CVE-2014-6610 Asterisk Open Source 11.12.1 之前的 11.x 版和 12.5.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert6 之前的 11.6 版，在使用 res_fax_spandsp 模組時，允許經驗證的遠端使用者透過在 ReceiveFax dialplan 應用程式中未正確處理的超出呼叫訊息，造成拒絕服務 (當機)。

CVE-2014-4046 Asterisk Open Source 11.10.1 之前的 11.x 版和 12.3.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert3 之前的 11.6 版，允許經驗證的遠端管理員使用者透過 MixMonitor 動作執行任意 shell 命令。

CVE-2014-2286 在 Asterisk Open Source 1.8.26.1 之前的 1.8.x 版、11.8.1 之前的 11.8.x 版和 12.1.1 之前的 12.1.x 版，以及 Certified Asterisk 1.8.15-cert5 之前的 1.8.x 版和 11.6-cert2 之前的 11.6 版中，main/http.c 允許遠端攻擊者透過具有大量 Cookie 標頭的 HTTP 要求，造成拒絕服務 (堆疊消耗) 且可能執行任意程式碼。

CVE-2014-8412 在 Asterisk Open Source 1.8.32.1 之前的 1.8.x 版、11.14.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert3 之前的 1.8.28 版和 11.6-cert8 之前的 11.6 版中，(1) VoIP 通道驅動程式、(2) DUNDi 和 (3) Asterisk 管理員介面 (AMI) 允許遠端攻擊者透過其來源 IP 未將位址系列做為第一個 ACL 項目共用的封包，繞過 ACL 限制。

CVE-2014-8418 在 Asterisk Open Source 1.8.32 之前的 1.8.x 版、11.1.4.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert8 之前的 1.8 版和 11.6-cert8 之前的 11.6 版中，DB dialplan 函式允許經驗證的遠端使用者透過從外部通訊協定的呼叫取得權限，AMI 通訊協定即為一例。

CVE-2015-3008 Asterisk Open Source 1.8.32.3 之前的 1.8 版、11.17.1 之前的 11.x 版、12.8.2 之前的 12.x 版和 13.3.2 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert5 之前的 1.8.28 版、11.6-cert11 之前的 11.6 版和 13.1-cert2 之前的 13.1 版，在註冊 SIP TLS 裝置時，未正確處理 X.509 憑證的主體共用名稱 (CN) 欄位之網域名稱中的 null 位元組，進而允許攔截式攻擊者透過由合法憑證授權單位所核發之特製憑證，偽造任意 SSL 伺服器。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-455-1：asterisk 安全性更新

high Nessus Plugin ID 90873

找不到變更記錄