CVE-2016-9937

Wysokie

Opublikowano: 12/12/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W Asterisk Open Source w wersjach 13.12.x, 13.13.x przed 13.13.1 oraz 14.x przed 14.2.1 odkryto problem związany z obsługą kodeka Opus. Otrzymanie oferty lub odpowiedzi SDP z parametrami formatu oddzielonymi spacją powoduje rekurencyjne wywołanie kodu, co prowadzi do awarii aplikacji.

Ocena ryzyka

Organizacja może doświadczyć awarii systemu Asterisk, co może prowadzić do przerw w komunikacji. Problem ten nie wymaga uwierzytelnienia użytkownika ani konfiguracji kodeka Opus.

Rekomendacja

Zaleca się aktualizację Asterisk do wersji 13.13.1 lub 14.2.1, aby usunąć tę podatność. Należy również rozważyć ograniczenie dostępu dla gości w kanałach SIP i PJSIP.

Inne podatności w Asterisk Open Source

CVE-2014-8413Wysokie
Moduł res_pjsip_acl w Asterisk Open Source w wersjach 12.x przed 12.7.1 oraz 13.x przed 13.0.1 nieprawidłowo tworzy i ładuje listy ACL zdefiniowane w pjsip.conf podczas uruchamiania, co pozwala zdalnym atakującym na obejście zamierzonych reguł ACL PJSIP.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Asterisk Open Source 13.12.x and 13.13.x before 13.13.1 and 14.x before 14.2.1. If an SDP offer or answer is received with the Opus codec and with the format parameters separated using a space the code responsible for parsing will recursively call itself until it crashes. This occurs as the code does not properly handle spaces separating the parameters. This does NOT require the endpoint to have Opus configured in Asterisk. This also does not require the endpoint to be authenticated. If guest is enabled for chan_sip or anonymous in chan_pjsip an SDP offer or answer is still processed and the crash occurs.