IgorG – персональные заметки

Сегодня появились новые версии во всех ветках проекта Asterisk. Столь масштабное действие связано с обнаружением сразу трёх уязвимостей, позволяющих нарушить работу телефонной системы. Очень рекомендую всем обновиться, так как характер уязвимостей таков, что им подвержены практически все установленные системы. Краткое описание белютеней безопасности ниже.

AST-2008-002 связан с обнаружением двух переполнений буфера при обработки типа нагрузки в RTP пакетах. Уязвимости подвержены все системы версий 1.4 и выше использующие SIP протокол. В исходном сообщении не указано, но возможно подвержены уязвимости и другие протоколы, использующие RTP стек Asterisk. Подробности >>

AST-2008-003 описывает уязвимость, которая позволяет атакующему обойти аутентификацию и совершить звонок в контекст, указанный в секции general sip.conf. Уязвимости подвержены все пользователи SIP версий 1.0, 1.2, 1.4 или 1.6. Подробности >>

AST-2008-003 — уязвимость связанная с форматированием строк в коде ast_verbose и Asterisk manager interface (AMI). Уязвимсть затрагивает только пользователей версии 1.6. Подробнее >>

Похожие сообщения:

• Развитие asterisk #10 (25 марта—3 апреля)
• Развитие asterisk #9 (17-24 марта)
• Asterisk 1.6.1.2 (AST-2009-004) и кандидаты в релиз
• Несколько учетных записей одного провайдера на Asterisk
• Несколько h.323 endpoint в Yate

автор igorg \\ теги: rtp, sip, дыра, уязвсимость