CH azonosító
CH-3835Angol cím
OTRS AgentTicketZoom Script Insertion VulnerabilityFelfedezés dátuma
2010.10.24.Súlyosság
KözepesÉrintett rendszerek
OTRSOpen Ticket Request System
Érintett verziók
OTRS (Open Ticket Request System) 2.x
Összefoglaló
Az OTRS olyan sérülékenysége vált ismertté, amelyet a támadók kihasználhatnak script beszúrás (script injection) támadások kezdeményezésére.
Leírás
A HTML e-mailek-kel átadott bizonyos bemeneti adat az AgentTicketZoom-ban nem kerül megfelelően ellenőrzésre a felhasználó részére történő megjelenítése előtt. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatosan, amikor a rosszindulatú adat megtekintésre kerül.
A sérülékenység sikeres kihasználásához a “RichText” engedélyezése szükséges.
A sérülékenységet a 2.4.9. megelőző verziókban fedezték fel.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of integrity (Sértetlenség elvesztése)Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: otrs.org
SECUNIA 41978