Debian-Sicherheitsankündigung

DSA-973-1 otrs -- Mehrere Verwundbarkeiten

Datum des Berichts:

15. Feb 2006

Betroffene Pakete:

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Debian-Fehlerdatenbank: Fehler 340352.
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 15537.
In Mitres CVE-Verzeichnis: CVE-2005-3893, CVE-2005-3894, CVE-2005-3895.

Weitere Informationen:

Mehrere Verwundbarkeiten wurden in OTRS, dem Open Ticket Request System, entdeckt, die entfernt ausgenutzt werden können. Das Common Vulnerabilities and Exposures Project legt die folgenden Probleme fest:

CVE-2005-3893
Mehrfache SQL-Injection-Verwundbarkeiten erlauben es entfernten Angreifern, beliebige SQL-Befehle auszuführen und die Authentifizierung zu umgehen.
CVE-2005-3894
Mehrfache Seitenübergreifende-Skripting-Verwundbarkeiten erlauben es entfernten authentifizierten Angreifern, beliebige Web-Skripte oder HTML einzufügen.
CVE-2005-3895
Intern angehängte text/html-E-Mails werden als HTML dargestellt, wenn der Queue-Moderator den Anhang herunterzuladen versucht, was es entfernten Angreifern erlaubt, beliebige Web-Skripte oder HTML auszuführen.

Die alte Stable-Distribution (Woody) enthält das OTRS-Paket nicht.

Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 1.3.2p01-6 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.0.4p01-1 behoben.

Wir empfehlen Ihnen, Ihr OTRS-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:: http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6.dsc; http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6.diff.gz; http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01.orig.tar.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/o/otrs/otrs-doc-de_1.3.2p01-6_all.deb; http://security.debian.org/pool/updates/main/o/otrs/otrs-doc-en_1.3.2p01-6_all.deb; http://security.debian.org/pool/updates/main/o/otrs/otrs_1.3.2p01-6_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.