CVE-2017-16921

EPSS 19.9%

Vexday Risk Score

28Bajo

Decisión SSVC (CISA)

Attend

PoC disponible → seguir de cerca

Madurez del exploit

Prueba de concepto

Existe prueba de concepto pública, pero aún no automatizada.

CVSS —EPSS 19.9%KEV nãoPoC públicaNuclei —Metasploit —Patch referenciado

Ciclo de vida

08 dic 2017Publicada en NVD

21 ene 2018PoC pública

Velocidad de armamento

43 díashasta el primer PoC

Recomendación: Planificar corrección próxima — ya existe PoC pública.

In OTRS 6.0.x up to and including 6.0.1, OTRS 5.0.x up to and including 5.0.24, and OTRS 4.0.x up to and including 4.0.26, an attacker who is logged into OTRS as an agent can manipulate form parameters (related to PGP) and execute arbitrary shell commands with the permissions of the OTRS or web server user.

Productos afectados

n/a · n/a

PoCs públicas encontradas — 4

githubgithub.com/Smarttfoxx/OTRS-4.0.1-6.0.1-Remote-Command-Execution★ 0 cve_referencewww.exploit-db.com/exploits/43853/no verificado cve_referencepacketstormsecurity.com/files/162295/OTRS-6.0.1-Remote-Command-Execution.htmlno verificado exploitdbwww.exploit-db.com/exploits/43853no verificado

⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

Referencias

http://packetstormsecurity.com/files/162295/OTRS-6.0.1-Remote-Command-Execution.html https://lists.debian.org/debian-lts-announce/2017/12/msg00015.html https://www.debian.org/security/2017/dsa-4066 https://www.exploit-db.com/exploits/43853/https://www.otrs.com/security-advisory-2017-09-security-update-otrs-framework/