在开源 PBX 和电话工具包 Asterisk 中发现一个安全漏洞，可导致未授权的命令执行。app_minivm 模块具有由 MinivmNotify 拨号计划应用程序执行的“externnotify”程序配置选项。该应用程序使用 caller-id 名称和号码作为传递给 OS shell 进行解释和执行的构建字符串的一部分。由于 caller-id 名称和号码可以来自不受信任的来源，因此特制的 caller-id 名称或号码可允许任意 shell 命令注入。对于 Debian 7“Wheezy”，这些问题已在版本 1:1.8.13.1~dfsg1-3+deb7u7 中修复。建议您升级 asterisk 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-1122-1：asterisk 安全更新

critical Nessus 插件 ID 103683

未找到变更日志