Debian DLA-455-1:asterisk 安全更新

high Nessus 插件 ID 90873
全新!插件严重性现在使用 CVSS v3

计算的插件严重性默认已更新为使用 CVSS v3。没有 CVSS v3 分数的插件将回退到 CVSS v2 来计算严重性。可以在设置下拉列表中切换严重性显示首选项。

简介

远程 Debian 主机缺少安全更新。

描述

CVE-2014-6610 Asterisk Open Source 11.12.1 之前的 11.x 版和 12.5.1 之前的 12.x 版,以及 Certified Asterisk 11.6-cert6 之前的 11.6 版,在使用 res_fax_spandsp 模块时,允许经认证的远程用户通过在 ReceiveFax dialplan 应用程序中未正确处理的呼叫范围外消息,造成拒绝服务(崩溃)。

CVE-2014-4046 Asterisk Open Source 11.10.1 之前的 11.x 版和 12.3.1 之前的 12.x 版,以及 Certified Asterisk 11.6-cert3 之前的 11.6 版,允许经认证的远程管理员用户通过 MixMonitor 操作执行任意 shell 命令。

CVE-2014-2286 在 Asterisk Open Source 1.8.26.1 之前的 1.8.x 版、11.8.1 之前的 11.8.x 版和 12.1.1 之前的 12.1.x 版,以及 Certified Asterisk 1.8.15-cert5 之前的 1.8.x 版和 11.6-cert2 之前的 11.6 版中,main/http.c 允许远程攻击者通过具有大量 Cookie 标头的 HTTP 请求,造成拒绝服务(堆栈消耗)且可能执行任意代码。

CVE-2014-8412 在 Asterisk Open Source 1.8.32.1 之前的 1.8.x 版、11.14.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版,以及 Certified Asterisk 1.8.28-cert3 之前的 1.8.28 版和 11.6-cert8 之前的 11.6 版中,(1) VoIP 通道驱动程序、(2) DUNDi 和 (3) Asterisk 管理接口 (AMI) 允许远程攻击者通过来源 IP 未将地址系列作为第一个 ACL 条目共享的数据包,绕过 ACL 限制。

CVE-2014-8418 在 Asterisk Open Source 1.8.32 之前的 1.8.x 版、11.1.4.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版,以及 Certified Asterisk 1.8.28-cert8 之前的 1.8 版和 11.6-cert8 之前的 11.6 版中,DB dialplan 函数允许经认证的远程用户通过从外部协议进行的调用取得权限,这一点已由 AMI 协议证实。

CVE-2015-3008 Asterisk Open Source 1.8.32.3 之前的 1.8 版、11.17.1 之前的 11.x 版、12.8.2 之前的 12.x 版和 13.3.2 之前的 13.x 版,以及 Certified Asterisk 1.8.28-cert5 之前的 1.8.28 版、11.6-cert11 之前的 11.6 版和 13.1-cert2 之前的 13.1 版,在注册 SIP TLS 设备时,未正确处理 X.509 证书的使用者公用名 (CN) 字段的域名中的空字节,进而允许中间人攻击者通过由合法证书颁发机构颁发的特别构建的证书,欺骗任意 SSL 服务器。

注意:Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

解决方案

升级受影响的程序包。

另见

https://lists.debian.org/debian-lts-announce/2016/05/msg00005.html

https://packages.debian.org/source/wheezy/asterisk

插件详情

严重性: High

ID: 90873

文件名: debian_DLA-455.nasl

版本: 2.4

类型: local

代理: unix

发布时间: 2016/5/4

最近更新时间: 2021/1/11

依存关系: ssh_get_info.nasl

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 9

时间分数: 6.7

矢量: AV:N/AC:L/Au:S/C:C/I:C/A:C

时间矢量: E:U/RL:OF/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:asterisk, p-cpe:/a:debian:debian_linux:asterisk-config, p-cpe:/a:debian:debian_linux:asterisk-dahdi, p-cpe:/a:debian:debian_linux:asterisk-dbg, p-cpe:/a:debian:debian_linux:asterisk-dev, p-cpe:/a:debian:debian_linux:asterisk-doc, p-cpe:/a:debian:debian_linux:asterisk-mobile, p-cpe:/a:debian:debian_linux:asterisk-modules, p-cpe:/a:debian:debian_linux:asterisk-mp3, p-cpe:/a:debian:debian_linux:asterisk-mysql, p-cpe:/a:debian:debian_linux:asterisk-ooh323, p-cpe:/a:debian:debian_linux:asterisk-voicemail, p-cpe:/a:debian:debian_linux:asterisk-voicemail-imapstorage, p-cpe:/a:debian:debian_linux:asterisk-voicemail-odbcstorage, cpe:/o:debian:debian_linux:7.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2016/5/3

参考资料信息

CVE: CVE-2014-2286, CVE-2014-4046, CVE-2014-6610, CVE-2014-8412, CVE-2014-8418, CVE-2015-3008

BID: 66093, 68040, 69962, 71218, 71227, 74022