイル名が適切にチェックされません。この問題の影響を受ける対象: OTRS AG: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.38、および 6.0.x のバージョン 6.0.23 より前のバージョン。OTRS AG: OTRS 7.0.x のバージョン 7.0.12 より前のバージョン。(CVE-2019-18180)

  - 1.2 以降 3.5.0 より前のバージョンの jQuery では、信頼できないソースからの HTML を jQuery の DOM 操作メソッドの 1 つ (.html()、.append() など) に渡すと、HTML がサニタイズされた後でも、信頼できないコードが実行されることがあります。jQuery 3.5.0でこの問題に対するパッチが適用されています。(CVE-2020-11022)

  - 1.0.3以降 3.5.0より前のバージョンの jQuery では、信頼できないソースからの <option>要素を含む HTML を jQuery の DOM 操作メソッドの 1 つ (.html()、.append() など) に渡すと、HTML がサニタイズされた後でも、信頼できないコードが実行されることがあります。jQuery 3.5.0でこの問題に対するパッチが適用されています。
    (CVE-2020-11023)

  - パラメーターの制御が不適切であるため、
    AgentTicketCompose、AgentTicketForward、AgentTicketBounce および AgentTicketEmailOutbound 画面のスプーフィングが可能です。この問題の影響を受ける対象: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.39、および 6.0.x のバージョン 6.0.24 より前のバージョン。OTRS 7.0.x のバージョン 7.0.13 より前のバージョン。(CVE-2020-1765)

  - アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インライン jpg ファイルとしてレンダリングされる、特別に細工された SVG ファイルから、エージェントのブラウザが悪意のある javascript を実行させることが可能です。この問題の影響を受ける対象: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.39、および 6.0.x のバージョン 6.0.24 以前のバージョン。OTRS 7.0.x のバージョン 7.0.13 以前のバージョン。(CVE-2020-1766)

  - エージェント A は顧客返信用などの下書きを保存できます。その後、エージェント B は下書きを開き、テキストを完全に変更して、エージェント A の名前で送信できます。顧客には、メッセージが別のエージェントによって送信されたことは表示されません。この問題の影響を受ける対象: ((OTRS)) Community Edition 6.0.x のバージョン 6.0.24 以前のバージョン。OTRS 7.0.x のバージョン 7.0.13 以前のバージョン。(CVE-2020-1767)

  - ログイン画面 (エージェントおよび顧客のインターフェース内) では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。この問題の影響を受ける対象: ((OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1769)

  - サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。
    この問題の影響を受ける対象: ((OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。
    OTRS:7.0.15 以前のバージョン。(CVE-2020-1770)

  - 攻撃者が、悪意のあるコンテンツ (JavaScript) を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScript コードが実行されます。この問題の影響を受ける対象: ((OTRS)) Community Edition:6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1771)

  - トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。この問題の影響を受ける対象:
    ((OTRS)) Community Edition 5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1772)

  - 認証できるようにすることによってまたは OSA-2020-09 を悪用することによって、セッション ID またはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッション ID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。この問題の影響を受ける対象: (OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS: 7.0.15 以前のバージョン。(CVE-2020-1773)

  - ユーザーが PGP または S/MIME 鍵/証明書をダウンロードすると、エクスポートされたファイルに秘密鍵および公開鍵と同じ名前が付けられます。したがって、これらを組み合わせて、公開鍵ではなく秘密鍵をサードパーティに送信することが可能です。この問題の影響を受ける対象: (OTRS)) Community Edition:5.0.42 以前のバージョン、6.0.27 以前のバージョン。
    OTRS:7.0.16 以前のバージョン。(CVE-2020-1774)

  - エージェントユーザーの名前が変更されたり、無効に設定されたりすると、そのユーザーに属するセッションはアクティブに保たれます。エージェントが無効な場合、セッションを使用してチケットデータにアクセスすることはできません。この問題の影響を受ける対象: (OTRS)) Community Edition:6.0.28 以前のバージョン。OTRS:7.0.18 以前のバージョン、8.0.4 以前のバージョン。(CVE-2020-1776)

  - jQuery Validation Plugin は、既存のフォームに対するドロップイン検証を提供します。npm パッケージ jquery-validation として公開されています。バージョン 1.19.3 より前の jquery-validation には、ReDoS (正規表現サービス拒否) に対して脆弱な正規表現が 1 つ以上含まれています。これは 1.19.3で修正されています。
    (CVE-2021-21252)

  - メールの本文に特別に設計された URL が含まれていると、DoS 攻撃が実行される可能性があります。CPU 使用率が高くなり、サービスの質が低下したり、極端な場合にはシステムが停止したりする可能性があります。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.26 より前のバージョン、および 8.0.x のバージョン 8.0.13 より前のバージョン。(CVE-2021-21439)

  - 格納フォルダーが非表示でない場合、S/MIME および PGP の秘密鍵が生成されたサポートバンドルに含められます。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.27 より前のバージョン、および 8.0.x のバージョン 8.0.14 より前のバージョン。(CVE-2021-21440)

  - チケット概要画面に XSS の脆弱性があります。概要画面にメールを表示させて、さまざまな情報を収集することが可能です。特別に細工された電子メールをシステムに送信することで攻撃を実行でき、ユーザーによる操作は必要ありません。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.26 以前のバージョン。(CVE-2021-21441)

  - エージェントは、一括アクション画面で、必要な権限がなくても顧客ユーザーのメールを一覧表示できます。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition:6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS:
    7.0.27 より前の 7.0.x バージョン。(CVE-2021-21443)

  - エージェントが、必要な権限がなくてもカレンダーに予定を一覧表示させることができます。この問題の影響を受ける対象:
    OTRS AG ((OTRS)) Community Edition:6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS:7.0.27 より前の 7.0.x バージョン。(CVE-2021-36091)

  - OTRS システム構成の特別に細工された文字列を使用して、任意のシステムコマンドを実行できる可能性があります。
    (CVE-2021-36100)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「altField」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「altField」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「altField」オプションの値を受け入れないことです。
    (CVE-2021-41182)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「*Text」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。さまざまな「* Text」オプションに渡される値が、HTML ではなく常に純粋なテキストとして処理されるようになりました。回避策は、信頼できないソースからの「*Text」オプションの値を受け入れないことです。(CVE-2021-41183)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0 以前では、信頼されていないソースから「.position()」util の「of」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「of」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「of」オプションの値を受け入れないことです。(CVE-2021-41184)

  - OTRS AG OTRS、OTRS AG ((OTRS)) Community Edition での不適切な入力検証の脆弱性により、TicketSearch Webservice による SQL インジェクションが可能になります。この問題の影響を受ける対象: OTRS:7.0.40 パッチ 1 より前の 7.0.1 以降、8.0.28 パッチ 1 より前の 8.0.1 以降、((OTRS)) Community Edition:6.0.1 から 6.0.34 以降。(CVE-2022-4427)

