This update for otrs fixes the following issues :

  - CVE-2017-9324: Incorrect Access Control in OTRS -     Improved SecureMode detection in Installer (OSA-2017-03,     bsc#1043086)

  - bsc#1043244: Reflected cross-site scripting in OTRS,     customer search should not return results for internal     (OSA-2017-02)

In addition, OTRS was updated to 3.3.17 with the following fixes :

  - Function 'SystemDataGroupGet' has problems with empty     values in oracle

  - Base64 encoded image does not display in article

  - Chrome could not display attached PDF files

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Open Ticket Request System (OTRS) 3.3.x through 3.3.16, 4.x through 4.0.23, and 5.x through 5.0.19, an     attacker with agent permission is capable of opening a specific URL in a browser to gain administrative     privileges / full access. Afterward, all system settings can be read and changed. The URLs in question     contain index.pl?Action=Installer with ;Subaction=Intro or ;Subaction=Start or ;Subaction=System appended     at the end. (CVE-2017-9324)

Note that Nessus relies on the presence of the package as reported by the vendor.

このotrsの更新では、次の問題が修正されます：

  - CVE-2017-9324：OTRSの不正なアクセス制御 - インストーラーのSecureMode検出を改善しました（OSA-2017-03、bsc#1043086）

  - bsc#1043244：OTRSの反映されたクロスサイトスクリプティング、顧客検索から内部の結果が返されないようにする必要があります（OSA-2017-02）

加えて、OTRSが3.3.17に更新され、次の修正が行われました：

  - 関数「SystemDataGroupGet」にoracleの空の値の問題があります

  - Base64でエンコードされた画像が記事に表示されません

  - Chromeが添付されたPDFファイルを表示できませんでした

Joerg-Thomas Vogt discovered that the SecureMode was insufficiently validated in the OTRS ticket system, which could allow agents to escalate their privileges.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Open Ticket Request SystemOTRSで、 3.3.x から 3.3.16、 4.x から 4.0.23、および 5.x から 5.0.19で、エージェント権限を持つ攻撃者がブラウザで特定の URL を開き、管理者権限/フルアクセスを取得する可能性があります。 。その後、すべてのシステム設定を読み取り、変更できます。問題の URL には、;Subaction=Intro または ;Subaction=Start または ;Subaction=System が末尾に追加された index.pl?Action=Installer が含まれています。CVE-2017-9324

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Joerg-Thomas Vogt氏は、OTRSチケットシステムでSecureModeが十分に検証されていないため、エージェントが権限を昇格する可能性があることを発見しました。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在开放票证请求系统 (OTRS) 3.3.x 到 3.3.16、 4.x 到 4.0.23以及 5.x 到 5.0.19中具有代理权限的攻击者能够在浏览器中打开特定 URL 来获取管理权限/完全访问权限。此后便可读取和更改所有系统设置。有关的 URL 包含 index.pl?Action=Installer其末尾附加了 ;Subaction=Intro 或 ;Subaction=Start 或 ;Subaction=System。 (CVE-2017-9324)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在開放式票證要求系統 (OTRS) 3.3.x 至 3.3.16、 4.x 至 4.0.23和 5.x 至 5.0.19中具有代理程式權限的攻擊者可在瀏覽器中開啟特定 URL 以取得管理權限/完整存取權。之後即可讀取和變更所有系統設定。有問題的 URL 包含結尾附加 ;Subaction=Intro or ;Subaction=Start or ;Subaction=System 的 index.pl?Action=Installer。 (CVE-2017-9324)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Joerg-Thomas Vogt 發現 OTRS 票證系統中未充分驗證 SecureMode，造成代理程式可藉此提升其權限。

Joerg-Thomas Vogt 发现 OTRS 票证系统中对 SecureMode 的验证不足，可能允许代理升级其权限。

ID	Name	Product	Family	Published	Updated	Severity
100832	openSUSE Security Update : otrs (openSUSE-2017-691)	Nessus	SuSE Local Security Checks	6/16/2017	1/19/2021	high
254722	Linux Distros Unpatched Vulnerability : CVE-2017-9324	Nessus	Misc.	8/25/2025	8/25/2025	high
100832	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2017-691）	Nessus	SuSE Local Security Checks	6/16/2017	1/19/2021	high
100727	Debian DSA-3876-1 : otrs2 - security update	Nessus	Debian Local Security Checks	6/12/2017	1/11/2021	high
254722	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9324	Nessus	Misc.	8/25/2025	8/25/2025	high
100727	Debian DSA-3876-1: otrs2 - セキュリティ更新	Nessus	Debian Local Security Checks	6/12/2017	1/11/2021	high
254722	Linux Distros 未修补的漏洞：CVE-2017-9324	Nessus	Misc.	8/25/2025	8/25/2025	high
254722	Linux Distros 未修補的弱點：CVE-2017-9324	Nessus	Misc.	8/25/2025	8/25/2025	high
100727	Debian DSA-3876-1：otrs2 - 安全性更新	Nessus	Debian Local Security Checks	6/12/2017	1/11/2021	high
100727	Debian DSA-3876-1：otrs2 - 安全更新	Nessus	Debian Local Security Checks	6/12/2017	1/11/2021	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high