November 2005 - announce - OTRS mailing lists

German: [OSA-2005-01] Schwachstellen im OTRS-Core erlauben SQL-Injection und Cross-Site-Scripting
by OTRS Security Team 23 Nov '05

23 Nov '05

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 ----------------------------------------------------------------------- OTRS Security Advisory 2005-01 <security(a)otrs.org> ----------------------------------------------------------------------- ID: OSA-2005-01 Datum: 2005-11-22 Titel: Schwachstellen im OTRS-Core erlauben SQL-Injection und Cross-Site-Scripting Einstufung: Kritisch Produkte: OTRS 2.x, OTRS 1.x Behoben in: OTRS 2.0.4, OTRS 1.3.3 URL: http://otrs.org/advisory/OSA-2005-01-de/ ----------------------------------------------------------------------- Dieses Advisory adressiert drei Sicherheitsluecken im OTRS-Systemkern. SQL-Injection per UNION Fehlende Sicherheitsueberpruefungen fuer SQL-Statements ermoeglichen einem angemeldeten Benutzer die Manipulation von Abfragen. Per UNION lassen sich beliebige SELECT-Statements einschleusen, welche dann von der Datenbank verarbeitet werden. Ein Angreifer kann diese Schwachstelle gezielt ausnutzen, um das Ergebnis einer Anfrage so zu manipulieren, dass eine Benutzeranmeldung trotz ungueltiger Anmeldedaten erfolgreich ist. Er kann so unbefugt Zugang zum OTRS erhalten. Anfaellig fuer derartige Angriffe sind Installationen, welche einen Benutzer gegen eine SQL-Datenbank authentisieren. Bereits angemeldete Benutzer koennen die Schwachstelle ausnutzen, um beliebige Daten aus den OTRS-Tabellen der Datenbank auszuspaehen. Derartige Angriffe koennten als Vorbereitung fuer weitere Attacken dienen, wie zum Beispiel das Uebernehmen fremder Sessions. Automatisches Oeffnen von Dateien im Browser OTRS versucht in der Standard-Konfiguration Mail-Attachments im aktuell geoeffneten Browser-Fenster zu laden. Klickt ein Benutzer mit der Maus auf einen Mail-Anhang, so versucht der Browser in der Regel, die entsprechende Datei automatisch im aktuellen Fenster zu oeffnen. Ein angemeldeter Benutzer kann diese Schwachstelle gezielt ausnutzen, indem er einen Benutzer dazu bringt, einen speziell konstruierten Anhang anzuklicken. Er kann so zum Beispiel beliebigen Skriptcode einschleusen, welcher automatisch geladen und ausgefuehrt wird. Eingabefelder ermoeglichen Einschleusen von Skriptcode Fehlendes HTML-Quoting erlaubt einem angemeldeten Benutzer das Einschleusen beliebiger Tags in die Darstellung der OTRS-Seiten. Ein angemeldeter Benutzer kann diese Schwachstelle ausnutzen, um beliebigen Code in die HTML-Seiten von OTRS einzubringen. Handelt es sich dabei um Skriptcode, so wird dieser unter Umstaenden automatisch im Browser anderer Benutzer ausgefuehrt. Die genannten Schwachstellen sind in allen Versionen der Reihe 2.x bis einschliesslich OTRS 2.0.3 sowie in allen Versionen der Reihe 1.x bis einschliesslich 1.3.2 enthalten. In den Versionen 2.0.4 und 1.3.3 wurden die Sicherheitsluecken geschlossen. Bitte installieren Sie umgehend eine nicht verwundbare Programmversion. Aktuelle Versionen stehen unter folgender URL zum herunterladen bereit: o ftp://ftp.otrs.org/ Als Workaround fuer die zweite Schwachstelle "Automatisches Oeffnen von Dateien im Browser" kann die kritische Standard-Einstellung in betroffenen Installationen deaktiviert werden, indem folgende Einstellung vorgenommen wird: "AttachmentDownloadType = attachment" Senden Sie Hinweise zu Sicherheitsluecken in OTRS jederzeit an <security(a)otrs.org>. Wir danken Moritz Naumann (Naumann IT Consulting & Services) fuer den Hinweis auf die Schwachstellen zu diesem Advisory. Copyright (c) OTRS GmbH, <http://otrs.org/> -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.5 (GNU/Linux) iD8DBQFDhBkHuBqJltZnEl4RArYMAJ0VAmrQ+Bp9ruzBEPBExD26VhgACQCeMTgq 4J69r9Vxf+U3GrTjDu88JUA= =BpdY -----END PGP SIGNATURE-----