  - OTRS ジェネリックインターフェースモジュールの TicketCreate または TicketUpdate 操作で添付ファイルの ContentType パラメーターの入力が適切に検証されないという脆弱性のため、認証された攻撃者が添付ファイルの ContentType ヘッダーに対してホストヘッダーインジェクションを実行する可能性があります。この問題の影響を受ける対象: OTRS:
    7.0.45 より前の 7.0.X 以降、8.0.35 より前の 8.0.X 以降、((OTRS)) Community Edition:6.0.1 から 6.0.34 以降。
    (CVE-2023-38060)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.8、Community Edition 6.0.x 至 6.0.19 和 Community Edition 5.0.x 至 5.0.36 中发现一个问题。在客户或外部前端中，外部注释可能会泄露代理的个人信息（如姓名和邮件地址）。(CVE-2019-12497)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Open Ticket Request Systemに、情報漏洩または権限昇格が発生する可能性のある2つのセキュリティ脆弱性が見つかりました。これらの問題を解決するため、新しい構成オプションが追加されました。

CVE-2019-12248

攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

CVE-2019-12497

顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u10で修正されました。

お使いのotrs2パッケージのアップグレードを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

开放票证请求系统中发现两个安全漏洞，可能会造成信息泄露或权限提升。这些问题已通过添加新的配置选项解决。CVE-2019-12248 攻击者这可能会向 OTRS 系统发送恶意电子邮件。如果已登录的代理用户引用了该电子邮件，则可能会造成浏览器加载外部图像资源。CVE-2019-12497 在客户或外部前端中，外部注释可能会泄露姓名和邮件地址等代理的个人信息。对于 Debian 8“Jessie”，这些问题已在 3.3:18-1+deb8u10 版本中修复。我们建议您升级 otrs2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.8、Community Edition 6.0.x 至 6.0.19 以及 Community Edition 5.0.x 至 5.0.36 中發現一個問題。 在客戶或外部前端中，可以在外部附註中公開專員的個人資訊 (例如姓名和郵件地址)。(CVE-2019-12497)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3551 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3551-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     August 31, 2023                               https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : otrs2     Version        : 6.0.16-2+deb10u1     CVE ID         : CVE-2019-11358 CVE-2019-12248 CVE-2019-12497 CVE-2019-12746                      CVE-2019-13458 CVE-2019-16375 CVE-2019-18179 CVE-2019-18180                      CVE-2020-1765 CVE-2020-1766 CVE-2020-1767 CVE-2020-1769                      CVE-2020-1770 CVE-2020-1771 CVE-2020-1772 CVE-2020-1773                      CVE-2020-1774 CVE-2020-1776 CVE-2020-11022 CVE-2020-11023                      CVE-2021-21252 CVE-2021-21439 CVE-2021-21440 CVE-2021-21441                      CVE-2021-21443 CVE-2021-36091 CVE-2021-36100 CVE-2021-41182                      CVE-2021-41183 CVE-2021-41184 CVE-2022-4427 CVE-2023-38060     Debian Bug     : 945251 959448 980891 989992 991593

    Multiple vulnerabilities were found in otrs2, the Open-Source Ticket     Request System, which could lead to impersonation, denial of service,     information disclosure, or execution of arbitrary code.

    CVE-2019-11358

        A Prototype Pollution vulnerability was discovered in OTRS' embedded         jQuery 3.2.1 copy, which could allow sending drafted messages as         wrong agent.

        This vulnerability is also known as OSA-2020-05.

    CVE-2019-12248

        Matthias Terlinde discovered that when an attacker sends a malicious         email to an OTRS system and a logged in agent user later quotes it,         the email could cause the browser to load external image resources.

        A new configuration setting Ticket::Frontend::BlockLoadingRemoteContent         has been added as part of the fix.  It controls whether external         content should be loaded, and it is disabled by default.

        This vulnerability is also known as OSA-2019-08.

    CVE-2019-12497

        Jens Meister discovered that in the customer or external frontend,         personal information of agents, like Name and mail address in         external notes, could be disclosed.

        New configuration settings Ticket::Frontend::CustomerTicketZoom###DisplayNoteFrom         has been added as part of the fix.  It controls if agent information         should be displayed in external note sender field, or be substituted         with a different generic name.  Another option named         Ticket::Frontend::CustomerTicketZoom###DefaultAgentName can then         be used to define the generic agent name used in the latter case.
        By default, previous behavior is preserved, in which agent         information is divulged in the external note From field, for the         sake of backwards compatibility.

        This vulnerability is also known as OSA-2019-09.

    CVE-2019-12746

        A user logged into OTRS as an agent might unknowingly disclose their         session ID by sharing the link of an embedded ticket article with         third parties.  This identifier can be then potentially abused in         order to impersonate the agent user.

        This vulnerability is also known as OSA-2019-10.

    CVE-2019-13458

        An attacker who is logged into OTRS as an agent user with         appropriate permissions can leverage OTRS tags in templates in order         to disclose hashed user passwords.

        This vulnerability is also known as OSA-2019-12.

    CVE-2019-16375

        An attacker who is logged into OTRS as an agent or customer user         with appropriate permissions can create a carefully crafted string         containing malicious JavaScript code as an article body.  This         malicious code is executed when an agent compose an answer to the         original article.

        This vulnerability is also known as OSA-2019-13.

    CVE-2019-18179

        An attacker who is logged into OTRS as an agent is able to list         tickets assigned to other agents, which are in the queue where         attacker doesn't have permissions.

        This vulnerability is also known as OSA-2019-14.

    CVE-2019-18180

        OTRS can be put into an endless loop by providing filenames with         overly long extensions.  This applies to the PostMaster (sending in         email) and also upload (attaching files to mails, for example).

        This vulnerability is also known as OSA-2019-15.

    CVE-2020-1765

        Sebastian Renker and Jonas Becker discovered an improper control of         parameters, which allows the spoofing of the From fields in several         screens, namely AgentTicketCompose, AgentTicketForward,         AgentTicketBounce and AgentTicketEmailOutbound.

        This vulnerability is also known as OSA-2020-01.

    CVE-2020-1766

        Anton Astaf'ev discovered that due to improper handling of uploaded         images, it is possible  in very unlikely and rare conditions  to         force the agents browser to execute malicious JavaScript from a         special crafted SVG file rendered as inline jpg file.

        This vulnerability is also known as OSA-2020-02.

    CVE-2020-1767

        Agent A is able to save a draft (i.e., for customer reply).  Then         Agent B can open the draft, change the text completely and send it         in the name of Agent A.  For the customer it will not be visible         that the message was sent by another agent.

