Asterisk Manager Interface MixMonitor の権限昇格(AST-2014-006)

medium Nessus プラグイン ID 76087

概要

リモートホストに実行されている Asterisk のバージョンは、権限昇格の脆弱性により影響を受ける場合があります。

説明

SIP バナーでのバージョンによると、リモートホストで実行中の Asterisk のバージョンは、権限昇格の脆弱性の影響を受ける可能性があります。Asterisk Manager Interface(AMI)に欠陥が存在するため、管理者ユーザーは、Asterisk プロセスの権限で任意のシェルコマンドを実行することができます。MixMonitor の管理者の操作に承認が行われていないため、この欠陥が存在します。

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

ソリューション

Asterisk 11.10.1 / 12.3.1 / Certified Asterisk 11.6-cert3 にアップグレードするか、Asterisk アドバイザリにリストされている適切なパッチを適用してください。

参考資料

http://downloads.asterisk.org/pub/security/AST-2014-006.html

http://www.nessus.org/u?d949b72e

https://issues.asterisk.org/jira/browse/ASTERISK-23609

http://www.nessus.org/u?7d60d352

http://www.nessus.org/u?dd99d03c

http://www.nessus.org/u?12bda26e

プラグインの詳細

深刻度: Medium

ID: 76087

ファイル名: asterisk_ast_2014_006.nasl

バージョン: 1.12

タイプ: remote

ファミリー: Misc.

公開日: 2014/6/17

更新日: 2022/4/11

設定: パラノイドモードの有効化, 徹底したチェックを有効にする

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 6.5

Temporal Score: 4.8

ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P

CVSS スコアのソース: CVE-2014-4046

脆弱性情報

CPE: cpe:/a:digium:asterisk

必要な KB アイテム: Settings/ParanoidReport, asterisk/sip_detected

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2014/6/12

脆弱性公開日: 2014/6/12

参照情報

CVE: CVE-2014-4046

BID: 68040