JVN#73162541: OTRS における OS コマンドインジェクションの脆弱性

OTRS には、OS コマンドインジェクションの脆弱性が存在します。

OTRS プロジェクトが提供する OTRS は、チケット (業務におけるトラブル対応などの管理番号) を運用および管理するソフトウェアです。OTRS には、OS コマンドインジェクションの脆弱性が存在します。

OTRS を設置しているサーバにおいて、OTRS の実行権限で任意の OS コマンドを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。

なお、本脆弱性は以下のバージョンで修正されています。

ベンダ	リンク
OTRS	OTRS: Open Source Help Desk and IT Service Management Solution \| Get OTRS!
	OTRS: Open Source Help Desk and IT Service ManagementSolution \| Home

2011.03.07における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	ユーザが何もしなくても脆弱性が攻撃される可能性がある	高
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 三井物産セキュアディレクション寺田健氏

JVN#73162541 OTRS における OS コマンドインジェクションの脆弱性