Asterisk 開発チームが、Asterisk ブランチ 1.4、1.6.1、1.6.2、1.8 に対するセキュリティリリースを発表しました。利用可能なセキュリティリリースは、バージョン 1.4.40.1、1.6.1.25、1.6.2.17.3、および 1.8.3.3 としてリリースされます。

このリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/releasesからすぐにダウンロードして利用できます

Asterisk 1.4.40.1、1.6.1.25、1.6.2.17.3 および 1.8.3.3 のリリースは、2 つの問題を解決します：

  - ファイル記述子リソース枯渇（AST-2011-005）

    - Asterisk Manager ユーザーシェルアクセス（AST-2011-006）

この問題とその解決策は、AST-2011-005 および AST-2011-006 セキュリティアドバイザリで説明されています。

これらの脆弱性の詳細については、この発表と同時にリリースされた、セキュリティアドバイザリ AST-2011-005 および AST-2011-006 をご覧ください。

現リリースでの変更の全リストについては、次の変更ログを参照してください：

http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.4.40.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.6.1.25 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.6.2.17.3 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.8.3.3

セキュリティアドバイザリ AST-2011-005 および AST-2011-006 は、以下のサイトで参照できます：

http://downloads.asterisk.org/pub/security/AST-2011-005.pdf http://downloads.asterisk.org/pub/security/AST-2011-006.pdf

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Asterisk 開発チームが、Asterisk 1.6.2.18 のリリースを発表しています。- このリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/からすぐにダウンロードして利用できます

Asterisk 1.6.2.18 のこのリリースにより、コミュニティから報告されている複数の問題が解決されるとともに、皆様のご参加なしにはこれは不可能でした。ありがとうございます!

以下は、このリリースで解決された問題のサンプルです。

  - ダイレクトメディア用のコーデックの両サイドサポートのみを提供します。
    （問題 #17403 をクローズします。one47 により報告およびパッチ済み）

  - DTMF ベースの操作による転送の複数の問題の解決。（問題#17999、#17096、#18395、#17273をクローズします。
    iskatel、gelo、shihchuan、grecco により報告済み。mudgett によりパッチ適用）注：これらの変更についての詳細は、変更ログを必ず参照してください。

  - chan_sipでのデバイスの状態に関連するデッドロックを解決（問題#18310をクローズします。one47 により報告およびパッチ済み。
    jpeeler によりパッチ済み）

  - MeetMe()外でのチャネルリダイレクトなどの、チャネルソフトハングアップに関する問題を修正します（問題#18585をクローズします。oej により報告済みoej、wedhorn、russellb によりテスト済み。russellb によりパッチ済み）

  - ファイルベースストレージのボイスメール順序付けを修正。（問題#18498、#18486の対処完了。JJCinAZ、bluefox により報告済み。
    jpeeler によりパッチ済み）

  - chan_sip による操作での転送中の、BYE 再転送に対する無期限の保護（レビュー：
    https://reviewboard.asterisk.org/r/1077/）

上記にリストされている変更に加えて、セキュリティ問題 AST-2011-005 および AST-2011-006 を解決するコミットが、このリリースにマージされています。AST-2011-005 および AST-2011-006 の詳細は、以下を参照してください。

http://downloads.asterisk.org/pub/security/AST-2011-005.pdf http://downloads.asterisk.org/pub/security/AST-2011-006.pdf

このリリースに記載されている全ての変更のリストについては、変更ログを参照してください：

http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.6.2.1 8 Asterisk開発チームが、Asteriskブランチ1.4、1.6.1、1.6.2、1.8に対するセキュリティリリースを発表しました。利用可能なセキュリティリリースは、バージョン 1.4.40.1、1.6.1.25、1.6.2.17.3、および 1.8.3.3 としてリリースされます。

このリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/releasesからすぐにダウンロードして利用できます

Asterisk 1.4.40.1、1.6.1.25、1.6.2.17.3 および 1.8.3.3 のリリースは、2 つの問題を解決します：

  - ファイル記述子リソース枯渇（AST-2011-005）

    - Asterisk Manager ユーザーシェルアクセス（AST-2011-006）

この問題とその解決策は、AST-2011-005 および AST-2011-006 セキュリティアドバイザリで説明されています。

これらの脆弱性の詳細については、この発表と同時にリリースされた、セキュリティアドバイザリ AST-2011-005 および AST-2011-006 をご覧ください。

現リリースでの変更の全リストについては、次の変更ログを参照してください：

http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.4.40.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.6.1.25 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.6.2.17.3 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.8.3.3

セキュリティアドバイザリ AST-2011-005 および AST-2011-006 は、以下のサイトで参照できます：

http://downloads.asterisk.org/pub/security/AST-2011-005.pdf http://downloads.asterisk.org/pub/security/AST-2011-006.pdf

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Asterisk 開発チームが、Asterisk 1.6.2.18 のリリースを発表しています。- このリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/からすぐにダウンロードして利用できます

Asterisk 1.6.2.18 のこのリリースにより、コミュニティから報告されている複数の問題が解決されるとともに、皆様のご参加なしにはこれは不可能でした。ありがとうございます!

