Debian DLA-3194-1：asterisk - LTS 安全更新
critical Nessus 插件 ID 167926
语言：
简介
远程 Debian 主机上缺少一个或多个与安全性相关的更新。描述
远程 Debian 10 主机上安装的程序包受到 dla-3194 公告中提及的多个漏洞影响。- PJSIP 是用 C 语言编写的免费开源多媒体通信库，实现基于标准的协议，例如 SIP、SDP、RTP、STUN、TURN 和 ICE。在受影响版本中，如果传入的 STUN 消息包含 ERROR-CODE 属性，则在执行减法操作前不会检查标头长度，继而有可能导致整数下溢情形。此问题会影响所有使用 STUN 的用户。位于受害者网络内的恶意执行者可能会伪造并发送特别构建的 UDP (STUN) 消息，继而可能在受害者的计算机上远程执行任意代码。建议用户尽快升级。没有已知的变通方案。(CVE-2021-37706)
- 调用 pjsua_player_create 时，PJSUA API 中发生堆栈溢出问题。攻击者控制的“filename”参数可能会造成缓冲区溢出漏洞，原因是该参数在未经验证大小的情况下，便被复制到固定大小的堆栈缓冲区。
(CVE-2021-43299)
- 调用 pjsua_recorder_create 时，PJSUA API 中发生堆栈溢出问题。攻击者控制的“filename”参数可能会造成缓冲区溢出漏洞，原因是该参数在未经验证大小的情况下，便被复制到固定大小的堆栈缓冲区。
(CVE-2021-43300)
- 调用 pjsua_playlist_create 时，PJSUA API 中发生堆栈溢出问题。攻击者控制的“file_names”参数可能会造成缓冲区溢出漏洞，原因是该参数在未经验证大小的情况下，便被复制到固定大小的堆栈缓冲区。(CVE-2021-43301)
- 调用 pjsua_recorder_create 时，PJSUA API 中发生读取越界问题。当文件名短于 4 个字符时，攻击者控制的“filename”参数可能导致越界读取。(CVE-2021-43302)
- 调用 pjsua_call_dump 时，PJSUA API 中发生缓冲区溢出问题。攻击者控制的“buffer”参数可能导致缓冲区溢出，原因是提供小于 128 个字符的输出缓冲区可能会造成输出缓冲区溢出问题，无论提供的“maxlen”参数为何 (CVE-2021-43303)
- PJSIP 是用 C 语言编写的免费开源多媒体通信库，实现基于标准的协议，例如 SIP、SDP、RTP、STUN、TURN 和 ICE。在受影响版本中，如果传入的 RTCP BYE 消息包含原因长度，则不会针对实际接收到的数据包大小检查此声明长度，从而可能导致越界读取访问问题。此问题会影响所有使用 PJMEDIA 和 RTCP 的用户。恶意执行者可发送包含无效原因长度的 RTCP BYE 消息。
建议用户尽快升级。没有已知的变通方案。(CVE-2021-43804)
- PJSIP 是一个免费开源多媒体通信库。在 2.11.1 及之前版本中，如果传入的 RTCP XR 消息包含区块，则不会针对接收到的数据包大小检查数据字段，继而有可能导致越界读取访问问题。此问题会影响所有使用 PJMEDIA 和 RTCP 的用户。恶意执行者可发送包含无效数据包大小的 RTCP XR 消息。(CVE-2021-43845)
- 在 Sangoma Asterisk 16.x 版的 16.16.2 之前版本、17.x 的 17.9.3 之前版本、18.x 的 18.2.2 之前版本、以及低于 16.8-cert7 版的 Certified Asterisk 中，res_pjsip_t38 允许攻击者通过在对 Asterisk 发起的 T.38 re-invite 的响应中发送 m=image 行和 0 端口来触发程序崩溃。这是 CVE-2019-15297 症状的再次出现，但原因并不完全相同。发生崩溃的原因是存在与活动拓扑相关的“附加”操作，这本来应该是“替换”操作。
(CVE-2021-46837)
- PJSIP 是用 C 语言编写的免费开源多媒体通信库，实现基于标准的协议，例如 SIP、SDP、RTP、STUN、TURN 和 ICE。在 2.11.1 版及之前版本中，某些传入的 RTP/RTCP 数据包可能会在多种情况下造成越界读取访问问题。此问题会影响所有使用 PJMEDIA 和接受传入 RTP/RTCP 的用户。可以在 `master` 分支中提交补丁。没有已知的变通方案。(CVE-2022-21722)
- PJSIP 是用 C 语言编写的免费开源多媒体通信库，实现基于标准的协议，例如 SIP、SDP、RTP、STUN、TURN 和 ICE。在 2.11.1 及之前版本中，解析包含畸形分段的传入 SIP 消息可能会造成越界读取访问问题。此问题影响接受 SIP 分段的所有 PJSIP 用户。可以在 `master` 分支中提交补丁。没有已知的变通方案。(CVE-2022-21723)
- PJSIP 是用 C 语言编写的免费开源多媒体通信库，实现基于标准的协议，例如 SIP、SDP、RTP、STUN、TURN 和 ICE。在 2.11.1 及之前版本中，当处于对话集（或分支）情况下，由多个 UAC 对话共享的哈希密钥可能会因其中一个对话遭到破坏而被过早释放。该问题可能导致在哈希表中多次注册对话框集（使用不同的哈希密钥），从而导致未定义的行为，例如最终将导致死循环的对话框列表冲突。db3235953baa56d2fb0e276ca510fefca751643f 提交中包含一个将在下个版本中引入的补丁。目前尚无针对此问题的解决方案。(CVE-2022-23608)
