Asterisk main/udptl.c 缓冲区溢出 (AST-2011-002)

high Nessus 插件 ID 52157

语言：

简介

远程主机上运行的电话应用程序受到多个缓冲区溢出漏洞的影响。

描述

根据其 SIP 标题中的版本，远程主机上运行的 Asterisk 版本可能容易受到基于堆和堆栈的缓冲区溢出影响，这种溢出问题通常由特别构建的 UDPTL 数据包引发。

要利用此类漏洞，前提是对目标启用 T.38 支持（并非默认设置），而这可能导致在 Asterisk 服务器的上下文中执行任意代码或造成应用程序崩溃。

请注意，Nessus 尚未检查是否确实启用了 T.38，因此该结果可能是误报。

解决方案

升级到 Asterisk 1.4.39.2 / 1.6.1.22 / 1.6.2.16.2 / 1.8.2.4 或 Asterisk Business Edition C.3.6.3 或更高版本。

也可以禁用 T.38 支持，具体操作方式：在“sip.conf”中将“t38pt_udptl”设置为“no”并且确保不加载 chan_ooh323 模块。