OTRS script beszúrásos sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

OTRS (Open Ticket Request System) 2.x
OTRS Help Desk 3.x

Összefoglaló

A OTRS Help Desk sérülékenysége vált ismertté, amelyet kihasználva a támadók script beszúrásos (script insertion) támadásokat hajthatnak végre.

Leírás

A HTML e-mail üzenetekben átadott bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára megjelenítésre kerülne. Ez kihasználható, tetszőleges HTML és script kód beszúrására, ami a felhasználó böngészőjének munkamenetében fog lefutni, az érintett oldal vonatkozásában, a káros tartalom megtekintése közben.

A sérülékenység sikeres kihasználásához a Firefox vagy az Opera használatára van szükség.

A sérülékenységet a 2.4.14, 3.0.16 és 3.1.10 előtti verziókban jelentették.

Megoldás

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: www.otrs.com
Egyéb referencia: znuny.com
US-CERT 511404
CVE-2012-4600 - NVD CVE-2012-4600
SECUNIA 50465