远程主机受到 GLSA-201405-05 中所述漏洞的影响（Asterisk：拒绝服务）

    已在 Asterisk 中发现多种漏洞。请检查下面引用的 CVE 标识符和 Asterisk 项目安全公告以了解详细信息。
  影响：

    远程攻击者可能造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

Asterisk 开发团队发布了 Certified Asterisk 1.8.15、11.6 及 Asterisk 1.8、11 和 12 的安全版本。可用的安全发行版本为 1.8.15-cert5、11.6-cert2、1.8.26.1、11.8.1 和 12.1.1。

这些版本可供立即下载，网址是：http://downloads.asterisk.org/pub/telephony/asterisk/releases

这些版本解决了以下问题：

- AST-2014-001：Cookie 标头的 HTTP 处理中存在堆栈溢出。

发送由 Asterisk 处理、含有大量 Cookie 标头的 HTTP 请求会使堆栈溢出。

另一个类似的漏洞是，请求中标头数量离谱的任何 HTTP 请求都可能耗尽系统内存。

- AST-2014-002：chan_sip：会话定时器请求错误时提早退出

此更改允许 chan_sip 在入站请求无论如何都会被拒绝时避免同时创建通道和耗用相关的文件描述符。

此外，12.1.1 版本解决了以下问题：

- AST-2014-003：res_pjsip：在处理 401/407 响应时，不会假设请求有端点。

此更改删除了外发请求始终有端点的假设，并且重新启用了 authenticate_qualify 选项。

最后，针对 Asterisk 12.1.0 中修复的漏洞发布了安全公告 AST-2014-004。建议 Asterisk 12.0.0 用户升级到 12.1.1 以解决这两个漏洞。

这些问题及其解决方法在安全公告中说明。

有关这些漏洞的更多详细信息，请参阅与此公告同时发布的安全公告 AST-2014-001、AST-2014-002、AST-2014-003 和 AST-2014-004。

有关当前版本中完整的变更列表，请参阅变更日志：

http://downloads.asterisk.org/pub/telephony/certified-asterisk/release s/ChangeLog-1.8.15-cert5 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.8.26.1 http://downloads.asterisk.org/pub/telephony/certified-asterisk/release s/ChangeLog-11.6-cert2 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-11.8.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-12.1.1

安全公告请参阅：

- http://downloads.asterisk.org/pub/security/AST-2014-001。
 pdf

- http://downloads.asterisk.org/pub/security/AST-2014-00 2.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-00 3.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-00 4.pdf Asterisk 开发团队已通告了 Asterisk 11.8.0 版本的发布。此版本可供立即下载，网址是：http://downloads.asterisk.org/pub/telephony/asterisk

Asterisk 11.8.0 版本解决了由社区报告的若干问题，没有您的参与，不可能解决这些问题。
谢谢！

以下是此版本中已解决的问题：

此版本中修复的缺陷：

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

CVE-2014-6610 Asterisk Open Source 11.12.1 之前的 11.x 版和 12.5.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert6 之前的 11.6 版，在使用 res_fax_spandsp 模块时，允许经认证的远程用户通过在 ReceiveFax dialplan 应用程序中未正确处理的呼叫范围外消息，造成拒绝服务（崩溃）。

CVE-2014-4046 Asterisk Open Source 11.10.1 之前的 11.x 版和 12.3.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert3 之前的 11.6 版，允许经认证的远程管理员用户通过 MixMonitor 操作执行任意 shell 命令。

CVE-2014-2286 在 Asterisk Open Source 1.8.26.1 之前的 1.8.x 版、11.8.1 之前的 11.8.x 版和 12.1.1 之前的 12.1.x 版，以及 Certified Asterisk 1.8.15-cert5 之前的 1.8.x 版和 11.6-cert2 之前的 11.6 版中，main/http.c 允许远程攻击者通过具有大量 Cookie 标头的 HTTP 请求，造成拒绝服务（堆栈消耗）且可能执行任意代码。

CVE-2014-8412 在 Asterisk Open Source 1.8.32.1 之前的 1.8.x 版、11.14.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert3 之前的 1.8.28 版和 11.6-cert8 之前的 11.6 版中，(1) VoIP 通道驱动程序、(2) DUNDi 和 (3) Asterisk 管理接口 (AMI) 允许远程攻击者通过来源 IP 未将地址系列作为第一个 ACL 条目共享的数据包，绕过 ACL 限制。