        This vulnerability is also known as OSA-2020-03.

    CVE-2020-1769

        Martin Mller discovered that in the login screens (in agent and         customer interface), Username and Password fields use autocomplete,         which might be considered as security issue.

        A new configuration setting DisableLoginAutocomplete has been         added as part of the fix.  It controls whether to disable         autocompletion in the login forms, by setting the         autocomplete=off attribute to the login input fields.  Note that         some browsers ignore it by default (usually it can be changed in the         browser configuration).

        This vulnerability is also known as OSA-2020-06.

    CVE-2020-1770

        Matthias Terlinde discovered that the support bundle generated files         could contain sensitive information, such as user credentials.

        This vulnerability is also known as OSA-2020-07.

    CVE-2020-1771

        Christoph Wuetschne discovered that an attacker is able craft an         article with a link to the customer address book with malicious         content (JavaScript).  When agent opens the link, JavaScript code is         executed due to the missing parameter encoding.

        This vulnerability is also known as OSA-2020-08.

    CVE-2020-1772

        Fabian Henneke discovered that it is possible to craft Lost Password         requests with wildcards in the Token value, which allows an attacker         to retrieve valid Token(s), generated by users which already         requested new passwords.

        This vulnerability is also known as OSA-2020-09.

    CVE-2020-1773

        Fabian Henneke discovered that an attacker with the ability to         generate session IDs or password reset tokens, either by being able         to authenticate or by exploiting CVE-2020-1772, may be able to         predict other users session IDs, password reset tokens and         automatically generated passwords.

        The fix adds libmath-random-secure-perl to otrs2's Depends:.

        This vulnerability is also known as OSA-2020-10.

    CVE-2020-1774

        When a user downloads PGP or S/MIME keys/certificates, exported file         has same name for private and public keys.  It is therefore possible         to mix them and to send private key to the third-party instead of         public key.

        This vulnerability is also known as OSA-2020-11.

    CVE-2020-1776

        When an agent user is renamed or set to invalid the session         belonging to the user is keept active.  The session can not be used         to access ticket data in the case the agent is invalid.

        This vulnerability is also known as OSA-2020-13.

    CVE-2020-11022

        Masato Kinugawa discovered a Potential XSS vulnerability in OTRS'         embedded jQuery 3.2.1's htmlPrefilter and related methods.

        The fix requires patching embedded copies of fullcalendar (3.4.0),         fullcalendar-scheduler (1.6.2) and spectrum (1.8.0).

        This vulnerability is also known as OSA-2020-14.

    CVE-2020-11023

        Masato Kinugawa discovered a Potential XSS vulnerability in OTRS'         embedded jQuery 3.2.1 copy when appending HTML containing option         elements.

        This vulnerability is also known as OSA-2020-14.

    CVE-2021-21252

        Erik Krogh Kristensen and Alvaro Muoz from the GitHub Security Lab         team discovered a Regular Expression Denial of Service (ReDoS)         vulnerability in OTRS' embedded jQuery-validate 1.16.0 copy.

    CVE-2021-21439

        A Denial of Service (DoS) attack can be performed when an email         contains specially designed URL in the body.  It can lead to the         high CPU usage and cause low quality of service, or in extreme case         bring the system to a halt.

        This vulnerability is also known as OSA-2021-09 or ZSA-2021-03.

    CVE-2021-21440

        Julian Droste and Mathias Terlinde discovered that the Generated         Support Bundles contains private S/MIME and PGP keys when the parent         directory is not hidden.  Furthermore, secrets and PIN for the keys         are not masked properly.

        This vulnerability is also known as OSA-2021-10 or ZSA-2021-08.

    CVE-2021-21441

        There is a Cross-Site Scripting (XSS) vulnerability in the ticket         overview screens.  It is possible to collect various information by         having an e-mail shown in the overview screen.  An attack can be         performed by sending specially crafted e-mail to the system, which         does not require any user interaction.

        This vulnerability is also known as OSA-2021-11 or ZSA-2021-06.

    CVE-2021-21443

        Agents are able to list customer user emails without required         permissions in the bulk action screen.

        This vulnerability is also known as OSA-2021-13 or ZSA-2021-09.

    CVE-2021-36091

        Agents are able to list appointments in the calendars without         required permissions.

        This vulnerability is also known as OSA-2021-14 or ZSA-2021-10.

    CVE-2021-36100

        Rayhan Ahmed and Maxime Brigaudeau discovered that a specially         crafted string in the system configuration allows execution of         arbitrary system command.

        The fix 1/ removes configurable system commands from generic agents;
        2/ removes the MIME-Viewer### settings (the system command in         SysConfig option MIME-Viewer is now only configurable via         Kernel/Config.pm); 3/ removes dashboard widget support for execution         of system commands; and 4/ deactivates support for execution of         configurable system commands from Sendmail and PostMaster pre-filter         configurations.

        This vulnerability is also known as OSA-2022-03 or ZSA-2022-02.

    CVE-2021-41182

        Esben Sparre Andreasen discovered an XSS vulnerability in the         `altField` option of the Datepicker widget in OTRS' embedded         jQuery-UI 1.12.1 copy.

        This vulnerability is also known as ZSA-2022-01.

    CVE-2021-41183

        Esben Sparre Andreasen discovered an XSS vulnerability in the         `*Text` options of the Datepicker widget in OTRS' embedded jQuery-UI         1.12.1 copy.

        This vulnerability is also known as ZSA-2022-01.

    CVE-2021-41184

        Esben Sparre Andreasen discovered an XSS vulnerability in the `of`         option of the `.position()` util in OTRS' embedded jQuery-UI 1.12.1         copy.

        This vulnerability is also known as ZSA-2022-01.

    CVE-2022-4427

        Tim Pttmanns discovered an SQL injection vulnerability in         Kernel::System::Ticket::TicketSearch, which can be exploited using         the web service operation TicketSearch.

        This vulnerability is also known as ZSA-2022-07.

    CVE-2023-38060

        Tim Pttmanns discovered an Improper Input Validation vulnerability         in the ContentType parameter for attachments on TicketCreate or         TicketUpdate operations.

    For Debian 10 buster, these problems have been fixed in version     6.0.16-2+deb10u1.

    We recommend that you upgrade your otrs2 packages.

