CVE-2017-14603
WysokieStreszczenie
W Asterisk 11.x przed wersją 11.25.3, 13.x przed wersją 13.17.2 oraz 14.x przed wersją 14.6.2 występuje niewystarczająca walidacja pakietów RTCP, co może prowadzić do odczytu przestarzałych zawartości bufora. W połączeniu z opcjami 'nat' i 'symmetric_rtp' może to umożliwić przekierowanie, gdzie Asterisk wysyła następny raport RTCP.
Ocena ryzyka
Organizacje mogą być narażone na wyciek danych z przestarzałych buforów, co może prowadzić do nieautoryzowanego dostępu do informacji. Dodatkowo, możliwość przekierowania raportów RTCP może wpłynąć na integralność komunikacji.
Rekomendacja
Zaleca się aktualizację Asterisk do najnowszej wersji, aby usunąć tę podatność. Należy również rozważyć przegląd konfiguracji opcji 'nat' i 'symmetric_rtp'.
Inne podatności w Asterisk
Zobacz wszystkie- CVE-2017-17850Wysokie
W Asterisk w wersjach 13.18.4 i starszych, 14.7.4 i starszych, 15.1.4 i starszych oraz 13.18-cert1 i starszych odkryto problem, który powoduje awarię systemu przy przetwarzaniu określonych wiadomości SIP bez nagłówka kontaktu. Problem występuje tylko, gdy używany jest sterownik kanału PJSIP.
- CVE-2022-37325Wysokie
W Sangoma Asterisk do wersji 16.28.0, 17.x do 18.14.0 oraz 19.x do 19.6.0, wiadomość Setup przychodząca do addons/ooh323c/src/ooq931.c z nieprawidłowym elementem informacyjnym Calling lub Called Party może spowodować awarię.
Oryginalny opis (angielski, źródło NVD)
In Asterisk 11.x before 11.25.3, 13.x before 13.17.2, and 14.x before 14.6.2 and Certified Asterisk 11.x before 11.6-cert18 and 13.x before 13.13-cert6, insufficient RTCP packet validation could allow reading stale buffer contents and when combined with the "nat" and "symmetric_rtp" options allow redirecting where Asterisk sends the next RTCP report.