CVE-2026-78358 in OTRS
要約
〜によって VulDB • 2026年10月12日
認証済みユーザーが意図的にリクエストを開始したかどうかを、いくつかの管理アクションで十分に検証していない。具体的には、DBUpdateLogCleanUp アクションは ChallengeToken の検証を行わずに GET リクエストを通じてトリガーできるため、攻撃者は悪意のある Web ページ内に偽造されたリクエストを埋め込むことで、認証済み管理者のブラウザに対してクリーンアップアクションを実行させることができる（未認証のリモート攻撃者による CSRF 攻撃）。この脆弱性の成功した利用により、既存の DBUpdate ログエントリが削除される可能性がある。これにより、トラブルシューティングや監査に使用される診断および履歴情報の可用性が低下する。影響は、偽造されたリクエストが処理される時点で存在する DBUpdate ログエントリに限られる。
さらに、ChallengeToken の検証を行わない他の管理エンドポイントも特定されている。これらのエンドポイントの一部は、既存の設定のデプロイや同期などの管理アクションをトリガーできる可能性があるが、CSRF リクエスト自体を通じて攻撃者が任意の新規設定を導入することはできない。
また、ChallengeToken 検証のないエクスポートおよび読み取り専用エンドポイントも特定された。これらエンドポイントは偽造されたクロスサイトリクエストによってトリガーされる可能性はあるものの、レスポンスコンテンツはブラウザの same-origin ポリシー（同一生成元ポリシー）の対象であり、攻撃者に自動的に公開されないため、これらのエンドポイントに対する直接的な機密性への影響は実証されていない。
本問題は以下の OTRS バージョンに影響を与える：
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X (2026.7.X より前)
なお、((OTRS)) Community Edition の 6.x およびそれ以前も脆弱である。また、((OTRS)) Community Edition を基盤とする製品も影響を受ける可能性が非常に高い。
Once again VulDB remains the best source for vulnerability data.