    For the detailed security status of otrs2 please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/otrs2

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Debian 10 主机上安装的多个程序包受到 dla-3551 公告中提及的多个漏洞影响。

  - 由于 Object.prototype 污染，版本低于 3.4.0 的 jQuery（用于 Drupal、Backdrop CMS 和其他产品）未正确处理 jQuery.extend (true, {}, ...)。如果未审查的源对象包含可枚举的
    __proto__ property，则其可能扩展本机 Object.prototype。(CVE-2019-11358)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.7、Community Edition 6.0.x 至 6.0.19 和 Community Edition 5.0.x 至 5.0.36 中发现一个问题。攻击者这可能会向 OTRS 系统发送恶意电子邮件。如果已登录的代理用户引用了该电子邮件，则可能会造成浏览器加载外部图像资源。(CVE-2019-12248)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.8、Community Edition 6.0.x 至 6.0.19 和 Community Edition 5.0.x 至 5.0.36 中发现一个问题。在客户或外部前端中，外部注释可能会泄露代理的个人信息（如姓名和邮件地址）。(CVE-2019-12497)

  - 在 Open Ticket Request System (OTRS) Community Edition 5.0.x 至 5.0.36 和 6.0.x 至 6.0.19 中发现一个问题。以代理身份登录 OTRS 的用户通过与第三方分享嵌入式票证文章的链接，可能会在不知情的情况下泄露会话 ID。随后此标识符可能会受到滥用，从而冒充代理用户。(CVE-2019-12746)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.8 和 Community Edition 5.0.x 至 5.0.36 与 6.0.x 至 6.0.19 中发现一个问题。以拥有适当权限的代理用户身份登录 OTRS 通知的攻击者可能会利用模板中的 OTRS 标签，从而泄露已哈希的用户密码。(CVE-2019-13458)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.11 和 Community Edition 5.0.x 至 5.0.37 与 6.0.x 至 6.0.22 中发现一个问题。以代理或客户用户身份登录且具有适当权限的攻击者可以创建精心构建的字符串，其中包含用作文章正文的恶意 JavaScript 代码。攻击者会在代理为原始文章撰写答案时执行此恶意代码。
    (CVE-2019-16375)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.12 和 Community Edition 5.0.x 至 5.0.38 与 6.0.x 至 6.0.23 中发现一个问题。以代理身份登录 OTRS 的攻击者能够列出分配给其他代理的工单，甚至可以列出位于此攻击者没有权限的队列中的工单。(CVE-2019-18179)

  - 未正确检查 PostMaster（通过电子邮件发送）中或 ((OTRS)) Community Edition 和 OTRS 的上传文件（例如将文件附加到邮件）中具有过长扩展名的文件名，这使远程攻击者能够造成死循环。此问题影响以下版本：OTRS AG：((OTRS)) Community Edition 5.0.x 版 5.0.38 和之前的版本；6.0.x 版 6.0.23 和之前的版本。OTRS AG：OTRS 7.0.x 版 7.0.12 和之前的版本。(CVE-2019-18180)

  - 在高于或等于 1.2 并在 3.5.0 之前的 jQuery 版本中，如果将 HTML 从不受信任的来源传递至 jQuery 的任一 DOM 操作方法（即 .html()、append() 和其他方法），即使经过审查，也可能执行不受信任的代码。此问题已在 jQuery 3.5.0 中得到修补。(CVE-2020-11022)

  - 在高于或等于 1.0.3 版以及 3.5.0 版之前的 jQuery 中，如果将包含 <option> 元素的 HTML 从不受信任的来源传递至 jQuery 的任一 DOM 操作方法（即 .html()、append() 和其他方法），即使经过审查，也可能执行不受信任的代码。已在 jQuery 3.5.0 中修补此问题。
    (CVE-2020-11023)

  - 参数控制不当允许伪造以下屏幕的 from 字段：
    AgentTicketCompose、AgentTicketForward、AgentTicketBounce 和 AgentTicketEmailOutbound。此问题影响以下版本：((OTRS)) Community Edition 5.0.x 版 5.0.39 和之前的版本；6.0.x 版 6.0.24 和之前的版本。OTRS 7.0.x 版 7.0.13 和之前的版本。(CVE-2020-1765)

  - 由于未正确处理上传的图像，在极不可能发生的罕见情况下可能会强制代理浏览器从特别构建的 SVG 文件（渲染为内联 jpg 文件）执行恶意 JavaScript。此问题影响以下版本：((OTRS)) Community Edition 5.0.x 版 5.0.39 和之前的版本；6.0.x 版 6.0.24 和之前的版本。OTRS 7.0.x 版 7.0.13 和之前的版本。(CVE-2020-1766)

  - 代理 A 能够保存草稿（例如用于客户回复）。然后，代理 B 可以打开此草稿，完全更改文本并将其以代理 A 的名义发送。但客户无法看到这则消息是由其他代理发送的。此问题影响以下版本：((OTRS)) Community Edition 6.0.x 版 6.0.24 和之前的版本。OTRS 7.0.x 版 7.0.13 和之前的版本。(CVE-2020-1767)

  - 在登录屏幕中（在代理和客户界面中），用户名和密码字段使用的是自动填写，这可能会被视为安全问题。此问题影响以下版本：((OTRS)) Community Edition：5.0.41 和之前的版本、6.0.26 和之前的版本。OTRS：7.0.15 和之前的版本。(CVE-2020-1769)

  - 支持捆绑生成的文件肯包含不希望被泄露的敏感信息。
    此问题影响以下版本：((OTRS)) Community Edition：5.0.41 和之前的版本、6.0.26 和之前的版本。
    OTRS：7.0.15 和之前的版本。(CVE-2020-1770)

  - 攻击者可构建文章，其中包含指向带有恶意内容 (JavaScript) 的客户通讯簿的链接。当代理打开此链接时，系统会因缺少参数编码而执行 JavaScript 代码。此问题影响以下版本：((OTRS)) Community Edition：6.0.26 和之前的版本。OTRS：7.0.15 和之前的版本。(CVE-2020-1771)

  - 可以在 Token 值中使用通配符构建丢失密码请求，这允许攻击者检索由已请求新密码的用户生成的有效 Token。此问题影响以下版本：
    ((OTRS)) Community Edition 5.0.41 和之前的版本、6.0.26 和之前的版本。OTRS：7.0.15 和之前的版本。(CVE-2020-1772)

  - 能够通过进行身份验证或利用 OSA-2020-09 生成会话 ID 或密码重置标记的攻击者，或许能够预测其他用户的会话 ID、密码重置标记和自动生成的密码。此问题影响以下 ((OTRS)) Community Edition：5.0.41 和之前的版本、6.0.26 和之前的版本。OTRS；7.0.15 和之前的版本。(CVE-2020-1773)

  - 当用户下载 PGP 或 S/MIME 密钥/证书时，导出文件的私钥和公钥具有相同名称。因此，可以将其混合并将私钥（而非公钥）发送给第三方。此问题影响以下 ((OTRS)) Community Edition：5.0.42 和之前的版本、6.0.27 和之前的版本。
    OTRS：7.0.16 和之前的版本。(CVE-2020-1774)

