Bulletin d'alerte Debian

DSA-2276-1 asterisk -- Plusieurs dénis de service

Date du rapport :
10 juillet 2011
Paquets concernés :
asterisk
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 631445, Bogue 631446, Bogue 631448.
Dans le dictionnaire CVE du Mitre : CVE-2011-2529, CVE-2011-2535.
Plus de précisions :

Paul Belanger a signalé une vulnérabilité dans Asterisk identifiée par AST-2011-008 (CVE-2011-2529) à l'aide de laquelle un attaquant non authentifié pourrait planter un serveur Asterisk à distance. Un paquet contenant un caractère NULL force l'analyseur d'en-tête SIP à modifier les structures de mémoire non relatives.

Jared Mauch a signalé une vulnérabilité dans Asterisk identifiée par AST-2011-009 à l'aide de laquelle un attaquant non authentifié pourrait planter un serveur Asterisk à distance. Si un utilisateur envoie un paquet avec un en-tête Contact contenant un chevron gauche (<) manquant, le serveur plantera. Un contournement possible est de désactiver chan_sip.

La vulnérabilité identifiée par AST-2011-010 (CVE-2011-2535) a été signalée à propos d'une erreur de validation d'entrée dans le pilote du canal IAX2. Un attaquant non authentifié pourrait planter un serveur Asterisk à distance en envoyant une trame de contrôle d'option contrefaite.

Pour la distribution oldstable (Lenny), ce problème a été corrigé dans la version 1.4.21.2~dfsg-3+lenny5.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 1.6.2.9-2+squeeze3.

Pour la distribution testing (Wheezy), ce problème a été corrigé dans la version 1:1.8.4.3-1.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1:1.8.4.3-1.

Nous vous recommandons de mettre à jour vos paquets asterisk.