Asterisk biztonsági szabályok megkerülési és szolgáltatás megtagadási sérülékenysége

CH azonosító

CH-4810

Angol cím

Asterisk Security Bypass and Denial of Service Vulnerabilities

Felfedezés dátuma

2011.04.25.

Súlyosság

Közepes

Érintett rendszerek

Asterisk
Asterisk Business Edition
Digium

Érintett verziók

Asterisk 1.x
Asterisk Business Edition 3.x

Összefoglaló

Az Asterisk két olyan sérülékenységét jelentették, amelyet rosszindulatú felhasználók kihasználhatnak bizonyos biztonsági korlátozások megkerülésére és a támadók szolgáltatás megtagadást (Denial of Service – DoS) okozhatnak.

Leírás

  1. Az alkalmazás nem megfelelően korlátozza az egyszerre létrehozható TCP csatlakozások számát, például az Asterisk Manager Interface, Skinny, SIP over TCP vagy a beépített HTTP szerver, ami kihasználható az összes elérhető fájl-leíró felhasználására és az Asterisk új hívások feldolgozásának leállítására.
  2. Az Asterisk Manager Interface hibáját okozza az “Originate” műveletek feldolgozása, ami kihasználható bizonyos biztonsági ellenőrzések megkerülésére és tetszőleges shell parancs lefuttatására, olyan “Originate” művelet elküldésével, amely tartalmazza mind az “Async” , mind az “Application” fejet.

A sérülékenység sikeres kihasználásának feltétele, hogy a támadó hitelesített manager felhasznaló legyen.

A sérülékenységeket az Asterisk Open Source 1.4.40.1-et megelőző verzióiban, az 1.6.1.25, 1.6.2.17.3, 1.8.3.3 verziókban és az Asterisk Business Edition C.3.6.4-et megelőző verzióiban jelentették.

Megoldás

Frissítsen a legújabb verzióra, vagy alkalmazza a javításokat. Állítson be korlátozásokat a hitelesítetlen csatlakozásokra.


Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-9968 – ASUS Armoury Crate sérülékenysége
CVE-2025-9337 – ASUS Armoury Crate sérülékenysége
CVE-2025-9336 – ASUS Armoury Crate sérülékenysége
CVE-2025-47827 – IGEL OS Use of a Key Past its Expiration Date sérülékenysége
CVE-2025-24990 – Microsoft Windows Untrusted Pointer Dereference sérülékenysége
CVE-2025-59230 – Microsoft Windows Improper Access Control sérülékenysége
CVE-2025-6264 – Rapid7 Velociraptor Incorrect Default Permissions sérülékenysége
CVE-2016-7836 – SKYSEA Client View Improper Authentication sérülékenysége
CVE-2025-7330 – Rockwell NAT CSRF sérülékenysége
Tovább a sérülékenységekhez »