CVE-2014-6610 Asterisk Open Source 11.12.1 之前的 11.x 版和 12.5.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert6 之前的 11.6 版，在使用 res_fax_spandsp 模块时，允许经认证的远程用户通过在 ReceiveFax dialplan 应用程序中未正确处理的呼叫范围外消息，造成拒绝服务（崩溃）。

CVE-2014-4046 Asterisk Open Source 11.10.1 之前的 11.x 版和 12.3.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert3 之前的 11.6 版，允许经认证的远程管理员用户通过 MixMonitor 操作执行任意 shell 命令。

CVE-2014-2286 在 Asterisk Open Source 1.8.26.1 之前的 1.8.x 版、11.8.1 之前的 11.8.x 版和 12.1.1 之前的 12.1.x 版，以及 Certified Asterisk 1.8.15-cert5 之前的 1.8.x 版和 11.6-cert2 之前的 11.6 版中，main/http.c 允许远程攻击者通过具有大量 Cookie 标头的 HTTP 请求，造成拒绝服务（堆栈消耗）且可能执行任意代码。

CVE-2014-8412 在 Asterisk Open Source 1.8.32.1 之前的 1.8.x 版、11.14.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert3 之前的 1.8.28 版和 11.6-cert8 之前的 11.6 版中，(1) VoIP 通道驱动程序、(2) DUNDi 和 (3) Asterisk 管理接口 (AMI) 允许远程攻击者通过来源 IP 未将地址系列作为第一个 ACL 条目共享的数据包，绕过 ACL 限制。

CVE-2014-8418 在 Asterisk Open Source 1.8.32 之前的 1.8.x 版、11.1.4.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert8 之前的 1.8 版和 11.6-cert8 之前的 11.6 版中，DB dialplan 函数允许经认证的远程用户通过从外部协议进行的调用取得权限，这一点已由 AMI 协议证实。

CVE-2015-3008 Asterisk Open Source 1.8.32.3 之前的 1.8 版、11.17.1 之前的 11.x 版、12.8.2 之前的 12.x 版和 13.3.2 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert5 之前的 1.8.28 版、11.6-cert11 之前的 11.6 版和 13.1-cert2 之前的 13.1 版，在注册 SIP TLS 设备时，未正确处理 X.509 证书的使用者公用名 (CN) 字段的域名中的空字节，进而允许中间人攻击者通过由合法证书颁发机构颁发的特别构建的证书，欺骗任意 SSL 服务器。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Debian DLA-455-1：asterisk 安全更新

high Nessus 插件 ID 90873

未找到变更日志