1 0

English: [OSA-2005-01] Vulnerabilities in OTRS core / SQL-Injection and Cross-Site-Scripting
by OTRS Security Team 23 Nov '05

23 Nov '05

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 ----------------------------------------------------------------------- OTRS Security Advisory 2005-01 <security(a)otrs.org> ----------------------------------------------------------------------- ID: OSA-2005-01 Date: 2005-11-22 Title: Vulnerabilities in OTRS-Core allows SQL-Injection and Cross-Site-Scripting Severity: Critical Product: OTRS 2.x, OTRS 1.x Fixed in: OTRS 2.0.4, OTRS 1.3.3 URL: http://otrs.org/advisory/OSA-2005-01-en/ ----------------------------------------------------------------------- This Advisory covers three vulnerabilities in the OTRS-System-Core. SQL-Injection via UNION Missing security quoting for SQL statements allows agents the manipulation of SQL queries. So it's possible to inject SQL queries via UNION statements. A malicious user may be able to login successfully without valid credentials. Authentication mechanisms other than the database backend authentication are not affected. Authenticated users can use this vulnerabilitiy to get records from other OTRS database tables. This informations can be used for other attacks like session hijacking. Open attachment in new browser window In default config setting OTRS opens attachments in new browser windows if an agent clicks on the download symbole. An attacker can exploit this vulnerabilitiy by sending manipulated attachments with active script content which will be executed by the browser with user privileges. Input fields allows injection of script code Missing HTML quoting allows an agent in a valid session the injection of HTML tags. This vulnerability allows an attacker to inject script code into the OTRS webinterface which will be loaded and executed in users browsers. Affected by these vulnerabilities are all releases of OTRS 2.x up to and including 2.0.3 and all releases of OTRS 1.x up to and including 1.3.2. These vulnerabilities are fixed in OTRS 2.0.4 and OTRS 1.3.3. Fixed OTRS releases can be found at: o ftp://ftp.otrs.org/ As a workaround for vulnerability #2 it's possible to disable the 'open attachments in a browser window' feature by changing the config setting "AttachmentDownloadType = attachment". Please send informations regarding vulnerabilities in OTRS to <security(a)otrs.org>. Many thanks to Moritz Naumann (Naumann IT Consulting & Services) for discover this vulnerabilities. Copyright (c) OTRS GmbH, <http://otrs.org/> -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.5 (GNU/Linux) iD8DBQFDhBkOuBqJltZnEl4RAoS0AKCCdj6hxEPsR6r8OPGSB0I8aLW9KwCfR84d Lo/mj+BeK9SD9F82VRPKOP8= =ylGb -----END PGP SIGNATURE-----

