在 asterisk 中發現多個弱點且已修正：

Asterisk Open Source 1.8.20.2　之前的 1.8.x 版、10.12.2 之前的 10.x 版，及 11.2.2 之前的 11.x 版；Certified Asterisk 1.8.15-cert2 之前的 1.8.15 版；Asterisk Business Edition (BE) C.3.8.1 之前的 C.3.x 版；及 Asterisk Digiumphones 10.12.2-digiumphones 之前的 10.x-digiumphones 版中的 SIP 通道驅動程式，根據使用者帳戶是否存在，而針對無效的 INVITE、SUBSCRIBE 與 REGISTER 交易出現不同的行為，可允許遠端攻擊者透過 (1) 讀取 HTTP 狀態程式碼、(2) 讀取 403 (即禁止) 回應中的其他文字，或 (3) 觀察是否發生某些重新傳輸來列舉帳戶名稱 (CVE-2013-2264)。

在 Asterisk Open Source 11.2.2 之前的 11.x 版中，res/res_format_attr_h264.c 中的堆疊型緩衝區溢位允許遠端攻擊者透過 SIP 工作階段描述通訊協定 (SDP) 標頭中的長 sprop-parameter-sets H.264 媒體屬性執行任意程式碼 (CVE-2013-2685)。

在 Asterisk Open Source 1.8.20.2 之前的 1.8.x 版、10.12.2 之前的 10.x 版，及 11.2.2 之前的 11.x 版；Certified Asterisk 1.8.15-cert2 之前的 1.8.15 版；及 Asterisk Digiumphones 10.12.2-digiumphones 之前的 10.x-digiumphones 版中，HTTP 伺服器中的 main/http.c 未正確限制 Content-Length 值，而允許遠端攻擊者透過特製的 HTTP POST 要求發動堆疊消耗攻擊並造成拒絕服務 (程序損毀)。請注意：存在此弱點的原因是 CVE-2012-5976 的修正程式不正確 (CVE-2013-2686)。

更新版套件已升級至 11.2.2 版，不會受到這些問題的影響

偵測

Mandriva Linux 安全性公告：asterisk (MDVSA-2013:140)

high Nessus Plugin ID 66152

找不到變更記錄