  - 当代理用户被重命名或被设置为无效时，属于该用户的会话将保持活动状态。如果代理无效，将无法使用会话来访问工单数据。此问题影响以下 ((OTRS)) Community Edition：6.0.28 和之前的版本。OTRS：7.0.18 和之前的版本、8.0.4 和之前的版本。(CVE-2020-1776)

  - jQuery 验证插件可为现有表单提供嵌入式验证。系统将此插件作为 npm 程序包 jquery-validation 发布。1.19.3 版之前的 jquery-validation 包含一个或多个容易受到 ReDoS 攻击的正则表达式（正则表达式拒绝服务）。已在 1.19.3 中修复此问题。
    (CVE-2021-21252)

  - 攻击者会在电子邮件的正文中包含专门设计的 URL 时执行 DoS 攻击。这可导致高 CPU 使用率并造成服务质量低下，或者在极端情况下导致系统停止。此问题影响以下版本：OTRS AG ((OTRS)) Community Edition 6.0.x 版 6.0.1 和之后的版本。OTRS AG OTRS 7.0.x 版 7.0.26 和之前的版本；8.0.x 版 8.0.13 和之前的版本。(CVE-2021-21439)

  - 如果所含文件夹未被隐藏，生成的支持捆绑包会包含 S/MIME 和 PGP 私钥。此问题影响以下版本：OTRS AG ((OTRS)) Community Edition 6.0.x 版 6.0.1 和之后的版本。OTRS AG OTRS 7.0.x 版 7.0.27 和之前的版本；8.0.x 版 8.0.14 和之前的版本。(CVE-2021-21440)

  - 工单概览屏幕中存在一个 XSS 漏洞。可以通过在概览屏幕中显示电子邮件来收集各种信息。攻击者可通过向系统发送特别构建的电子邮件来发起攻击，并且这类攻击无需任何用户交互。此问题影响以下版本：OTRS AG ((OTRS)) Community Edition 6.0.x 版 6.0.1 和之后的版本。OTRS AG OTRS 7.0.x 版 7.0.26 和之前的版本。(CVE-2021-21441)

  - 代理无需必要权限，便可在批量操作屏幕中列出客户用户电子邮件。此问题影响以下版本：OTRS AG ((OTRS)) Community Edition：6.0.x 版 6.0.1 和更高版本。OTRS AG OTRS：
    7.0.27 之前的 7.0.x 版本。(CVE-2021-21443)

  - 代理无需必要权限便可列出日历中的预约。此问题影响以下版本：
    OTRS AG ((OTRS)) Community Edition：6.0.x 版 6.0.1 和更高版本。OTRS AG OTRS：7.0.27 之前的 7.0.x 版本。(CVE-2021-36091)

  - OTRS 系统配置中特别构建的字符串允许执行任何系统命令。
    (CVE-2021-36100)

  - jQuery-UI 是官方的 jQuery 用户界面库。在 1.13.0 之前版本中，接受来自不受信任来源的 Datepicker 小组件的 `altField` 选项值可能导致执行不受信任的代码。此问题已在 jQuery UI 1.13.0 中得以解决。现在，传递给 `altField` 选项的任何字符串值都会被视为 CSS 选择器。有一种解决方法是，不接受来自不受信任来源的 `altField` 选项值。
    (CVE-2021-41182)

  - jQuery-UI 是官方的 jQuery 用户界面库。在 1.13.0 之前版本中，接受来自不受信任来源的 Datepicker 小组件的不同 `*Text` 选项值可能导致执行不受信任的代码。此问题已在 jQuery UI 1.13.0 中得以解决。现在，传递给不同 `*Text` 选项的值一律被视为纯文本，而不是 HTML。有一种解决方法是，不接受来自不受信任来源的 `*Text` 选项值。(CVE-2021-41183)

  - jQuery-UI 是官方的 jQuery 用户界面库。- 在 1.13.0 之前的版本中，接受来自不受信任来源的 `.position()` 实用工具的 `of` 选项的值可能导致执行不受信任的代码。此问题已在 jQuery UI 1.13.0 中得以解决。现在，传递给 `of` 选项的任何字符串值都会被视为 CSS 选择器。有一种解决方法是，不接受来自不受信任来源的 `of` 选项值。(CVE-2021-41184)

  - OTRS AG OTRS、OTRS AG ((OTRS)) Community Edition 中的不当输入验证漏洞允许通过 TicketSearch Webservice 进行 SQL 注入。此问题影响以下 OTRS 版本：7.0.40 Patch 1 之前的 7.0.1、8.0.28 Patch 1 之前的 8.0.1；((OTRS)) Community Edition：6.0.1 至 6.0.34 版。(CVE-2022-4427)

  - 在对 OTRS 通用接口模块执行 TicketCreate 或 TicketUpdate 操作期间，附件的 ContentType 参数存在不当输入验证漏洞，任何经过身份验证的攻击者均可利用此漏洞对附件的 ContentType 标头执行主机标头注入攻击。此问题会影响以下 OTRS 版本：
    7.0.45 之前的 7.0.X、8.0.35 之前的 8.0.X；((OTRS)) Community Edition：从 6.0.1 到 6.0.34 版。
    (CVE-2023-38060)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Otrs was updated to 5.0.42, fixing lots of bugs and security issues :

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10 :

  - Session / Password / Password token leak An attacker     with the ability to generate session IDs or password     reset tokens, either by being able to authenticate or by     exploiting OSA-2020-09, may be able to predict other     users session IDs, password reset tokens and     automatically generated passwords.

  - CVE-2020-1772 boo#1168029 OSA-2020-09 :

  - Information Disclosure It&rsquo;s possible to craft Lost     Password requests with wildcards in the Token value,     which allows attacker to retrieve valid Token(s),     generated by users which already requested new     passwords.

  - CVE-2020-1771 boo#1168030 OSA-2020-08 :

  - Possible XSS in Customer user address book Attacker is     able craft an article with a link to the customer     address book with malicious content (JavaScript). When     agent opens the link, JavaScript code is executed due to     the missing parameter encoding.

  - CVE-2020-1770 boo#1168031 OSA-2020-07 :

  - Information disclosure in support bundle files Support     bundle generated files could contain sensitive     information that might be unwanted to be disclosed.

  - CVE-2020-1769 boo#1168032 OSA-2020-06 :

  - Autocomplete in the form login screens In the login     screens (in agent and customer interface), Username and     Password fields use autocomplete, which might be     considered as security issue.

Update to 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - Installer refers to non-existing     documentation

  - added code to upgrade OTRS from 4 to 5

    READ UPGRADING.SUSE

  - steps 1 to 4 are done by rpm pkg

  - steps 5 to *END* need to be done manually cause of DB     backup

Update to 5.0.40

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02: Improper handling     of uploaded inline images Due to improper handling of     uploaded images it is possible in very unlikely and rare     conditions to force the agents browser to execute     malicious JavaScript from a special crafted SVG file     rendered as inline jpg file.

