CVE-2009-5056: Input Validation

Q: What is the severity of CVE-2009-5056?

CVE-2009-5056 has a medium severity rating because it allows remote authenticated users to circumvent access restrictions.

Q: How do I fix CVE-2009-5056?

To fix CVE-2009-5056, upgrade OTRS to version 2.4.0-beta2 or later.

Q: What is affected by CVE-2009-5056?

CVE-2009-5056 affects OTRS versions prior to 2.4.0-beta2, including multiple beta and release candidates.

Q: What can attackers do with CVE-2009-5056?

Attackers can bypass intended access restrictions and read tickets they should not have access to by using the watched-ticket feature.

Q: When was CVE-2009-5056 disclosed?

CVE-2009-5056 was disclosed in 2009 as part of an ongoing security review of the OTRS application.

Published Mar 18, 2011

Updated

Open Ticket Request System (OTRS) before 2.4.0-beta2 does not properly enforce the moveinto permission setting for a queue, which allows remote authenticated users to bypass intended access restrictions and read a ticket by watching this ticket, and then selecting the ticket from the watched-tickets list.

Affected Software

83 affected components

OTRS OTRS<=2.4.0

OTRS OTRS=0.5-beta1

OTRS OTRS=0.5-beta2

OTRS OTRS=0.5-beta3

OTRS OTRS=0.5-beta4

OTRS OTRS=0.5-beta5

OTRS OTRS=0.5-beta6

OTRS OTRS=0.5-beta7

OTRS OTRS=0.5-beta8

OTRS OTRS=1.0-rc1

OTRS OTRS=1.0-rc2

OTRS OTRS=1.0-rc3

OTRS OTRS=1.0.0

OTRS OTRS=1.0.1

OTRS OTRS=1.0.2

OTRS OTRS=1.1-rc1

OTRS OTRS=1.1.0-rc1

OTRS OTRS=1.1.0-rc2

OTRS OTRS=1.1.1

OTRS OTRS=1.1.2

OTRS OTRS=1.1.3

OTRS OTRS=1.1.4

OTRS OTRS=1.2.0-beta1

OTRS OTRS=1.2.0-beta2

OTRS OTRS=1.2.0-beta3

OTRS OTRS=1.2.1

OTRS OTRS=1.2.2

OTRS OTRS=1.2.3

OTRS OTRS=1.2.4

OTRS OTRS=1.3.0-beta1

OTRS OTRS=1.3.0-beta2

OTRS OTRS=1.3.0-beta3

OTRS OTRS=1.3.0-beta4

OTRS OTRS=1.3.1

OTRS OTRS=1.3.2

OTRS OTRS=1.3.3

OTRS OTRS=2.0.0

OTRS OTRS=2.0.0-beta1

OTRS OTRS=2.0.0-beta2

OTRS OTRS=2.0.0-beta4

OTRS OTRS=2.0.0-beta5

OTRS OTRS=2.0.0-beta6

OTRS OTRS=2.0.1

OTRS OTRS=2.0.2

OTRS OTRS=2.0.3

OTRS OTRS=2.0.4

OTRS OTRS=2.0.5

OTRS OTRS=2.1.0-beta1

OTRS OTRS=2.1.0-beta2

OTRS OTRS=2.1.1

OTRS OTRS=2.1.2

OTRS OTRS=2.1.3

OTRS OTRS=2.1.4

OTRS OTRS=2.1.5

OTRS OTRS=2.1.6

OTRS OTRS=2.1.7

OTRS OTRS=2.1.8

OTRS OTRS=2.1.9

OTRS OTRS=2.2.0-beta1

OTRS OTRS=2.2.0-beta2

OTRS OTRS=2.2.0-beta3

OTRS OTRS=2.2.0-beta4

OTRS OTRS=2.2.0-rc1

OTRS OTRS=2.2.1

OTRS OTRS=2.2.2

OTRS OTRS=2.2.3

OTRS OTRS=2.2.4

OTRS OTRS=2.2.5

OTRS OTRS=2.2.6

OTRS OTRS=2.2.7

OTRS OTRS=2.2.8

OTRS OTRS=2.2.9

OTRS OTRS=2.3.0-beta1

OTRS OTRS=2.3.0-beta2

OTRS OTRS=2.3.0-beta3

OTRS OTRS=2.3.0-beta4

OTRS OTRS=2.3.0-rc1

OTRS OTRS=2.3.1

OTRS OTRS=2.3.2

OTRS OTRS=2.3.3

OTRS OTRS=2.3.4

OTRS OTRS=2.3.5

OTRS OTRS=2.3.6

Event History

Mar 18, 2011

CVE Published

via MITRE·04:00 PM

Data Sourced

via MITRE·04:00 PM

Description

Frequently Asked Questions

What is the severity of CVE-2009-5056?

CVE-2009-5056 has a medium severity rating because it allows remote authenticated users to circumvent access restrictions.

How do I fix CVE-2009-5056?

To fix CVE-2009-5056, upgrade OTRS to version 2.4.0-beta2 or later.

What is affected by CVE-2009-5056?