Alerta de Segurança Debian

DSA-973-1 otrs -- várias vulnerabilidades

Data do Alerta:

15 Fev 2006

Pacotes Afetados:

Vulnerável:

Sim

Referência à base de dados de segurança:

No sistema de acompanhamento de bugs do Debian: Bug 340352.
Na base de dados do BugTraq (na SecurityFocus): ID BugTraq 15537.
No dicionário CVE do Mitre: CVE-2005-3893, CVE-2005-3894, CVE-2005-3895.

Informações adicionais:

Várias vulnerabilidades foram descobertas no otrs, o "Open Ticket Request System", que podem ser exploradas remotamente. O projeto [1]Common Vulnerabilities and Exposures identificou os seguintes problemas:

CVE-2005-3893
Múltiplas vulnerabilidades de injeção SQL permitem que atacantes remotos executem comandos SQL arbitrários e transpassem a autenticação.
CVE-2005-3894
Múltiplas vulnerabilidades de "cross-site scripting" permitem que usuários remotos autenticados injetam scripts web ou HTML arbitrários.
CVE-2005-3895
e-mails texto/html internamente anexados são renderizados como HTML quando o moderador de fila tenta baixar o anexo, o que permite que atacantes remotos executem scripts web ou HTML arbitrários.

A antiga distribuição estável ("woody") não contém o pacote OTRS.

Para a distribuição estável ("sarge") estes problemas foram corrigidos na versão 1.3.2p01-6.

Para a distribuição instável ("sid") estes problemas foram corrigidos na versão 2.0.4p01-1.

Recomendamos que você atualize seu pacote otrs.

1.Common Vulnerabilities and Exposures é um projeto que visa padronizar os nomes para os avisos de vulnerabilidades e exposições de segurança.

Corrigido em:

Debian GNU/Linux 3.1 (sarge)

Fonte:: http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6.dsc; http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6.diff.gz; http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01.orig.tar.gz
Componente independente de arquitetura:: http://security.debian.org/pool/updates/main/o/otrs/otrs-doc-de_1.3.2p01-6_all.deb; http://security.debian.org/pool/updates/main/o/otrs/otrs-doc-en_1.3.2p01-6_all.deb; http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6_all.deb

Checksums MD5 dos arquivos listados estão disponíveis no alerta original.