  - CVE-2020-1765, OSA-2020-01: Spoofing of From field in     several screens An improper control of parameters allows     the spoofing of the from fields of the following     screens: AgentTicketCompose, AgentTicketForward,     AgentTicketBounce and AgentTicketEmailOutbound

  - run bin/otrs.Console.pl Maint::Config::Rebuild after the     upgrade

  - Update 5.0.39     https://community.otrs.com/otrs-community-edition-5s-pat     ch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15: Denial of     service OTRS can be put into an endless loop by     providing filenames with overly long extensions. This     applies to the PostMaster (sending in email) and also     upload (attaching files to mails, for example).

  - CVE-2019-18179 OSA-2019-14: Information Disclosure An     attacker who is logged into OTRS as an agent is able to     list tickets assigned to other agents, which are in the     queue where attacker doesn&rsquo;t have permissions.

Update to 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375, boo#1156431 OSA-2019-13: Stored XXS An     attacker who is logged into OTRS as an agent or customer     user with appropriate permissions can create a carefully     crafted string containing malicious JavaScript code as     an article body. This malicious code is executed when an     agent compose an answer to the original article.

Update to 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458, boo#1141432, OSA-2019-12 :

    Information Disclosure An attacker who is logged into     OTRS as an agent user with appropriate permissions can     leverage OTRS tags in templates in order to disclose     hashed user passwords.

  - CVE-2019-13457, boo#1141431, OSA-2019-11 :

    Information Disclosure A customer user can use the     search results to disclose information from their     &ldquo;company&rdquo; tickets (with the same     CustomerID), even when     CustomerDisableCompanyTicketAccess setting is turned on.

  - CVE-2019-12746, boo#1141430, OSA-2019-10 :

    Session ID Disclosure A user logged into OTRS as an     agent might unknowingly disclose their session ID by     sharing the link of an embedded ticket article with     third parties. This identifier can be then potentially     abused in order to impersonate the agent user.

Update to 5.0.36

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09: Information     Disclosure In the customer or external frontend,     personal information of agents can be disclosed like     Name and mail address in external notes.

  - CVE-2019-12248, boo#1137615, OSA-2019-08: Loading     External Image Resources An attacker could send a     malicious email to an OTRS system. If a logged in agent     user quotes it, the email could cause the browser to     load external image resources.

Update to 5.0.35

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067, boo#1139406, OSA-2019-05 :

    Reflected and Stored XSS An attacker who is logged into     OTRS as an agent user with appropriate permissions may     manipulate the URL to cause execution of JavaScript in     the context of OTRS.

  - CVE-2019-9892, boo#1139406, OSA-2019-04 :

    XXE Processing An attacker who is logged into OTRS as an     agent user with appropriate permissions may try to     import carefully crafted Report Statistics XML that will     result in reading of arbitrary files of OTRS filesystem.

  - update missing CVE for OSA-2018-10, OSA-2019-01

Update to 5.0.34

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01: Stored XSS An     attacker who is logged into OTRS as an agent or a     customer user may upload a carefully crafted resource in     order to cause execution of JavaScript in the context of     OTRS.

Update to 5.0.33

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

Update to 5.0.26

- https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - remove obsolete

  - otrs-scheduler.service

  - otrs-scheduler.init

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Open Ticket Request System (OTRS) 7.0.x through 7.0.8, Community Edition 6.0.x     through 6.0.19, and Community Edition 5.0.x through 5.0.36. In the customer or external frontend, personal     information of agents (e.g., Name and mail address) can be disclosed in external notes. (CVE-2019-12497)

Note that Nessus relies on the presence of the package as reported by the vendor.

在開放票證要求系統中發現兩個安全性弱點，可導致資訊洩漏或權限提升。已新增組態選項來解決這些問題。CVE-2019-12248 攻擊者可傳送惡意電子郵件到 OTRS 系統。如果已登入的代理使用者引用了該電子郵件，則電子郵件可能會導致瀏覽器載入外部影像資源。CVE-2019-12497 在客戶或外部前端中，可以在外部附註公開代理使用者的個人資訊，例如姓名和郵件地址。針對 Debian 8「Jessie」，這些問題已在 3.3.18-1~deb8u10 版本中修正。我們建議您升級 otrs2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3551 公告中提及的多個弱點影響。

  -  jQuery 3.4.0 之前版本 (在 Drupal、Backdrop CMS 及其他產品中使用) 因為 Object.prototype 污染而未正確處理 jQuery.extend(true, {}, ...)。若未清理的來源物件包含一個可列舉的
    __proto__ property，則其可延伸原生 Object.prototype。(CVE-2019-11358)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.7、Community Edition 6.0.x 至 6.0.19 以及 Community Edition 5.0.x 至 5.0.36 中發現一個問題。攻擊者可傳送惡意電子郵件到 OTRS 系統。如果已登入的專員使用者引用了該電子郵件，則該電子郵件可能會導致瀏覽器載入外部影像資源。(CVE-2019-12248)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.8、Community Edition 6.0.x 至 6.0.19 以及 Community Edition 5.0.x 至 5.0.36 中發現一個問題。 在客戶或外部前端中，可以在外部附註中公開專員的個人資訊 (例如姓名和郵件地址)。(CVE-2019-12497)

  在 Open Ticket Request System (OTRS) Community Edition 5.0.x 至 5.0.36 和 6.0.x 至 6.0.19 中發現一個問題。以專員身分登入 OTRS 的使用者可能在不知情的情況下，因為與第三方共用嵌入工單文章的連結而洩漏其工作階段 ID。然後，攻擊者可能會濫用此識別碼，來模擬專員使用者。(CVE-2019-12746)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.8、Community Edition 5.0.x 至 5.0.36 和 6.0.x 至 6.0.19 中發現一個問題。以具有適當權限的專員使用者身分登入 OTRS 的攻擊者，可以利用範本中的 OTRS 通知標籤，洩漏經過雜湊的使用者密碼。(CVE-2019-13458)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.11、Community Edition 5.0.x 至 5.0.37 和 6.0.x 至 6.0.22 中發現一個問題。以具有適當權限的專員或客戶使用者身分登入系統的攻擊者可建立包含惡意 JavaScript 程式碼的特製字串，作為文章內文。當專員撰寫原始文章的答案時，系統會執行此惡意程式碼。
    (CVE-2019-16375)

