Sikkerhedsoplysninger / 2011 / Sikkerhedsoplysninger -- DSA-2276-1 asterisk

Debians sikkerhedsbulletin

DSA-2276-1 asterisk -- flere lammelsesangreb

Rapporteret den:

10. jul 2011

Berørte pakker:

asterisk

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 631445, Fejl 631446, Fejl 631448.
I Mitres CVE-ordbog: CVE-2011-2529, CVE-2011-2535.

Yderligere oplysninger:

Paul Belanger rapporterede om en sårbarhed i Asterisk, registreret som AST-2011-008 (CVE-2011-2529), gennem hvilken en uautentificeret fjernangriber kunne få en Asterisk-server til at gå ned. En pakke indeholdende et NULL-tegn, fik SIP-headerfortolkeren til at ændre urelaterede hukommelsesstrukturer.

Jared Mauch rapporterede om en sårbarhed i Asterisk, registreret som AST-2011-009, gennem hvilken en uautetificeret fjernangriber kunne få en Asterisk-server til at gå ned. Hvis en bruger sendte en pakke, med en Contact-header med et manglende mindre end-tegn (<), gik serveren ned. En potentiel omgåelse af problemet, er at deaktiere chan_sip.

Sårbarheden registeret som AST-2011-010 (CVE-2011-2535), rapporteret om en inddatavalideringsfejl i IAX2-kanaldriver: En uautentifcieret fjernangriber kunne få Asterisk-serveren til at gå ned, ved at sende en fabrikeret option control frame.

I den gamle stabile distribution (lenny), er dette problem rettet i version 1.4.21.2~dfsg-3+lenny5.

I den stabile distribution (squeeze), er dette problem rettet i version 1.6.2.9-2+squeeze3.

For the distributionen testing (wheezy), er dette problem rettet i version 1:1.8.4.3-1.

I den ustabile distribution (sid), er dette problem rettet i version 1:1.8.4.3-1.

Vi anbefaler at du opgraderer dine asterisk-pakker.