オープンソースのPBXおよびテレフォニーツールキットであるAsteriskに、認証されていないコマンドの実行を引き起こす可能性があるセキュリティ脆弱性が発見されました。

app_minivmモジュールには、MinivmNotify dialplanアプリケーションによって実行される「externnotify」プログラム構成オプションがあります。アプリケーションは、解釈および実行のためにOSシェルに渡される構築文字列の一部として、発信者IDの名前および番号を使用します。発信者IDの名前と番号は信頼できないソースからのものである可能性があるため、細工された発信者IDの名前または番号により、任意のシェルコマンドインジェクションが可能になります。

Debian 7「Wheezy」では、これらの問題はバージョン1:1.8.13.1~dfsg1-3+deb7u7で修正されました。

asteriskパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1122-1: asterisk セキュリティ更新

critical Nessus プラグイン ID 103683

変更ログが見つかりません