CVE-2017-16921: OS Command Injection

Published Dec 8, 2017

Updated

In OTRS 6.0.x up to and including 6.0.1, OTRS 5.0.x up to and including 5.0.24, and OTRS 4.0.x up to and including 4.0.26, an attacker who is logged into OTRS as an agent can manipulate form parameters (related to PGP) and execute arbitrary shell commands with the permissions of the OTRS or web server user.

Affected Software

71 affected componentsFixes available

debian/otrs2

6.0.16-26.0.16-2+deb10u16.0.32-6

OTRS OTRS=4.0.1

OTRS OTRS=4.0.2

OTRS OTRS=4.0.3

OTRS OTRS=4.0.4

OTRS OTRS=4.0.5

OTRS OTRS=4.0.6

OTRS OTRS=4.0.7

OTRS OTRS=4.0.8

OTRS OTRS=4.0.9

OTRS OTRS=4.0.10

OTRS OTRS=4.0.11

OTRS OTRS=4.0.12

OTRS OTRS=4.0.13

OTRS OTRS=4.0.14

OTRS OTRS=4.0.15

OTRS OTRS=4.0.16

OTRS OTRS=4.0.17

OTRS OTRS=4.0.18

OTRS OTRS=4.0.19

OTRS OTRS=4.0.20

OTRS OTRS=4.0.21

OTRS OTRS=4.0.22

OTRS OTRS=4.0.23

OTRS OTRS=4.0.24

OTRS OTRS=4.0.25

OTRS OTRS=4.0.26

OTRS OTRS=5.0.0

OTRS OTRS=5.0.0-alpha1

OTRS OTRS=5.0.0-beta1

OTRS OTRS=5.0.0-beta2

OTRS OTRS=5.0.0-beta3

OTRS OTRS=5.0.0-beta4

OTRS OTRS=5.0.0-beta5

OTRS OTRS=5.0.0-rc1

OTRS OTRS=5.0.1

OTRS OTRS=5.0.2

OTRS OTRS=5.0.3

OTRS OTRS=5.0.4

OTRS OTRS=5.0.5

OTRS OTRS=5.0.6

OTRS OTRS=5.0.7

OTRS OTRS=5.0.8

OTRS OTRS=5.0.9

OTRS OTRS=5.0.10

OTRS OTRS=5.0.11

OTRS OTRS=5.0.12

OTRS OTRS=5.0.13

OTRS OTRS=5.0.14

OTRS OTRS=5.0.15

OTRS OTRS=5.0.16

OTRS OTRS=5.0.17

OTRS OTRS=5.0.18

OTRS OTRS=5.0.19

OTRS OTRS=5.0.20

OTRS OTRS=5.0.21

OTRS OTRS=5.0.22

OTRS OTRS=5.0.23

OTRS OTRS=5.0.24

OTRS OTRS=6.0.0

OTRS OTRS=6.0.0-alpha1

OTRS OTRS=6.0.0-beta1

OTRS OTRS=6.0.0-beta2

OTRS OTRS=6.0.0-beta3

OTRS OTRS=6.0.0-beta4

OTRS OTRS=6.0.0-beta5

OTRS OTRS=6.0.0-rc1

OTRS OTRS=6.0.1

Debian Debian Linux=7.0

Debian Debian Linux=8.0

Debian Debian Linux=9.0

Remediation

Patch Available

https://www.otrs.com/security-advisory-2017-09-security-update-otrs-framework/

Event History

Dec 8, 2017

CVE Published

via MITRE·03:00 PM

Data Sourced

via MITRE·03:00 PM

Description

Frequently Asked Questions

What is the severity of CVE-2017-16921?

CVE-2017-16921 is classified as a high severity vulnerability due to its potential to allow attackers to execute arbitrary shell commands.

How do I fix CVE-2017-16921?

To fix CVE-2017-16921, upgrade OTRS to version 6.0.16-2 or higher, or 5.0.25 or higher, depending on your current version.

Which versions of OTRS are affected by CVE-2017-16921?

The affected versions include OTRS 6.0.x up to and including 6.0.1, 5.0.x up to and including 5.0.24, and 4.0.x up to and including 4.0.26.

Can an attacker exploit CVE-2017-16921 remotely?

No, the attacker must be logged into OTRS as an agent to exploit CVE-2017-16921.

Is CVE-2017-16921 related to PGP functionality in OTRS?

Yes, CVE-2017-16921 involves the manipulation of form parameters related to PGP in OTRS.