以下は、このリリースで解決された問題のサンプルです。

  - ダイレクトメディア用のコーデックの両サイドサポートのみを提供します。
    （問題 #17403 をクローズします。one47 により報告およびパッチ済み）

  - DTMF ベースの操作による転送の複数の問題の解決。（問題#17999、#17096、#18395、#17273をクローズします。
    iskatel、gelo、shihchuan、grecco により報告済み。mudgett によりパッチ適用）注：これらの変更についての詳細は、変更ログを必ず参照してください。

  - chan_sipでのデバイスの状態に関連するデッドロックを解決（問題#18310をクローズします。one47 により報告およびパッチ済み。
    jpeeler によりパッチ済み）

  - MeetMe()外でのチャネルリダイレクトなどの、チャネルソフトハングアップに関する問題を修正します（問題#18585をクローズします。oej により報告済みoej、wedhorn、russellb によりテスト済み。russellb によりパッチ済み）

  - ファイルベースストレージのボイスメール順序付けを修正。（問題#18498、#18486の対処完了。JJCinAZ、bluefox により報告済み。
    jpeeler によりパッチ済み）

  - chan_sip による操作での転送中の、BYE 再転送に対する無期限の保護（レビュー：
    https://reviewboard.asterisk.org/r/1077/）

上記にリストされている変更に加えて、セキュリティ問題 AST-2011-005 および AST-2011-006 を解決するコミットが、このリリースにマージされています。AST-2011-005 および AST-2011-006 の詳細は、以下を参照してください。

http://downloads.asterisk.org/pub/security/AST-2011-005.pdf http://downloads.asterisk.org/pub/security/AST-2011-006.pdf

このリリースに記載されている全ての変更のリストについては、変更ログを参照してください：

http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.6.2.1 8

Asterisk 開発チームが、Asterisk ブランチ 1.4、1.6.1、1.6.2、1.8 に対するセキュリティリリースを発表しました。利用可能なセキュリティリリースは、バージョン 1.4.40.1、1.6.1.25、1.6.2.17.3、および 1.8.3.3 としてリリースされます。

このリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/releasesからすぐにダウンロードして利用できます

Asterisk 1.4.40.1、1.6.1.25、1.6.2.17.3 および 1.8.3.3 のリリースは、2 つの問題を解決します：

  - ファイル記述子リソース枯渇（AST-2011-005）

    - Asterisk Manager ユーザーシェルアクセス（AST-2011-006）

この問題とその解決策は、AST-2011-005 および AST-2011-006 セキュリティアドバイザリで説明されています。

これらの脆弱性の詳細については、この発表と同時にリリースされた、セキュリティアドバイザリ AST-2011-005 および AST-2011-006 をご覧ください。

現リリースでの変更の全リストについては、次の変更ログを参照してください：

http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.4.40.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.6.1.25 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.6.2.17.3 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.8.3.3

セキュリティアドバイザリ AST-2011-005 および AST-2011-006 は、以下のサイトで参照できます：

http://downloads.asterisk.org/pub/security/AST-2011-005.pdf http://downloads.asterisk.org/pub/security/AST-2011-006.pdf

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

オープンソース PBX およびテレフォニーツールキットである Asterisk で、次の複数の脆弱性が発見されました。

  - CVE-2011-1147 Matthew Nicholson 氏は、UDPTL パケットの処理が不適切なために、サービス拒否または任意のコードの実行に結びつく可能性があることを発見しました。

  - CVE-2011-1174 Blake Cornell 氏は、マネージャインターフェイスの正しくない接続処理のためにサービス拒否が発生する可能性があることを発見しました。

  - CVE-2011-1175 Blake Cornell 氏と Chris May 氏は、正しくない TCP 接続処理のためにサービス拒否が発生する可能性があることを発見しました。

  - CVE-2011-1507 Tzafrir Cohen 氏は、複数の TCP ベースのサービスの接続リクエストの制限が不十分なために、サービス拒否が発生する可能性があることを発見しました。詳細については、AST-2011-005 を参照してください。

  - CVE-2011-1599 Matthew Nicholson 氏は、マネージャインターフェイスで権限昇格の脆弱性を発見しました。

SIP バナーのバージョンによると、リモートホストで実行中の Asterisk バージョンは、複数のサービス拒否脆弱性の影響を受ける可能性があります。

  - Asterisk Managerインターフェイス、Skinny、SIP over TCP、または内蔵HTTPサーバーを有効にしているシステムでは、攻撃者がAsteriskへの接続を数量無制限に開くことができ、Asteriskが利用可能なファイル記述子を使い果たし、新たな呼び出しの処理を停止する可能性があります。（AST-2011-005）

  - セキュリティチェックをバイパスして、その能力を持つべきでないにも関わらず、シェルコマンドを実行することができます。
    注意:「system」権限を持つユーザーのみがこれを行うことができる必要があります。（AST-2011-006）

リモートホストは、GLSA-201110-21（Asterisk：複数の脆弱性）

    Asterisk に複数の脆弱性が発見されました。詳細については、以下に記載されているCVE識別番号を参照してください。
  影響：

    認証されていないリモートの攻撃者が、Asterisk プロセスの権限で任意のコードを実行したり、サービス拒否を引き起こしたりする可能性があります。
  回避策：

    現時点では、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
53566	Fedora 15：asterisk-1.8.3.3-1.fc15（2011-5835）	Nessus	Fedora Local Security Checks	2011/4/27	2021/1/11	high
53835	Fedora 13：asterisk-1.6.2.18-1.fc13（2011-6208）	Nessus	Fedora Local Security Checks	2011/5/9	2021/1/11	high
54286	Fedora 14：asterisk-1.6.2.18-1.fc14（2011-6225）	Nessus	Fedora Local Security Checks	2011/5/17	2021/1/11	high
53558	Debian DSA-2225-1：asterisk - 複数の脆弱性	Nessus	Debian Local Security Checks	2011/4/27	2021/1/4	high
53544	Asterisk 複数の脆弱性（AST-2011-005 / AST-2011-006）	Nessus	Denial of Service	2011/4/25	2022/4/11	medium
56625	GLSA-201110-21：Asterisk：複数の脆弱性	Nessus	Gentoo Local Security Checks	2011/10/25	2021/1/6	high

検出

プラグインの検索

high

high

high

high

medium

high