Asterisk 開発チームが、Certified Asterisk 1.8.15、11.6、と Asterisk 1.8、11、12 用のセキュリティリリースを発表しています。入手できるセキュリティリリースは、バージョン 1.8.15-cert5、11.6-cert2、1.8.26.1、11.8.1、 12.1.1 としてリリースされています。

これらのリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/releases からすぐにダウンロード可能です。

これらのバージョンのリリースは、次の問題を解決します：

- AST-2014-001：クッキーヘッダーの HTTP 処理での、スタックオーバーフロー。

Asterisk により処理される HTTP リクエストを、大量のクッキーヘッダーと共に送信すると、スタックがオーバーフローすることがあります。

似たような路線のもう一つの脆弱性では、その中に非常識な数のヘッダーがある HTTP リクエストで、システムメモリが使い果たされる可能性があります。

- AST-2014-002：chan_sip：不適切なセッションタイマーリクエストでは、早期に終了します

この変更により、着信リクエストがどんな方法であれ拒否されようとしている場合に、chan_sip では、チャネルの作成、および関連する記述子の消費を、完全に回避することができます。

さらに、12.1.1 のリリースにより、以下の問題が解決されます。

- AST-2014-003：res_pjsip：401/407 応答を処理するとき、リクエストにエンドポイントがあることを前提にしないでください。

この変更により、発信リクエストには必ずエンドポイントがあるという前提が取り除かれ、authenticate_qualify オプションは再度機能します。

Asterisk 12.1.0 で修正された脆弱性についての、セキュリティアドバイザリ AST-2014-004 が、ついにリリースされました。Asterisk 12.0.0 のユーザーには、 12.1.1 にアップグレードして、両方の脆弱性を解決することを、奨励します。

これらの問題およびその解決策は、セキュリティアドバイザリで説明しています。

これらの脆弱性の詳細については、この発表と同時にリリースされた、セキュリティアドバイザリ AST-2014-001、 AST-2014-002、AST-2014-003、AST-2014-004 を、お読みください。

現リリースの変更一覧については、次の変更ログを参照してください：

http://downloads.asterisk.org/pub/telephony/certified-asterisk/release s/ChangeLog-1.8.15-cert5 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.8.26.1 http://downloads.asterisk.org/pub/telephony/certified-asterisk/release s/ChangeLog-11.6-cert2 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-11.8.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-12.1.1

以下の URL でセキュリティアドバイザリは現在利用可能です：

- http://downloads.asterisk.org/pub/security/AST-2014-001。
 pdf

- http://downloads.asterisk.org/pub/security/AST-2014-002.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-003.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-004.pdf Asterisk 開発チームは、Asterisk 11.8.0 のリリースを発表しました。このリリースは、http://downloads.asterisk.org/pub/telephony/asterisk からすぐにダウンロードできます。

Asterisk 11.8.0 のリリースにより、コミュニティから報告されているいくつかの問題が解決されますが、これは皆様のご参加なしには不可能でした。
ありがとうございます!

このリリースでは、次の問題が解決されました：

このリリースで修正されるバグ：

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストが、GLSA-201405-05 で説明されている脆弱性の影響を受けます（Asterisk：サービス拒否）

Asterisk に複数の脆弱性が発見されました。詳細については、以下に参照されている CVE 識別子および Asterisk プロジェクトセキュリティアドバイザリを参照してください。
 影響：

リモートの攻撃者が、サービス拒否状態を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

SIP バナー内のバージョンによると、リモートホストで実行されている Asterisk のバージョンが、サービス拒否脆弱性の影響を受ける可能性があります。

「SUBSCRIBE」リクエストを処理する際、PJSIP チャネルドライバーに欠陥が存在します。Asterisk が、Accept ヘッダーなしで presence Event の「SUBSCRIBE」リクエストを受信すると、そのヘッダー場所に対する無効なポインターへのアクセスを試みます。リモートの攻撃者がこの欠陥を悪用し、特別に細工されたリクエストを送信することで、プログラムをクラッシュさせる可能性があります。

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
73141	Fedora 20：asterisk-11.8.1-1.fc20（2014-3762）	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high
73861	GLSA-201405-05：Asterisk：サービス拒否	Nessus	Gentoo Local Security Checks	2014/5/5	2021/1/6	high
73022	Asterisk PJSIP チャネルドライバーサブスクリプションの DoS（AST-2014-004）	Nessus	Misc.	2014/3/14	2022/4/11	low
73142	Fedora 19：asterisk-11.8.1-1.fc19（2014-3779）	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high

検出

プラグインの検索

high

high

low

high