1 0

OTRS 2.0.4 (Klong Jark Beach) Released
by Stefan Rother 22 Nov '05

22 Nov '05

Good morning, This is the latest release of OTRS 2.0, and contains some bug fixes and 3 security bug fixes. Detailed informations about the security fixes can be found here: English: http://otrs.org/advisory/OSA-2005-01-en.shtml German: http://otrs.org/advisory/OSA-2005-01-de.shtml The OTRS team recommends all OTRS 2.0.x users to appeal upgrade to OTRS 2.0.4. Changes: ======== o fixed bug #922 - rfc quoteing for emails with sender like info(a)example.com <info(a)example.com> is now "info(a)example.com" <info(a)example.com> o fixed bug #971 - Invalid agents get LockTimeOut notification o fixed bug #948 - Invalid agents should not longer get follow-ups o fixed bug #906 - group names are translated in admin interface o fixed bug #863 - error after using faq in tickets o fixed bug #792 - GPG 1.4.1 is no handled correct o fixed bug #695 - From-Header missing quoting if : is used o fixed bug #639 - problems with german "umlaute" and "," in realname if OE is the sender system o fixed small bug for WorkingTime calculation o fixed input check of TimeVacationDays and TimeVacationDaysOneTime in admin interface (just integer values allowed) o fixed time (hour and minute) selection on 0x default selections in framework (00 selection if 0x was selected) o fixed oracle backend with max length of index and foreign key ident, fixed triger creation - removed not needed / if DBI is used o fixed unlock of closed bulk-action tickets o fixed merge article type to note-external to be shown in the customer interface, other way the customer will get an no permission screen for this ticket o fixed bug in html mime online viewer module (Kernel/Modules/AgentTicketAttachment.pm) o improved bin/PendingJobs.pl to send reminder notifications to queue subscriber if ticket is unlocked (not longer to the ticket owner). o improved sql quote with type (String, Integer and Number) to have a better security o moved to default download type as attachment (not inline) for a better security default setting o added html access keys for customer panel o added missing default pending note type o added missing SessionUseCookie config setting to SysConfig o added missing ContentType in ArticleAttachmentIndex() if fs lookup is used (Kernel/System/Ticket/ArticleStorage*.pm) (for more details: http://cvs.otrs.org/viewcvs.cgi/otrs/CHANGES) Download: ========= ftp://ftp.otrs.org/pub/otrs/ (a full list of all download mirrors (ftp/http/rsync) is available at http://otrs.org/download/) MD5 message digest (128-bit) checksums ====================================== b8a59c4753da036fe9105cbfdf5680b9 RPMS/suse/7.3/otrs-2.0.4-01.i386.rpm 393af13952635af91ab729beb1800655 RPMS/suse/8.x/otrs-2.0.4-01.i386.rpm f146375beb2b3a65a38519ac3396ea63 RPMS/suse/9.0/otrs-2.0.4-01.i386.rpm a254421d92918158594553be6f66fc2e RPMS/suse/9.1/otrs-2.0.4-01.i386.rpm de5828816ceaab90a89809a90a902490 RPMS/redhat/7.x/otrs-2.0.4-01.i386.rpm 40c76efa20321d0d86753fb6e1125db7 RPMS/redhat/8.0/otrs-2.0.4-01.i386.rpm bc08a85102b0ec9712235f2e1ce49c87 SRPMS/suse/7.3/otrs-2.0.4-01.src.rpm b106a1331c043d6dfda8ce1847ba3bf8 SRPMS/suse/8.x/otrs-2.0.4-01.src.rpm ed42fbfd36e4ca91da3d56c4665c5b16 SRPMS/suse/9.0/otrs-2.0.4-01.src.rpm eee3609a37045ea4432f5634f7b97c15 SRPMS/suse/9.1/otrs-2.0.4-01.src.rpm bf9a64434aa2618bdd54da4e92823272 SRPMS/redhat/7.x/otrs-2.0.4-01.src.rpm 27ff3a36eb3855eb73afef2623d878cd SRPMS/redhat/8.0/otrs-2.0.4-01.src.rpm 8ac570f1b0ff6c0a6c7604d409d7b225 otrs-2.0.4-01.tar.gz cfc0fa4f711c2fa92bc513b57632bbfe otrs-2.0.4-01.tar.bz2 Upgrading: ========== For those folks who are using OTRS 1.x and want to upgrade to 2.0 please read the UPGRADING and INSTALL files. Bugreports: =========== http://bugs.otrs.org/ (Thanks!) Thanks for your help and making OTRS the world leading open source trouble ticket system! Have a lot of fun!:) With kind regards, Stefan Rother -- ((otrs)) :: OTRS GmbH :: Europaring 4 :: D - 94315 Straubing Fon: +49 (0) 9421 1862 760 :: Fax: +49 (0) 9421 1862 769 http://www.otrs.com/ :: Communication with success!

1 0