Asterisk 13.x < 13.23.1/14.x < 14.7.8/15.x < 15.6.1/13.21 < 13.21-cert3 HTTP Websocketスタックオーバーフロー（AST-2018-009）
high Nessus プラグイン ID 117808
Language:
概要
リモートホストで実行中のテレフォニーアプリケーションは、リモートサービス拒否の脆弱性の影響を受けます。説明
SIPバナーによると、リモートホストで実行されているAsteriskのバージョンは、13.23.1より前の13.x、14.7.8より前の14.x、15.6.1より前の15.x、または13.21-cert3より前の13.21です。したがって、AST-2018-009に記載されているとおり、スタックオーバーフローのエラーの可能性があるres_http_websocket.soモジュールに関連するエラーの影響を受けます。このエラーにより、サービス拒否攻撃が発生する可能性があります。注意：Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号のみに依存しています。ソリューション
Asteriskバージョン13.23.1/14.7.8/15.6.1/13.21-cert3以降にアップグレードしてください。または、res_http_websocket.soモジュールを読み込まないことで、HTTPWebSocketのアクセスを無効にします。参考資料
http://downloads.asterisk.org/pub/security/AST-2018-009.html
プラグインの詳細
深刻度: High
ID: 117808
ファイル名: asterisk_ast_2018_009.nasl
バージョン: 1.5
タイプ: remote
ファミリー: Misc.
公開日: 2018/9/27
更新日: 2022/4/11
設定: パラノイドモードの有効化, 徹底したチェックを有効にする
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS スコアのソース: CVE-2018-17281
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:digium:asterisk
必要な KB アイテム: asterisk/sip_detected, Settings/ParanoidReport
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2018/9/20
脆弱性公開日: 2018/9/20
参照情報
CVE: CVE-2018-17281