概要
OTRS および ((OTRS)) Community Edition のデータベースレイヤーモジュールにおける不適切な入力検証により、未認証の SQL インジェクションが可能です。攻撃が成功した場合、認証バイパスにつながります。
この問題は MySQL/MariaDB サーバーが NO_BACKSLASH_ESCAPES SQL モードで構成されている場合にのみ影響を受けます。当該 SQL モードが無効（デフォルト設定）の環境では脆弱性は成立しません。
CVSSベクトル
| 要素 | 値 | 説明 |
|---|---|---|
| Attack Vector | Network | ネットワーク経由で攻撃可能 |
| Attack Complexity | Low | 特別な条件不要（ただし NO_BACKSLASH_ESCAPES 設定が必要） |
| Privileges Required | None | 認証不要 |
| User Interaction | None | ユーザー操作不要 |
| Scope | Unchanged | 影響範囲変化なし |
| Confidentiality | High | データベース内容漏洩のリスク |
| Integrity | High | データ改ざんのリスク |
| Availability | None | 可用性への直接影響なし |
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン |
|---|---|---|
| OTRS | 7.0.X | 2026.4.X 以降 |
| OTRS | 8.0.X | 2026.4.X 以降 |
| OTRS | 2023.X | 2026.4.X 以降 |
| OTRS | 2024.X | 2026.4.X 以降 |
| OTRS | 2025.X | 2026.4.X 以降 |
| OTRS | 2026.3.X 以前 | 2026.4.X 以降 |
| ((OTRS)) Community Edition | 6.0.x | パッチなし（移行を推奨） |
修正バージョンと回避策
修正バージョン: OTRS 2026.4.X 以降へアップグレードしてください。
回避策: MySQL/MariaDB の NO_BACKSLASH_ESCAPES モードを無効化することで、この脆弱性の攻撃条件を解消できます。ただし、アプリケーションの動作に影響する場合があるため、テスト環境での検証を推奨します。
((OTRS)) Community Edition はサポートが終了しているため、商用 OTRS またはその他のシステムへの移行を検討してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。