- PJSIP 是一个以 C 语言编写的免费开源多媒体通信库。 2.12 和之前版本中包含的一个漏洞会影响在其应用程序中使用 PJSIP XML 解析的 PJSIP 用户。因此，建议用户进行更新。没有已知的变通方案。(CVE-2022-24763)
- PJSIP 是以 C 语言编写的免费开源多媒体通信库。2.12 及之前版本中包含一个堆栈缓冲区溢出漏洞，该漏洞会影响 PJSUA2 用户或者调用 API `pjmedia_sdp_print()、pjmedia_sdp_media_print()` 的用户。不使用 PJSUA2 且不直接调用 `pjmedia_sdp_print()` 或 `pjmedia_sdp_media_print()` 的应用程序不应受到影响。“pjsip/pjproject”GitHub 存储库的“master”分支上提供补丁。目前没有任何已知的解决方法。
(CVE-2022-24764)
- PJSIP 是用 C 语言编写的免费开源多媒体通信库。PJSIP 版本 2.12 及更早版本不解析传入的 RTCP 反馈 RPSI（参考图片选择指示），但任何直接使用 pjmedia_rtcp_fb_parse_rpsi() 的应用程序都将受到影响。“pjsip/pjproject”GitHub 存储库的“master”分支上提供补丁。目前没有任何已知的变通方案。
(CVE-2022-24786)
- PJSIP 是一个以 C 语言编写的免费开源多媒体通信库。拒绝服务漏洞会影响在 32 位系统上使用 PJSIP 2.12 和之前版本的应用程序，从而播放/读取无效的 WAV 文件。读取长度大于 31 位整数的 WAV 文件数据区块时会发生此漏洞。该漏洞不影响 64 位应用程序，也不应影响仅播放受信任 WAV 文件的应用程序。“pjsip/pjproject”GitHub 存储库的“master”分支上提供补丁。
有一种变通方案是，应用程序可以拒绝从未知来源接收的 WAV 文件，或一开始就验证此类文件。
(CVE-2022-24792)
- PJSIP 是一个以 C 语言编写的免费开源多媒体通信库。2.12 和之前版本中的缓冲区溢出漏洞会影响使用 PJSIP DNS 解析的应用程序。它不会影响使用外部解析器的 PJSIP 用户。“pjsip/pjproject”GitHub 存储库的“master”分支上提供补丁。有一种变通方案是，禁用 PJSIP 配置中的 DNS 解析（通过将“nameserver_count”设置为零）或使用外部解析器。(CVE-2022-24793)
- 在 Asterisk 19.x 及其之前的所有版本中发现一个问题。使用 STIR/SHAKEN 时，可下载非证书文件。这些文件可能比预期要下载的文件大得多，从而导致资源耗尽。此问题已在 16.25.2、18.11.2 和 19.3.2 中修复。(CVE-2022-26498)
- 在 Asterisk 19.x 及其之前的所有版本中发现 SSRF 问题。使用 STIR/SHAKEN 时，可使用 Identity 标头将任意请求（如 GET）发送到 localhost 等接口。此问题已在 16.25.2、18.11.2 和 19.3.2 中修复。(CVE-2022-26499)
- 在 Asterisk 19.x 及之前的所有版本、Certified Asterisk 16.8-cert13 及之前的所有版本中发现一个问题。func_odbc 模块可能为 SQL 查询中的反斜线字符提供不充分的转义功能，从而导致用户提供的数据创建损坏的 SQL 查询或可能发生 SQL 注入。此问题已在 16.25.2、18.11.2、19.3.2 和 16.8-cert14 中修复。(CVE-2022-26651)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 asterisk 程序包。对于 Debian 10 buster，已在版本 1 中修复这些问题。
另见
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1014998
https://security-tracker.debian.org/tracker/source-package/asterisk
https://www.debian.org/lts/security/2022/dla-3194
https://security-tracker.debian.org/tracker/CVE-2021-37706
https://security-tracker.debian.org/tracker/CVE-2021-43299
https://security-tracker.debian.org/tracker/CVE-2021-43300
https://security-tracker.debian.org/tracker/CVE-2021-43301
https://security-tracker.debian.org/tracker/CVE-2021-43302
https://security-tracker.debian.org/tracker/CVE-2021-43303
