リモートホストが、GLSA-201405-05 で説明されている脆弱性の影響を受けます（Asterisk：サービス拒否）

Asterisk に複数の脆弱性が発見されました。詳細については、以下に参照されている CVE 識別子および Asterisk プロジェクトセキュリティアドバイザリを参照してください。
 影響：

リモートの攻撃者が、サービス拒否状態を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Asterisk 開発チームが、Certified Asterisk 1.8.15、11.6、と Asterisk 1.8、11、12 用のセキュリティリリースを発表しています。入手できるセキュリティリリースは、バージョン 1.8.15-cert5、11.6-cert2、1.8.26.1、11.8.1、 12.1.1 としてリリースされています。

これらのリリースは、http://downloads.asterisk.org/pub/telephony/asterisk/releases からすぐにダウンロード可能です。

これらのバージョンのリリースは、次の問題を解決します：

- AST-2014-001：クッキーヘッダーの HTTP 処理での、スタックオーバーフロー。

Asterisk により処理される HTTP リクエストを、大量のクッキーヘッダーと共に送信すると、スタックがオーバーフローすることがあります。

似たような路線のもう一つの脆弱性では、その中に非常識な数のヘッダーがある HTTP リクエストで、システムメモリが使い果たされる可能性があります。

- AST-2014-002：chan_sip：不適切なセッションタイマーリクエストでは、早期に終了します

この変更により、着信リクエストがどんな方法であれ拒否されようとしている場合に、chan_sip では、チャネルの作成、および関連する記述子の消費を、完全に回避することができます。

さらに、12.1.1 のリリースにより、以下の問題が解決されます。

- AST-2014-003：res_pjsip：401/407 応答を処理するとき、リクエストにエンドポイントがあることを前提にしないでください。

この変更により、発信リクエストには必ずエンドポイントがあるという前提が取り除かれ、authenticate_qualify オプションは再度機能します。

Asterisk 12.1.0 で修正された脆弱性についての、セキュリティアドバイザリ AST-2014-004 が、ついにリリースされました。Asterisk 12.0.0 のユーザーには、 12.1.1 にアップグレードして、両方の脆弱性を解決することを、奨励します。

これらの問題およびその解決策は、セキュリティアドバイザリで説明しています。

これらの脆弱性の詳細については、この発表と同時にリリースされた、セキュリティアドバイザリ AST-2014-001、 AST-2014-002、AST-2014-003、AST-2014-004 を、お読みください。

現リリースの変更一覧については、次の変更ログを参照してください：

http://downloads.asterisk.org/pub/telephony/certified-asterisk/release s/ChangeLog-1.8.15-cert5 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-1.8.26.1 http://downloads.asterisk.org/pub/telephony/certified-asterisk/release s/ChangeLog-11.6-cert2 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-11.8.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLo g-12.1.1

以下の URL でセキュリティアドバイザリは現在利用可能です：

- http://downloads.asterisk.org/pub/security/AST-2014-001。
 pdf

- http://downloads.asterisk.org/pub/security/AST-2014-002.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-003.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-004.pdf Asterisk 開発チームは、Asterisk 11.8.0 のリリースを発表しました。このリリースは、http://downloads.asterisk.org/pub/telephony/asterisk からすぐにダウンロードできます。

Asterisk 11.8.0 のリリースにより、コミュニティから報告されているいくつかの問題が解決されますが、これは皆様のご参加なしには不可能でした。
ありがとうございます!

このリリースでは、次の問題が解決されました：

このリリースで修正されるバグ：

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

CVE-2014-6610 11.12.1 より前の Asterisk Open Source 11.x、12.5.1 より前の Asterisk Open Source 12.x、および 11.6-cert6 より前の Certified Asterisk 11.6 において、res_fax_spandsp モジュールを使用している場合、認証されたリモートのユーザーが、ReceiveFax dialplan アプリケーションで適切に処理されない呼び出し外のメッセージを通じて、サービス拒否（クラッシュ）を引き起こす可能性があります。

CVE-2014-4046 11.10.1 より前の Asterisk Open Source 11.x、12.3.1 より前の Asterisk Open Source 12.x、および 11.6-cert3 より前の Certified Asterisk 11.6 において、認証されたリモートの Manager ユーザーが、MixMonitor 操作を通じて、任意のシェルコマンドを実行する可能性があります。

CVE-2014-2286 1.8.26.1 より前の Asterisk Open Source 1.8.x、11.8.1 より前の Asterisk Open Source 11.8.x、12.1.1 より前の Asterisk Open Source 12.1.x、および 1.8.15-cert5 より前の Certified Asterisk 1.8.x、11.6-cert2 より前の Certified Asterisk 11.6 において、main/http.c により、リモートの攻撃者が、多数のクッキーヘッダーがある HTTP リクエストを通じて、サービス拒否（スタックの消費）を引き起こし、任意のコードを実行する可能性があります。

CVE-2014-8412 1.8.32.1 より前の Asterisk Open Source 1.8.x、11.14.1 より前の Asterisk Open Source 11.x、12.7.1 より前の Asterisk Open Source 12.x、13.0.1 より前の Asterisk Open Source 13.x、および 1.8.28-cert3 より前の Certified Asterisk 1.8.28、11.6-cert8 より前の Certified Asterisk 11.6 において、(1) VoIP チャネルドライバー、(2) DUNDi、および (3) Asterisk Manager Interface（AMI）により、リモートの攻撃者が、最初の ACL エントリとしてアドレスファミリーを共有しないソース IP を伴うパケットを通じて、ACL 制限をバイパスする可能性があります。

