Debian DSA-2276-1：asterisk - 複数のサービス拒否

medium Nessus プラグイン ID 55554

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Paul Belanger 氏は、AST-2011-008（CVE-2011-2529）として特定された Asterisk の脆弱性により、認証されていない攻撃者が、リモートで Asterisk サーバーをクラッシュさせる可能性があることを報告しました。NULL 文字を含むパッケージにより、SIP ヘッダーパーサーが、関係のないメモリ構造を変更します。

Jared Mauch氏は、AST-2011-009として特定されたAsteriskの脆弱性により、認証されていない攻撃者が、リモートでAsteriskサーバーをクラッシュさせる可能性があることを報告しました。ユーザーが左角括弧（<）がない Contact ヘッダーのあるパッケージを送信した場合、サーバーがクラッシュします。考えられる回避策は、chan_sip を無効にすることです。

AST-2011-010（CVE-2011-2535）として特定された脆弱性では、IAX2 チャネルドライバーの入力検証エラーについて報告されました。認証されていない攻撃者が、細工されたオプションコントロールフレームを送信することで、リモートで Asterisk サーバーをクラッシュさせる可能性があります。

ソリューション

asteriskパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）については、この問題はバージョン1.4.21.2~dfsg-3+lenny5で修正されています。

安定版（stable）ディストリビューション（squeeze）では、この問題はバージョン1.6.2.9-2+squeeze3で修正されました。