CVE-2017-17850
WysokieStreszczenie
W Asterisk w wersjach 13.18.4 i starszych, 14.7.4 i starszych, 15.1.4 i starszych oraz 13.18-cert1 i starszych odkryto problem, który powoduje awarię systemu przy przetwarzaniu określonych wiadomości SIP bez nagłówka kontaktu. Problem występuje tylko, gdy używany jest sterownik kanału PJSIP.
Ocena ryzyka
Ryzyko dla organizacji polega na tym, że nieautoryzowani użytkownicy mogą spowodować awarię serwera Asterisk, co prowadzi do przerwy w dostępności usług. Włączenie uwierzytelniania łagodzi to ryzyko, ponieważ wymaga autoryzacji użytkownika przed wystąpieniem awarii.
Rekomendacja
Zaleca się aktualizację Asterisk do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, włączenie uwierzytelniania dla użytkowników SIP może pomóc w zminimalizowaniu ryzyka.
Inne podatności w Asterisk
Zobacz wszystkie- CVE-2017-14603Wysokie
W Asterisk 11.x przed wersją 11.25.3, 13.x przed wersją 13.17.2 oraz 14.x przed wersją 14.6.2 występuje niewystarczająca walidacja pakietów RTCP, co może prowadzić do odczytu przestarzałych zawartości bufora. W połączeniu z opcjami 'nat' i 'symmetric_rtp' może to umożliwić przekierowanie, gdzie Asterisk wysyła następny raport RTCP.
- CVE-2022-37325Wysokie
W Sangoma Asterisk do wersji 16.28.0, 17.x do 18.14.0 oraz 19.x do 19.6.0, wiadomość Setup przychodząca do addons/ooh323c/src/ooq931.c z nieprawidłowym elementem informacyjnym Calling lub Called Party może spowodować awarię.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Asterisk 13.18.4 and older, 14.7.4 and older, 15.1.4 and older, and 13.18-cert1 and older. A select set of SIP messages create a dialog in Asterisk. Those SIP messages must contain a contact header. For those messages, if the header was not present and the PJSIP channel driver was used, Asterisk would crash. The severity of this vulnerability is somewhat mitigated if authentication is enabled. If authentication is enabled, a user would have to first be authorized before reaching the crash point.