CVE-2014-8418 在 Asterisk Open Source 1.8.32 之前的 1.8.x 版、11.1.4.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert8 之前的 1.8 版和 11.6-cert8 之前的 11.6 版中，DB dialplan 函数允许经认证的远程用户通过从外部协议进行的调用取得权限，这一点已由 AMI 协议证实。

CVE-2015-3008 Asterisk Open Source 1.8.32.3 之前的 1.8 版、11.17.1 之前的 11.x 版、12.8.2 之前的 12.x 版和 13.3.2 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert5 之前的 1.8.28 版、11.6-cert11 之前的 11.6 版和 13.1-cert2 之前的 13.1 版，在注册 SIP TLS 设备时，未正确处理 X.509 证书的使用者公用名 (CN) 字段的域名中的空字节，进而允许中间人攻击者通过由合法证书颁发机构颁发的特别构建的证书，欺骗任意 SSL 服务器。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Asterisk 项目报告：

Cookie 标头的 HTTP 处理中存在堆栈溢出。发送由 Asterisk 处理、含有大量 Cookie 标头的 HTTP 请求会使堆栈溢出。如果在请求中发送无限数量的标头，甚至可能耗尽内存。

使用 chan_sip 会话定时器通过文件描述符耗尽造成拒绝服务。攻击者可在使用 SIP INVITE 请求时利用所有可用文件描述符。Asterisk 将使用代码 400、420 或 422 来响应满足此条件的 INVITE。每个满足这些条件的 INVITE 都将泄漏一个通道和多个文件描述符。不重新启动 Asterisk 时无法发布文件描述符，这可允许慢慢发送请求绕过入侵检测系统。

PJSIP 通道驱动程序中的远程崩溃漏洞。如果 AOR 上启用了“qualify_frequency”配置选项，并且远程 SIP 服务器质询结果 OPTIONS 请求的认证，则 PJSIP 通道驱动程序中存在可远程利用的崩溃漏洞。响应处理代码错误假设 PJSIP 端点会始终与不正确的外发请求关联。

根据其 SIP 标题中的版本，远程主机上运行的 Asterisk 版本可能受到拒绝服务漏洞的影响。

未对具有大量 cookie 标头的 HTTP 请求进行正确验证时存在一个堆栈溢出缺陷。如果请求包含无限数量的 cookie 标头，远程攻击者可能会在该请求中造成拒绝服务。

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

已在 asterisk 中发现并修正了多种漏洞：

发送由 Asterisk 处理、含有大量 Cookie 标头的 HTTP 请求会使堆栈溢出。如果通过请求发送数量不受限制的标头，甚至可耗尽内存 (CVE-2014-2286)。

攻击者可在使用 SIP INVITE 请求时利用所有可用文件描述符。Asterisk 将使用代码 400、420 或 422 来响应满足此条件的 INVITE。每个满足这些条件的 INVITE 都将泄漏一个通道和多个文件描述符。不重新启动 Asterisk 则不能释放文件描述符，这可能允许通过缓慢发送请求绕过入侵检测系统 (CVE-2014-2287)。

更新后的程序包已升级为 11.8.1 版本，不易受到这些问题的影响。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
73861	GLSA-201405-05 : Asterisk：拒绝服务	Nessus	Gentoo Local Security Checks	2014/5/5	2021/1/6	high
73142	Fedora 19：asterisk-11.8.1-1.fc19 (2014-3779)	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high
90873	Debian DLA-455-1：asterisk 安全更新	Nessus	Debian Local Security Checks	2016/5/4	2021/1/11	high
72953	FreeBSD：asterisk -- 多种漏洞 (03159886-a8a3-11e3-8f36-0025905a4771)	Nessus	FreeBSD Local Security Checks	2014/3/12	2021/1/6	high
73019	Asterisk main/http.c DoS (AST-2014-001)	Nessus	Misc.	2014/3/14	2022/4/11	high
73141	Fedora 20：asterisk-11.8.1-1.fc20 (2014-3762)	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high
73582	Mandriva Linux 安全公告：asterisk (MDVSA-2014:078)	Nessus	Mandriva Local Security Checks	2014/4/17	2021/1/6	high

检测

插件搜索

high

high

high

high

high

high

high