オープンソース PBX およびテレフォニーツールキットである Asterisk で、次の複数の脆弱性が発見されました。

  - CVE-2011-1147 Matthew Nicholson 氏は、UDPTL パケットの処理が不適切なために、サービス拒否または任意のコードの実行に結びつく可能性があることを発見しました。

  - CVE-2011-1174 Blake Cornell 氏は、マネージャインターフェイスの正しくない接続処理のためにサービス拒否が発生する可能性があることを発見しました。

  - CVE-2011-1175 Blake Cornell 氏と Chris May 氏は、正しくない TCP 接続処理のためにサービス拒否が発生する可能性があることを発見しました。

  - CVE-2011-1507 Tzafrir Cohen 氏は、複数の TCP ベースのサービスの接続リクエストの制限が不十分なために、サービス拒否が発生する可能性があることを発見しました。詳細については、AST-2011-005 を参照してください。

  - CVE-2011-1599 Matthew Nicholson 氏は、マネージャインターフェイスで権限昇格の脆弱性を発見しました。

リモートホストは、GLSA-201110-21（Asterisk：複数の脆弱性）

    Asterisk に複数の脆弱性が発見されました。詳細については、以下に記載されているCVE識別番号を参照してください。
  影響：

    認証されていないリモートの攻撃者が、Asterisk プロセスの権限で任意のコードを実行したり、サービス拒否を引き起こしたりする可能性があります。
  回避策：

    現時点では、既知の回避策はありません。

Asterisk 開発チームが、Asterisk ブランチ 1.6.1、1.6.2、1.8 に対するセキュリティリリースを発表しました。使用できるセキュリティリリースは、バージョン 1.6.1.24、1.6.2.17.2、1.8.3.2 としてリリースされています。
これらのリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/releases からすぐにダウンロードできます。** これは、Asterisk 1.6.1.23、1.6.2.17.1、1.8.3.1 の再リリースであり、マネージャによる重複エントリの原因となるバグ（問題 #18987）を含んでいます。
Asterisk 1.6.1.24、1.6.2.17.2、1.8.3.2 のリリースは、次の 2 つの問題を解決します：

- Asterisk Manager インターフェイスでのリソース枯渇（AST-2011-003）

- TCP/TLS サーバーでのリモートクラッシュの脆弱性（AST-2011-004）この問題と解決策は、AST-2011-003 および AST-2011-004 セキュリティアドバイザリに記述されています。これらの脆弱性の詳細については、この発表と同時にリリースされた、セキュリティアドバイザリ AST-2011-003 および AST-2011-004 をご覧ください。現行リリースでの変更の完全リストについては、変更ログを参照してください：
http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.6.1.24 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.6.2.17.2 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.8.3.2 セキュリティアドバイザリ AST-2011-003 および AST-2011-004 は以下を参照してください：
 http://downloads.asterisk.org/pub/security/AST-2011-003.pdf http://downloads.asterisk.org/pub/security/AST-2011-004.pdf

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

SIP バナーのバージョンによると、リモートホストで実行中の Asterisk バージョンは、複数のサービス拒否脆弱性の影響を受ける可能性があります。

  - Asterisk マネージャーインターフェイスに、リソース消費の問題が存在しています。

  - TCP/TLS サーバーに、NULL ポインターデリファレンスの問題が存在しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
53558	Debian DSA-2225-1：asterisk - 複数の脆弱性	Nessus	Debian Local Security Checks	2011/4/27	2021/1/4	high
56625	GLSA-201110-21：Asterisk：複数の脆弱性	Nessus	Gentoo Local Security Checks	2011/10/25	2021/1/6	high
53200	Fedora 15：asterisk-1.8.3.2-1.fc15（2011-3958）	Nessus	Fedora Local Security Checks	2011/3/29	2021/1/11	medium
53242	Fedora 14：asterisk-1.6.2.17.2-1.fc14（2011-3942）	Nessus	Fedora Local Security Checks	2011/4/1	2021/1/11	medium
52714	Asterisk 複数のサービス拒否の脆弱性（AST-2011-003 / AST-2011-004）	Nessus	Denial of Service	2011/3/18	2022/4/11	medium
53243	Fedora 13：asterisk-1.6.2.17.2-1.fc13（2011-3945）	Nessus	Fedora Local Security Checks	2011/4/1	2021/1/11	medium

検出

プラグインの検索

high

high

medium

medium

medium

medium