Debian セキュリティ勧告

DSA-2493-1 asterisk -- サービス拒否攻撃

報告日時:
2012-06-12
影響を受けるパッケージ:
asterisk
危険性:
あり
参考セキュリティデータベース:
Debian バグ追跡システム: バグ 675204, バグ 675210.
Mitre の CVE 辞書: CVE-2012-2947, CVE-2012-2948.
詳細:

複数の欠陥が、電子交換機およびテレフォニーツールキット Asterisk に発 見されました。

  • CVE-2012-2947

    IAX2 チャネルドライバに、保留中に発呼を行うことで、リモートの 攻撃者からのサービス拒否攻撃 (デーモンクラッシュ) を許す欠陥 が発見されました。この欠陥は、一部の mohinterpret 設定が有効 な場合にのみ攻撃可能です。

  • CVE-2012-2948

    Skinny チャネルドライバに、オフフックモードで接続を閉じること で、リモートの認証済みのユーザからのサービス拒否攻撃 (NULL ポ インタ参照とデーモンクラッシュ) を許す欠陥が発見されました。

これらに加えて、Asterisk の SIP チャネルドライバの既定値で alwaysauthreject オプションを設定していないことが発見されました。この 結果、リモートの攻撃者が応答の挙動を観察できるため、アカウント名の有 無の判定が行えます (CVE-2011-2666)。 このユーザ名漏洩の欠陥への対処を 行いたいシステム管理者は、設定で alwaysauthreject オプションを有効に すべきです。現在の所、後方互換性を重視しているため、安定版 (Asterisk 1.6) で標準設定を変更する予定はありません。

安定版 (stable) ディストリビューション (squeeze) では、この問題はバー ジョン 1:1.6.2.9-2+squeeze6 で修正されています。

テスト版 (wheezy) および不安定版 (unstable) ディストリビューションで は、この問題はバージョン 1:1.8.13.0~dfsg-1 で修正されています。

直ぐに asterisk パッケージをアップグレードすることを勧めます。