遠端主機受到 GLSA-201405-05 中所述的弱點影響 (Asterisk：拒絕服務)

    在 Asterisk 中發現多個弱點。如需詳細資訊，請參閱下列參照的 CVE 識別碼和 Asterisk 專案安全性公告。
  影響：

    遠端攻擊者可能會導致拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

Asterisk 開發團隊已針對 Certified Asterisk 1.8.15、 11.6，以及 Asterisk 1.8、11 和 12 發佈安全性版本。可用的安全性版本發佈為 1.8.15-cert5、11.6-cert2、 1.8.26.1、11.8.1 和 12.1.1 版。

這些版本可至下列網址立即下載：http://downloads.asterisk.org/pub/telephony/asterisk/releases

發佈的這些版本可解決下列問題：

- AST-2014-001：Cookie 標頭的 HTTP 處理中出現堆疊溢位。

傳送由 Asterisk 處理且包含大量 Cookie 標頭的 HTTP 要求時，可造成堆疊溢位。

另一個類似的弱點是，任何標頭數量過多的 HTTP 要求都可耗盡系統記憶體。

- AST-2014-002：chan_sip：在錯誤的工作階段計時器要求時提早結束

此變更可讓 chan_sip 在傳入要求即將遭到拒絕時，避免建立通道且不會同時消耗相關檔案描述符號。

此外，12.1.1 版已解決下列問題：

- AST-2014-003：res_pjsip：處理 401/407 時，回應並未假設要求含有端點。

此變更會刪除傳出要求都有端點的假設，並讓 authenticate_qualify 選項再次生效。

最終，發佈了用於修正 Asterisk 12.1.0 中弱點的安全性公告 AST-2014-004。建議 Asterisk 12.0.0 的使用者升級至 12.1.1 以解決這兩個弱點。

這些問題及其解決方案已描述於安全性公告中。

如需有關這些弱點的詳細資訊，請閱讀與此聲明同時發佈的 AST-2014-001、AST-2014-002、 AST-2014-003 與 AST-2014-004 安全性公告。

如需目前版本的完整變更清單，請參閱變更記錄：

http://downloads.asterisk.org/pub/telephony/certified-asterisk/releases/ChangeLog-1.8.15-cert5 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.8.26.1 http://downloads.asterisk.org/pub/telephony/certified-asterisk/releases/ChangeLog-11.6-cert2 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-11.8.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-12.1.1

安全性公告已發佈至下列網址：

- http://downloads.asterisk.org/pub/security/AST-2014-001。
 pdf

- http://downloads.asterisk.org/pub/security/AST-2014-002.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-003.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-004.pdf Asterisk 開發團隊已發佈 Asterisk 11.8.0 版本。此版本可至下列網址立即下載：http://downloads.asterisk.org/pub/telephony/asterisk

Asterisk 11.8.0 版可解決社群報告的數個問題。倘若沒有您的參與，這就不可能實現。
謝謝！

下面列出由這個版本所解決的問題：

此版本修正的錯誤：

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其 SIP 標題中的版本，遠端主機上執行的 Asterisk 版本可能受到一個拒絕服務弱點影響。

處理 'SUBSCRIBE' 要求時，PJSIP 通道驅動程式中存在一個瑕疵。當 Asterisk 收到無 'Accept' 標頭之存在事件的 'SUBSCRIBE' 要求時，它將嘗試存取該標頭位置的無效指標。遠端攻擊者可惡意利用此瑕疵，透過傳送特製的要求造成程式損毀。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
73861	GLSA-201405-05 : Asterisk：拒絕服務	Nessus	Gentoo Local Security Checks	2014/5/5	2021/1/6	high
73141	Fedora 20 : asterisk-11.8.1-1.fc20 (2014-3762)	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high
73022	Asterisk PJSIP 通道驅動程式訂閱 DoS (AST-2014-004)	Nessus	Misc.	2014/3/14	2022/4/11	low
73142	Fedora 19 : asterisk-11.8.1-1.fc19 (2014-3779)	Nessus	Fedora Local Security Checks	2014/3/22	2021/1/11	high

偵測

搜尋 Plugin

high

high

low

high