Debian DLA-1877-1：otrs2 安全更新

medium Nessus 插件 ID 127920

语言：

简介

远程 Debian 主机缺少安全更新。

描述

广为人知的故障票证系统 otrs2 中修复了多个安全问题。CVE-2018-11563 以客户身份登录 OTRS 的攻击者可能会利用票证概览界面泄露其客户票证的内部文章信息。CVE-2019-12746 以代理身份登录 OTRS 的用户通过与第三方分享嵌入式票证文章的链接，可能会在不知情的情况下泄露会话 ID。随后此标识符可能会受到滥用，从而冒充代理用户。CVE-2019-13458 以拥有适当权限的代理用户身份登录 OTRS 的攻击者可能会利用模板中的 OTRS 标签，从而泄露已哈希的用户密码。由于 CVE-2019-12248 的修复不完整，因此无法再查看电子邮件附件。此更新正确实现了新的 Ticket::Fronted::BlockLoadingRemoteContent 选项。对于 Debian 8“Jessie”，这些问题已在 3.3:18-1+deb8u11 版本中修复。我们建议您升级 otrs2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。