Debian-Sicherheitsankündigung

DSA-973-1 otrs -- Mehrere Verwundbarkeiten

Datum des Berichts:
15. Feb 2006
Betroffene Pakete:
otrs
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Debian-Fehlerdatenbank: Fehler 340352.
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 15537.
In Mitres CVE-Verzeichnis: CVE-2005-3893, CVE-2005-3894, CVE-2005-3895.
Weitere Informationen:

Mehrere Verwundbarkeiten wurden in OTRS, dem Open Ticket Request System, entdeckt, die entfernt ausgenutzt werden können. Das Common Vulnerabilities and Exposures Project legt die folgenden Probleme fest:

  • CVE-2005-3893

    Mehrfache SQL-Injection-Verwundbarkeiten erlauben es entfernten Angreifern, beliebige SQL-Befehle auszuführen und die Authentifizierung zu umgehen.

  • CVE-2005-3894

    Mehrfache Seitenübergreifende-Skripting-Verwundbarkeiten erlauben es entfernten authentifizierten Angreifern, beliebige Web-Skripte oder HTML einzufügen.

  • CVE-2005-3895

    Intern angehängte text/html-E-Mails werden als HTML dargestellt, wenn der Queue-Moderator den Anhang herunterzuladen versucht, was es entfernten Angreifern erlaubt, beliebige Web-Skripte oder HTML auszuführen.

Die alte Stable-Distribution (Woody) enthält das OTRS-Paket nicht.

Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 1.3.2p01-6 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.0.4p01-1 behoben.

Wir empfehlen Ihnen, Ihr OTRS-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:
http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6.dsc
http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6.diff.gz
http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/o/otrs/otrs-doc-de_1.3.2p01-6_all.deb
http://security.debian.org/pool/updates/main/o/otrs/otrs-doc-en_1.3.2p01-6_all.deb
http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.