Debian セキュリティ勧告
DSA-2493-1 asterisk -- サービス拒否攻撃
- 報告日時:
- 2012-06-12
- 影響を受けるパッケージ:
- asterisk
- 危険性:
- あり
- 参考セキュリティデータベース:
- Debian バグ追跡システム: バグ 675204, バグ 675210.
Mitre の CVE 辞書: CVE-2012-2947, CVE-2012-2948. - 詳細:
-
複数の欠陥が、電子交換機およびテレフォニーツールキット Asterisk に発 見されました。
- CVE-2012-2947
IAX2 チャネルドライバに、保留中に発呼を行うことで、リモートの 攻撃者からのサービス拒否攻撃 (デーモンクラッシュ) を許す欠陥 が発見されました。この欠陥は、一部の mohinterpret 設定が有効 な場合にのみ攻撃可能です。
- CVE-2012-2948
Skinny チャネルドライバに、オフフックモードで接続を閉じること で、リモートの認証済みのユーザからのサービス拒否攻撃 (NULL ポ インタ参照とデーモンクラッシュ) を許す欠陥が発見されました。
これらに加えて、Asterisk の SIP チャネルドライバの既定値で alwaysauthreject オプションを設定していないことが発見されました。この 結果、リモートの攻撃者が応答の挙動を観察できるため、アカウント名の有 無の判定が行えます (CVE-2011-2666)。 このユーザ名漏洩の欠陥への対処を 行いたいシステム管理者は、設定で alwaysauthreject オプションを有効に すべきです。現在の所、後方互換性を重視しているため、安定版 (Asterisk 1.6) で標準設定を変更する予定はありません。
安定版 (stable) ディストリビューション (squeeze) では、この問題はバー ジョン 1:1.6.2.9-2+squeeze6 で修正されています。
テスト版 (wheezy) および不安定版 (unstable) ディストリビューションで は、この問題はバージョン 1:1.8.13.0~dfsg-1 で修正されています。
直ぐに asterisk パッケージをアップグレードすることを勧めます。
- CVE-2012-2947