Debian DSA-2493-1：asterisk - サービス拒否

medium Nessus プラグイン ID 59771

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

PBX およびテレフォニーツールキットである Asterisk で複数の脆弱性が発見されました。

- CVE-2012-2947 IAX2 チャネルドライバーのために、リモートの攻撃者が呼を保留にすることで、サービス拒否（デーモンクラッシュ）を引き起こす可能性があります（特定の mohinterpret 設定を有効にした際）。

- CVE-2012-2948 Skinny チャネルドライバーのために、リモートの認証される攻撃者がオフフックモードで接続を閉じることで、サービス拒否（NULL ポインターデリファレンスおよびデーモンクラッシュ）を引き起こす可能性があります。

さらに、Asterisk が SIP チャネルドライバーのデフォルトで、alwaysauthreject オプションを設定しないことが判明しました。このため、リモートの攻撃者が応答行動の違いを観察して、アカウント名の存在を点検することができます。（CVE-2011-2666）このユーザー列挙の脆弱性を憂慮するシステム管理者は、構成の中の alwaysauthreject オプションを有効にする必要があります。後方互換性を維持するために、安定版（stable）バージョン（Asterisk 1.6）のデフォルト設定を変更する予定はありません。