Debian DSA-2276-1:asterisk - 多个拒绝服务

medium Nessus 插件 ID 55554

简介

远程 Debian 主机缺少与安全相关的更新。

描述

Paul Belanger 报告,在 Asterisk 中有一个名为 AST-2011-008(CVE-2011-2529 ) 的漏洞,未经认证的攻击者可通过该漏洞来远程使 Asterisk 服务器崩溃。一个包含 NULL 字符的程序包造成 SIP 标头解析器更改不相关的内存结构。

Jared Mauch 报告,Asterisk 中有一个名为 AST-2011-009 的漏洞,未经认证的攻击者可通过该漏洞来远程使 Asterisk 服务器崩溃。如果在用户发送传送的程序包中,其 Contact 标头缺少左边的角括号 (<),则服务器将会崩溃。一种可行的变通方案是禁用 chan_sip。

名为 AST-2011-010(CVE-2011-2535 ) 的漏洞报告了一个有关 IAX2 通道驱动程序中输入验证的错误。未经认证的攻击者可通过发送特别构建的选项控制框架来远程使 Asterisk 服务器崩溃。

解决方案

升级 asterisk 程序包。

对于旧稳定发行版本 (lenny),已在版本 1.4.21.2~dfsg-3+lenny5 中修复了此问题。

对于稳定发行版本 (squeeze),已在版本 1.6.2.9-2+squeeze3 中修复了此问题。

另见

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=631445

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=631446

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=631448

http://downloads.asterisk.org/pub/security/AST-2011-008.html

https://security-tracker.debian.org/tracker/CVE-2011-2529

http://downloads.asterisk.org/pub/security/AST-2011-009.html

http://downloads.asterisk.org/pub/security/AST-2011-010.html

https://security-tracker.debian.org/tracker/CVE-2011-2535

https://packages.debian.org/source/squeeze/asterisk

https://www.debian.org/security/2011/dsa-2276

插件详情

严重性: Medium

ID: 55554

文件名: debian_DSA-2276.nasl

版本: 1.14

类型: local

代理: unix

发布时间: 2011/7/12

最近更新时间: 2021/1/4

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:asterisk, cpe:/o:debian:debian_linux:5.0, cpe:/o:debian:debian_linux:6.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2011/7/10

参考资料信息

CVE: CVE-2011-2529, CVE-2011-2535

BID: 48431

DSA: 2276