https://security-tracker.debian.org/tracker/CVE-2021-43804
https://security-tracker.debian.org/tracker/CVE-2021-43845
https://security-tracker.debian.org/tracker/CVE-2021-46837
https://security-tracker.debian.org/tracker/CVE-2022-21722
https://security-tracker.debian.org/tracker/CVE-2022-21723
https://security-tracker.debian.org/tracker/CVE-2022-23608
https://security-tracker.debian.org/tracker/CVE-2022-24763
https://security-tracker.debian.org/tracker/CVE-2022-24764
https://security-tracker.debian.org/tracker/CVE-2022-24786
https://security-tracker.debian.org/tracker/CVE-2022-24792
https://security-tracker.debian.org/tracker/CVE-2022-24793
https://security-tracker.debian.org/tracker/CVE-2022-26498
https://security-tracker.debian.org/tracker/CVE-2022-26499
插件详情
严重性: Critical
ID: 167926
文件名: debian_DLA-3194.nasl
版本: 1.2
类型: local
代理: unix
发布时间: 2022/11/19
最近更新时间: 2022/11/19
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 9.3
时间分数: 6.9
矢量: AV:N/AC:M/Au:N/C:C/I:C/A:C
时间矢量: E:U/RL:OF/RC:C
CVSS 分数来源: CVE-2021-37706
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: E:U/RL:O/RC:C
CVSS 分数来源: CVE-2022-26651
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:asterisk, p-cpe:/a:debian:debian_linux:asterisk-config, p-cpe:/a:debian:debian_linux:asterisk-dahdi, p-cpe:/a:debian:debian_linux:asterisk-dev, p-cpe:/a:debian:debian_linux:asterisk-doc, p-cpe:/a:debian:debian_linux:asterisk-mobile, p-cpe:/a:debian:debian_linux:asterisk-modules, p-cpe:/a:debian:debian_linux:asterisk-mp3, p-cpe:/a:debian:debian_linux:asterisk-mysql, p-cpe:/a:debian:debian_linux:asterisk-ooh323, p-cpe:/a:debian:debian_linux:asterisk-tests, p-cpe:/a:debian:debian_linux:asterisk-voicemail, p-cpe:/a:debian:debian_linux:asterisk-voicemail-imapstorage, p-cpe:/a:debian:debian_linux:asterisk-voicemail-odbcstorage, p-cpe:/a:debian:debian_linux:asterisk-vpb, cpe:/o:debian:debian_linux:10.0
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
易利用性: No known exploits are available
补丁发布日期: 2022/11/17
漏洞发布日期: 2021/12/22
参考资料信息
CVE: CVE-2021-37706, CVE-2021-43299, CVE-2021-43300, CVE-2021-43301, CVE-2021-43302, CVE-2021-43303, CVE-2021-43804, CVE-2021-43845, CVE-2021-46837, CVE-2022-21722, CVE-2022-21723, CVE-2022-23608, CVE-2022-24763, CVE-2022-24764, CVE-2022-24786, CVE-2022-24792, CVE-2022-24793, CVE-2022-26498, CVE-2022-26499, CVE-2022-26651