Asterisk 多个漏洞 (AST-2016-001 - AST-2016-003) (BEAST)

medium Nessus 插件 ID 88715

语言：

简介

远程主机上运行的电话应用程序受到多种漏洞的影响。

描述

根据其 SIP 标题，远程主机上正在运行的 Asterisk 版本受以下漏洞的影响：

- 由于在密码块链接 (CBC) 模式下运行时初始化矢量 (IV) 的选择方式中存在缺陷，SSL 3.0 和 TLS 1.0 协议存在被称为 BEAST 的信息泄露漏洞。中间人攻击者可利用此缺陷，通过对 HTTPS 会话进行块式选择边界攻击 (BCBA)，并结合使用 HTML5 WebSocket API、Java URLConnection API 或 Silverlight WebClient API 的 JavaScript 代码，获得纯文本 HTTP 标头数据。(CVE-2011-3389)

- sip.conf 中存在一个整数溢出情况，这是因为处理“timert1”值时，未正确验证用户提供的输入所导致。远程攻击者可利用此缺陷造成拒绝服务。(VulnDB 134040)

- 存在一个不明缺陷，这是因为不当处理 UDPTL 数据包中的 FAT 数据所导致。远程攻击者可利用此缺陷造成拒绝服务。(VulnDB 134041)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。