  - 在 Open Ticket Request System (OTRS) 7.0.x 至 7.0.12、Community Edition 5.0.x 至 5.0.38 和 6.0.x 至 6.0.23 中發現一個問題。以專員身分登入 OTRS 的攻擊者可列出指派給其他專員的工單，包括攻擊者並無權限的佇列中的工單。(CVE-2019-18179)

  - 針對 PostMaster (在電子郵件中傳送) 中副檔名過長的檔案名稱或 ((OTRS)) Community Edition 和 OTRS 正在上傳的檔案 (例如，將檔案附加至郵件) 未正確執行檢查，遠端攻擊者可利用此問題造成無限迴圈。此問題會影響：OTRS AG：((OTRS)) Community Edition 5.0.x 的 5.0.38 和更早版本；6.0.x 的 6.0.23 和更早版本。OTRS AG：OTRS 7.0.x 的 7.0.12 版和更早版本。(CVE-2019-18180)

  - 在 jQuery 1.2 或之後版本以及 3.5.0 之前版本中，將來自非受信任來源的 HTML (即使是在清理後) 傳送至 jQuery 的其中一個 DOM 操控方法 (即.html()、.append() 等)，可能會執行非受信任的程式碼。此問題已在 jQuery 3.5.0 中得到修補。(CVE-2020-11022)

  - 在 jQuery 1.0.3 或之後版本以及 3.5.0 之前版本中，將包含非受信任來源之 <option> 元素的 HTML (即使是在清理後) 傳送至 jQuery 的其中一個 DOM 操控方法 (即.html()、.append() 等)，可能會執行未受信任的程式碼。此問題已在 jQuery (3.5.0) 中得到修補。
    (CVE-2020-11023)

  - 由於對參數控制不當，攻擊者可以偽造下列畫面的 from 欄位：
    AgentTicketCompose、AgentTicketForward、AgentTicketBounce 和 AgentTicketEmailOutbound。此問題會影響：((OTRS)) Community Edition 5.0.x 的 5.0.39 和更早版本；6.0.x 的 6.0.24 和更早版本。OTRS 7.0.x 的 7.0.13 版和更早版本。(CVE-2020-1765)

  - 由於未正確處理上傳的影像，在可能性極小的罕見情況下，可強制代理瀏覽器從特別建構的 SVG 檔案 (轉譯為內嵌 jpg 檔案) 執行惡意 JavaScript。此問題會影響：((OTRS)) Community Edition 5.0.x 的 5.0.39 和更早版本；6.0.x 的 6.0.24 和更早版本。OTRS 7.0.x 的 7.0.13 版和更早版本。(CVE-2020-1766)

  - 專員 A 可儲存草稿 (即客戶回覆)。然後，專員 B 可開啟草稿、完全變更文字，並以專員 A 的名義傳送。對於客戶而言，訊息是由其他專員傳送，並且不可見。此問題會影響：((OTRS)) Community Edition 6.0.x 的 6.0.24 和更早版本。OTRS 7.0.x 的 7.0.13 版和更早版本。(CVE-2020-1767)

  - 在登入畫面 (專員和客戶介面) 中，使用者名稱和密碼欄位皆使用自動完成，這可能被視為安全性問題。此問題會影響：((OTRS)) Community Edition：5.0.41 和更早版本、6.0.26 和更早版本。OTRS：7.0.15 和更早版本。(CVE-2020-1769)

  支援套件產生的檔案可能包含不需要公開的敏感資訊。
    此問題會影響：((OTRS)) Community Edition：5.0.41 和更早版本、6.0.26 和更早版本。
    OTRS：7.0.15 和更早版本。(CVE-2020-1770)

  - 攻擊者可在特製的文章中納入包含惡意內容的客戶通訊錄連結 (JavaScript)。因為遺漏參數編碼，當專員開啟連結時，系統會執行 JavaScript 程式碼。此問題會影響：((OTRS)) Community Edition：6.0.26 和更早版本。OTRS：7.0.15 和更早版本。(CVE-2020-1771)

  - 可以透過在權杖值中使用萬用字元來建構「遺失密碼」要求，攻擊者可藉此擷取由已要求新密碼的使用者所產生的有效權杖。此問題會影響：
    ((OTRS)) Community Edition 5.0.41 和更早版本、6.0.26 和更早版本。OTRS：7.0.15 和更早版本。(CVE-2020-1772)

  - 能夠產生工作階段 ID 或密碼重設權杖的攻擊者，若能夠驗證或利用 OSA-2020-09，則可能能夠預測其他使用者的工作階段 ID、密碼重設權杖和自動產生的密碼。此問題會影響 ((OTRS)) Community Edition：5.0.41 和更早版本、6.0.26 和更早版本。OTRS；7.0.15 和更早版本。(CVE-2020-1773)

  - 當使用者下載 PGP 或 S/MIME 金鑰/憑證時，匯出的檔案中私密金鑰和公開金鑰具有相同名稱。因此，可以將它們混合並向第三方傳送私密金鑰，而非公開金鑰。此問題會影響 ((OTRS)) Community Edition：5.0.42 和更早版本、6.0.27 和更早版本。
    OTRS：7.0.16 和更早版本。(CVE-2020-1774)

  - 重新命名代理程式使用者或將其設定為無效時，屬於該使用者的工作階段會保持作用中狀態。在代理程式無效的情況下，無法使用工作階段來存取工單資料。此問題會影響 ((OTRS)) Community Edition：6.0.28 和更早版本。OTRS：7.0.18 和更早版本、8.0.4 和更早版本。(CVE-2020-1776)

  - jQuery Validation Plugin 為您現有的表單提供嵌入式驗證。它發布為 npm 套件 jquery-validation。1.19.3 版之前的 jquery-validation 含有一個或多個容易發生 ReDoS (規則運算式拒絕服務) 的規則運算式。此問題已在 1.19.3 版中修正。
    (CVE-2021-21252)

  - 當電子郵件內文中含有特別設計的 URL 時，攻擊者可執行 DoS 攻擊。這可導致 CPU 使用率過高且服務品質低下，在極端情況下還會使系統停止運作。此問題會影響：OTRS AG ((OTRS)) Community Edition 6.0.x 版的 6.0.1 和更新版本。OTRS AG OTRS 7.0.x 版的 7.0.26 和更早版本；8.0.x 版的 8.0.13 和更早版本。(CVE-2021-21439)

  - 如果包含的資料夾未隱藏，產生的支援套件中會包含私密 S/MIME 和 PGP 金鑰。此問題會影響：OTRS AG ((OTRS)) Community Edition 6.0.x 版的 6.0.1 和更新版本。OTRS AG OTRS 7.0.x 版的 7.0.27 和更早版本；8.0.x 版的 8.0.14 和更早版本。(CVE-2021-21440)

