Debian セキュリティ勧告

DSA-1993-1 otrs2 -- sql インジェクション

報告日時:

2010-02-10

影響を受けるパッケージ:

otrs2

危険性:

あり

参考セキュリティデータベース:

Mitre の CVE 辞書: CVE-2010-0438.

詳細:

オープンチケットリクエストシステム otrs2 が SQL クエリに用いるユーザ入力を適切にサニタイズしていないため、SQL インジェクション攻撃、例えば otrs2 を使ったシステムでの特権の昇格、に悪用される可能性があります。

旧安定版 (etch) にはこれらの問題の影響はありません。

安定版 (stable) ディストリビューション (lenny) では、この問題はバージョン 2.2.7-2lenny3 で修正されています。

テスト版 (testing) ディストリビューション (squeeze) では、この問題は近く修正予定です。

不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 2.4.7-1 で修正されています。

直ぐに otrs2 パッケージをアップグレードすることを勧めます。

修正:

ソース:: http://security.debian.org/pool/updates/main/o/otrs2/otrs2_2.2.7.orig.tar.gz; http://security.debian.org/pool/updates/main/o/otrs2/otrs2_2.2.7-2lenny3.dsc; http://security.debian.org/pool/updates/main/o/otrs2/otrs2_2.2.7-2lenny3.diff.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/o/otrs2/otrs2_2.2.7-2lenny3_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。