Add a patch to fix a problem with the manager interface. Update to 1.6.0.5 to fix AST-2009-001 / CVE-2009-0041:
http://downloads.digium.com/pub/security/AST-2009-001.html (Original patch in 1.6.0.3 introduced a regression.)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Several vulnerabilities have been discovered in asterisk, an Open Source PBX and telephony toolkit. The Common Vulnerabilities and Exposures project identifies the following problems :

  - CVE-2009-0041     It is possible to determine valid login names via     probing, due to the IAX2 response from asterisk     (AST-2009-001).

  - CVE-2008-3903     It is possible to determine a valid SIP username, when     Digest authentication and authalwaysreject are enabled     (AST-2009-003).

  - CVE-2009-3727     It is possible to determine a valid SIP username via     multiple crafted REGISTER messages (AST-2009-008).

  - CVE-2008-7220 CVE-2007-2383     It was discovered that asterisk contains an obsolete     copy of the Prototype JavaScript framework, which is     vulnerable to several security issues. This copy is     unused and now removed from asterisk (AST-2009-009).

  - CVE-2009-4055     It was discovered that it is possible to perform a     denial of service attack via RTP comfort noise payload     with a long data length (AST-2009-010).

The current version in oldstable is not supported by upstream anymore and is affected by several security issues. Backporting fixes for these and any future issues has become unfeasible and therefore we need to drop our security support for the version in oldstable. We recommend that all asterisk users upgrade to the stable distribution (lenny).

The remote host is affected by the vulnerability described in GLSA-200905-01 (Asterisk: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in the IAX2 channel     driver when performing the 3-way handshake (CVE-2008-1897), when     handling a large number of POKE requests (CVE-2008-3263), when handling     authentication attempts (CVE-2008-5558) and when handling firmware     download (FWDOWNL) requests (CVE-2008-3264). Asterisk does also not     correctly handle SIP INVITE messages that lack a 'From' header     (CVE-2008-2119), and responds differently to a failed login attempt     depending on whether the user account exists (CVE-2008-3903,     CVE-2009-0041).
  Impact :

    Remote unauthenticated attackers could send specially crafted data to     Asterisk, possibly resulting in a Denial of Service via a daemon crash,     call-number exhaustion, CPU or traffic consumption. Remote     unauthenticated attackers could furthermore enumerate valid usernames     to facilitate brute-force login attempts.
  Workaround :

    There is no known workaround at this time.

オープンソース PBX およびテレフォニーツールキットである Asterisk で、複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-0041 asterisk からの IAX2 応答のため、プローブによって有効なログイン名を決定できる可能性があります（AST-2009-001）。

- CVE-2008-3903 ダイジェスト認証および authalwaysreject が有効であると、有効な SIP ユーザー名を決定することができます（AST-2009-003）。

- CVE-2009-3727 複数の細工された REGISTER メッセージによって、有効な SIP ユーザー名を決定することができます（AST-2009-008）。

- CVE-2008-7220 CVE-2007-2383 asterisk に、Prototype JavaScript フレームワークの旧式のコピーが含まれており、複数のセキュリティの問題に脆弱であることが判明しました。このコピーは使用されておらず、asterisk から削除されています（AST-2009-009）。

- CVE-2009-4055 データ長が長い RTP コンフォートノイズのペイロードによる DoS 攻撃（サービス拒否攻撃）を行うことが可能であると判明しました（AST-2009-010）。

旧安定版（oldstable）の現在のバージョンは、上流ではサポートされなくなり、複数のセキュリティ問題の影響を受けています。これらはバックポートで修正され、将来問題が起こる可能性がなくなっているため、当社では旧安定版（oldstable）バージョンのセキュリティサポートはドロップする必要があります。asterisk の全ユーザーは、安定版（stable）ディストリビューション（lenny）へアップグレードすることを推奨いたします。

ID	名稱	產品	系列	已發布	已更新	嚴重性
35666	Fedora 9 : asterisk-1.6.0.5-2.fc9 / dahdi-tools-2.0.0-1.fc9 / libresample-0.1.3-9.fc9 (2009-0973)	Nessus	Fedora Local Security Checks	2009/2/13	2021/1/11	medium
44817	Debian DSA-1952-1 : asterisk - several vulnerabilities, end-of-life announcement in oldstable	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	high
37560	Fedora 10 : asterisk-1.6.0.5-2.fc10 (2009-0984)	Nessus	Fedora Local Security Checks	2009/4/23	2021/1/11	medium
38677	GLSA-200905-01 : Asterisk: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2009/5/4	2021/1/6	high
44817	Debian DSA-1952-1：asterisk - 複数の脆弱性、旧安定版（oldstable）の生産終了通知	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	high

偵測

搜尋 Plugin

medium

high

medium

high

high