  - 工單概覽畫面中存在 XSS 弱點。透過在概覽畫面中顯示電子郵件，可以收集各種資訊。攻擊者可藉由傳送特製的電子郵件至系統來發動攻擊，不需要任何使用者引入。此問題會影響：OTRS AG ((OTRS)) Community Edition 6.0.x 版的 6.0.1 和更新版本。OTRS AG OTRS 7.0.x 版的 7.0.26 和更早版本。(CVE-2021-21441)

  - 代理程式無需必要的權限，即可在大量動作畫面中列出客戶使用者的電子郵件。此問題會影響：OTRS AG ((OTRS)) Community Edition：6.0.x 版的 6.0.1 和更新版本。OTRS AG OTRS：
    7.0.27 之前的 7.0.x 版本。(CVE-2021-21443)

  - 代理程式無需必要的權限即可列出行事歷中的約會。此問題會影響：
    OTRS AG ((OTRS)) Community Edition：6.0.x 版的 6.0.1 和更新版本。OTRS AG OTRS：7.0.27 之前的 7.0.x 版本。(CVE-2021-36091)

  - OTRS 系統設定中特製的字串可允許執行任何系統命令。
    (CVE-2021-36100)

  - jQuery-UI 是官方的 jQuery 使用者介面程式庫。在早於 1.13.0 版本的 jQuery-UI 中，從不受信任的來源接受 Datepicker 小工具的 `altField` 選項值可能會導致執行不受信任的程式碼。此問題已在 jQuery UI 1.13.0 中修正。任何傳遞至 `altField` 選項的字串值現在都會被視為 CSS 選取器。若要解決此問題，可以不接受來自不受信任來源的 `altField` 選項值。
    (CVE-2021-41182)

  - jQuery-UI 是官方的 jQuery 使用者介面程式庫。在早於 1.13.0 版本的 jQuery-UI 中，從不受信任的來源接受 Datepicker 小工具的不同 `*Text` 選項值可能會導致執行不受信任的程式碼。此問題已在 jQuery UI 1.13.0 中修正。傳遞至不同 `*Text` 選項的值現在一律視為純文字，而非 HTML。若要解決此問題，可以不接受來自不受信任來源的 `*Text` 選項值。(CVE-2021-41183)

  - jQuery-UI 是官方的 jQuery 使用者介面程式庫。在 1.13.0 之前版本中，從不受信任的來源接受 .position() 公用程式的「of」選項值可導致程式執行不受信任的程式碼。此問題已在 jQuery UI 1.13.0 中修正。現在，任何傳遞至「of」選項的字串值都會被視為 CSS 選取器。因應措施是不接受來自不受信任來源的「of」選項值。(CVE-2021-41184)

  - OTRS AG OTRS、OTRS AG ((OTRS)) Community Edition 中存在不當輸入驗證弱點，攻擊者可透過 TicketSearch Webservice 執行 SQL 插入攻擊。此問題會影響 OTRS：7.0.1 至 7.0.40 Patch 1、8.0.1 至 8.0.28 Patch 1；((OTRS)) Community Edition：6.0.1 至 6.0.34。(CVE-2022-4427)

  - 在 OTRS Generic Interface 模組的 TicketCreate 或 TicketUpdate 作業中，附件的 ContentType 參數存在不當輸入驗證弱點，任何經驗證的攻擊者皆可針對附件的 ContentType 標頭執行主機標頭插入。此問題會影響 OTRS：
    7.0.X 至 7.0.45、8.0.X 至 8.0.35；((OTRS)) Community Edition：6.0.1 至 6.0.34。
    (CVE-2023-38060)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

- 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41に更新しました/

  - bug#14912 - インストーラーが存在しないドキュメントを参照します

  - OTRSを4から5へアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、エージェントのブラウザが悪意のあるJavaScriptを実行させることが可能です。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、以下の画面のfromフィールドのなりすましが可能になります。AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint：：Config：：Rebuildをアップグレード後に実行します

  - 5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39を更新/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：サービス拒否OTRSは、過度に長い拡張子を持つファイル名を提供することで、無限ループに陥る可能性があります。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、 boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

- 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37に更新しました/

  - CVE-2019-13458、boo#1141432、OSA-2019-12に更新してください

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合でも、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497、boo#1137614、OSA-2019-09：情報漏洩。顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

  - CVE-2019-12248、boo#1137615、OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05に更新してください

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04に更新してください

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、慎重に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752、boo#1122560、OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。顧客または外部フロントエンドでは、エージェントの個人情報 (外部注記の名前やメールアドレスなど) が漏洩する可能性があります。(CVE-2019-12497)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
125836	Debian DLA-1816-1 : otrs2 security update	Nessus	Debian Local Security Checks	2019/6/12	2024/5/16	medium
140741	openSUSE Security Update : otrs (openSUSE-2020-1475)	Nessus	SuSE Local Security Checks	2020/9/23	2022/5/13	high
140741	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-1475）	Nessus	SuSE Local Security Checks	2020/9/23	2022/5/13	high
180524	Debian DLA-3551-1 : otrs2 - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/9/6	2025/1/24	critical
254757	Linux Distros 未修补的漏洞：CVE-2019-12497	Nessus	Misc.	2025/8/25	2025/8/25	medium
125836	DebianDLA-1816-1: otrs2のセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/6/12	2024/5/16	medium
125836	Debian DLA-1816-1：otrs2 安全更新	Nessus	Debian Local Security Checks	2019/6/12	2024/5/16	medium
254757	Linux Distros 未修補的弱點：CVE-2019-12497	Nessus	Misc.	2025/8/25	2025/8/25	medium
180524	Debian dla-3551 : otrs - security update	Nessus	Debian Local Security Checks	2023/9/6	2025/1/24	critical
180524	Debian DLA-3551-1：otrs2 - LTS 安全更新	Nessus	Debian Local Security Checks	2023/9/6	2025/1/24	critical
136023	openSUSE Security Update : otrs (openSUSE-2020-551)	Nessus	SuSE Local Security Checks	2020/4/28	2022/5/16	high
254757	Linux Distros Unpatched Vulnerability : CVE-2019-12497	Nessus	Misc.	2025/8/25	2025/8/25	medium
125836	Debian DLA-1816-1：otrs2 安全性更新	Nessus	Debian Local Security Checks	2019/6/12	2024/5/16	medium
180524	Debian DLA-3551-1：otrs2 - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/9/6	2025/1/24	critical
136023	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-551）	Nessus	SuSE Local Security Checks	2020/4/28	2022/5/16	high
254757	Linux Distros のパッチ未適用の脆弱性: CVE-2019-12497	Nessus	Misc.	2025/8/25	2025/8/25	medium

偵測

搜尋 Plugin

medium

high

high

critical

medium

medium

medium

medium

critical

critical

high

medium

medium

critical

high

medium