Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 13.37.1より前の 13.x ]、 16.x より前の 16.14.1、 17.x より前の 17.8.1、 18.x より前の 18.0.1に res_pjsip_session のクラッシュが発見されました。および 16.8-cert5 より前の Certified Asterisk に関連するベクトルを通じて、可用性に影響を与えることが可能です。新しいSIP Inviteの受信時に、Asteriskはロックまたは参照された作成済みダイアログを返しませんでした。これにより、ダイアログオブジェクトの作成と、それを作成したスレッドによるその次の使用との間にギャップが生じました。いくつかの標準的でない状況とタイミングによっては、別のスレッドがこのギャップで前述のダイアログを解放する可能性があります。
    その後、ダイアログオブジェクトまたはその依存オブジェクトのいずれかが、初期作成スレッドによって次に逆参照またはアクセスされるときに、Asterisk がクラッシュする可能性があります。ただし、このクラッシュは SIP トランスポートに接続指向プロトコル例TCP や TLS などUDP は使用しない場合にのみ発生する可能性があることに注意してください。また、リモートクライアントを認証するか、匿名呼び出し用に Asterisk を設定する必要があります。CVE-2020-28327

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2020-28327

medium Nessus プラグイン ID 252371

バージョン 1.3