CVE-2014-8418 1.8.32 より前の Asterisk Open Source 1.8.x、11.1.4.1 より前の Asterisk Open Source 11.x、12.7.1 より前の Asterisk Open Source 12.x、13.0.1 より前の Asterisk Open Source 13.x、および 1.8.28-cert8 より前の Certified Asterisk 1.8、11.6-cert8 より前の Certified Asterisk 11.6 において、DB dialplan 関数により、認証されたリモートのユーザーが、AMI プロトコルにより実証されている外部プロトコルからの呼び出しを通じて、権限を取得する可能性があります。

CVE-2015-3008 1.8.32.3 より前の Asterisk Open Source 1.8、11.17.1 より前の Asterisk Open Source 11.x、12.8.2 より前の Asterisk Open Source 12.x、13.3.2 より前の Asterisk Open Source 13.x、および 1.8.28-cert5 より前の Certified Asterisk 1.8.28、11.6-cert11 より前の Certified Asterisk 11.6、13.1-cert2 より前の Certified Asterisk 13.1 において、SIP TLS デバイスを登録する際に、サブジェクトの X.509 証明書の Common Name（CN）フィールドで、ドメイン名にある null バイトが適切に処理されていません。これにより、中間者攻撃の攻撃者が、正当な証明機関により発行された細工された証明書を通じて、任意の SSL サーバーを偽装する可能性があります。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Asterisk プロジェクトによる報告：

クッキーヘッダーの HTTP 処理での、スタックオーバーフロー。Asterisk により処理される HTTP リクエストを、大量のクッキーヘッダーと共に送信すると、スタックがオーバーフローすることがあります。リクエストで、無制限の数のヘッダーを送信すると、メモリを使い果たす可能性すらあります。

chan_sip Session-Timers によるファイル記述子の使い果たしを介したサービス拒否。攻撃者は、SIP INVITE リクエストを使用して、すべての利用可能なファイル記述子を使用できます。Asterisk は、この条件を満たす INVITE に対するコード 400、420、422 で反応します。これらの条件を満たす各 INVITE は、チャネルや複数のファイルの記述子を漏洩します。Asterisk を再起動しないとファイル記述子を解放できません。Asterisk によってリクエストをゆっくり送信することで、侵入検知システムをバイパスできる可能性があります。

PJSIP チャネルドライバーでのリモートクラッシュ脆弱性AOR で「qualify_frequency」構成オプションが有効で、リモート SIP サーバーが結果としての OPTIONS リクエストの認証にチャレンジする場合に、PJSIP チャネルドライバーにリモートで悪用できるクラッシュ脆弱性が存在します。応答処理コードが、PJSIP エンドポイントは発信される不適切なリクエストと常に関連するという、間違った仮定をします。

SIP バナー内のバージョンによると、リモートホストで実行されている Asterisk のバージョンが、サービス拒否脆弱性の影響を受ける可能性があります。

大量のクッキーヘッダーを含む HTTP リクエストが適切に検証されていない場合に、スタックオーバーフローの欠陥が存在します。リクエストに無制限のクッキーヘッダーがある場合、リモートの攻撃者がサービス拒否を引き起こす可能性があります。

Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

asterisk で次のような複数の脆弱性が発見され、修正されています：

Asterisk により処理される HTTP リクエストを、大量のクッキーヘッダーと共に送信すると、スタックがオーバーフローすることがあります。リクエストで無制限の数のヘッダーを送信すると、メモリを使い果たす可能性があります（CVE-2014-2286）。

攻撃者は、SIP INVITE リクエストを使用して、すべての利用可能なファイル記述子を使用できます。Asterisk は、この条件を満たす INVITE に対するコード 400、420、422 で反応します。これらの条件を満たす各 INVITE は、チャネルや複数のファイルの記述子を漏洩します。Asterisk を再起動しないとファイル記述子を解放できないため、リクエストをゆっくり送信することで、侵入検知システムをバイパスできる可能性があります（CVE-2014-2287）。

更新されたパッケージは、これらの問題に対して脆弱ではない 11.8.1 バージョンにアップグレードされています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
73861	GLSA-201405-05：Asterisk：サービス拒否	Nessus	Gentoo Local Security Checks	2014/5/5	2021/1/6	high
73142	Fedora 19：asterisk-11.8.1-1.fc19（2014-3779）	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high
90873	Debian DLA-455-1：asterisk セキュリティ更新	Nessus	Debian Local Security Checks	2016/5/4	2021/1/11	high
72953	FreeBSD：asterisk -- 複数の脆弱性（03159886-a8a3-11e3-8f36-0025905a4771）	Nessus	FreeBSD Local Security Checks	2014/3/12	2021/1/6	high
73019	Asterisk main/http.c DoS（AST-2014-001）	Nessus	Misc.	2014/3/14	2022/4/11	high
73141	Fedora 20：asterisk-11.8.1-1.fc20（2014-3762）	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high
73582	Mandriva Linux セキュリティアドバイザリ：asterisk（MDVSA-2014:078）	Nessus	Mandriva Local Security Checks	2014/4/17	2021/1/6	high

検出

プラグインの検索

high

high

high

high

high

high

high