已在 asterisk 中发现并修正了多种漏洞：

低于 11.10.1 的 Asterisk Open Source 11.x、低于 12.3.1 的 Asterisk Open Source 12.x 和低于 11.6-cert3 的 Certified Asterisk 11.6 允许经过认证的远程管理器用户通过 MixMonitor 操作执行任意 shell 命令 (CVE-2014-4046)。

低于 1.8.28.1 的 Asterisk Open Source 1.8.x、低于 11.10.1 的 Asterisk Open Source 11.x、低于 12.3.1 的 Asterisk Open Source 12.x 以及低于 1.8.15-cert6 的 Certified Asterisk 1.8.15 和低于 11.6-cert3 的 Certified Asterisk 11.6 允许远程攻击者通过大量 (1) 不活动或 (2) 不完整的 HTTP 连接造成拒绝服务（连接消耗）(CVE-2014-4047)。

更新后的程序包已升级为 11.11.0 版本，不易受到这些问题的影响。

根据其 SIP 标题中的版本，远程主机上运行的 Asterisk 版本可能受到权限升级漏洞的影响。Asterisk 管理接口 (AMI) 中存在一个缺陷，允许管理员用户以 Asterisk 进程的权限执行任意 shell 命令。存在此缺陷的原因是 MixMonitor 管理员操作缺少授权。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

远程主机受到 GLSA-201406-25 中所述漏洞的影响（Asterisk：多个漏洞）

    已在 Asterisk 中发现多种漏洞。请检查下面的 CVE 标识符以了解详细信息。
  影响：

    获取特权 Asterisk 帐户访问权限的远程攻击者可执行任意系统 shell 命令。此外，非特权远程攻击者可造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

Asterisk 项目报告：

Asterisk 管理器用户未授权 Shell 访问。管理器用户可以通过 MixMonitor 管理器操作执行任意 shell 命令。
Asterisk 允许管理器用户在没有系统类授权的情况下使用 MixMonitor 操作，因此任何获准使用管理器命令的管理器用户都有可能以执行 Asterisk 进程的用户身份执行 shell 命令。

耗尽允许的并发 HTTP 连接。如果在 http.conf 中分别建立到配置的 HTTP 或 HTTPS 端口的 TCP 或 TLS 连接，但之后不发送 HTTP 请求也不完成 HTTP 请求，则会占用 HTTP 会话。重复执行此操作直至达到开放 HTTP 会话的最大数量，就会阻断合法请求。

CVE-2014-6610 Asterisk Open Source 11.12.1 之前的 11.x 版和 12.5.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert6 之前的 11.6 版，在使用 res_fax_spandsp 模块时，允许经认证的远程用户通过在 ReceiveFax dialplan 应用程序中未正确处理的呼叫范围外消息，造成拒绝服务（崩溃）。

CVE-2014-4046 Asterisk Open Source 11.10.1 之前的 11.x 版和 12.3.1 之前的 12.x 版，以及 Certified Asterisk 11.6-cert3 之前的 11.6 版，允许经认证的远程管理员用户通过 MixMonitor 操作执行任意 shell 命令。

CVE-2014-2286 在 Asterisk Open Source 1.8.26.1 之前的 1.8.x 版、11.8.1 之前的 11.8.x 版和 12.1.1 之前的 12.1.x 版，以及 Certified Asterisk 1.8.15-cert5 之前的 1.8.x 版和 11.6-cert2 之前的 11.6 版中，main/http.c 允许远程攻击者通过具有大量 Cookie 标头的 HTTP 请求，造成拒绝服务（堆栈消耗）且可能执行任意代码。

CVE-2014-8412 在 Asterisk Open Source 1.8.32.1 之前的 1.8.x 版、11.14.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert3 之前的 1.8.28 版和 11.6-cert8 之前的 11.6 版中，(1) VoIP 通道驱动程序、(2) DUNDi 和 (3) Asterisk 管理接口 (AMI) 允许远程攻击者通过来源 IP 未将地址系列作为第一个 ACL 条目共享的数据包，绕过 ACL 限制。

CVE-2014-8418 在 Asterisk Open Source 1.8.32 之前的 1.8.x 版、11.1.4.1 之前的 11.x 版、12.7.1 之前的 12.x 版和 13.0.1 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert8 之前的 1.8 版和 11.6-cert8 之前的 11.6 版中，DB dialplan 函数允许经认证的远程用户通过从外部协议进行的调用取得权限，这一点已由 AMI 协议证实。

CVE-2015-3008 Asterisk Open Source 1.8.32.3 之前的 1.8 版、11.17.1 之前的 11.x 版、12.8.2 之前的 12.x 版和 13.3.2 之前的 13.x 版，以及 Certified Asterisk 1.8.28-cert5 之前的 1.8.28 版、11.6-cert11 之前的 11.6 版和 13.1-cert2 之前的 13.1 版，在注册 SIP TLS 设备时，未正确处理 X.509 证书的使用者公用名 (CN) 字段的域名中的空字节，进而允许中间人攻击者通过由合法证书颁发机构颁发的特别构建的证书，欺骗任意 SSL 服务器。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
76482	Mandriva Linux 安全公告：asterisk (MDVSA-2014:138)	Nessus	Mandriva Local Security Checks	2014/7/13	2021/1/6	medium
76087	Asterisk 管理接口 MixMonitor 权限升级 (AST-2014-006)	Nessus	Misc.	2014/6/17	2022/4/11	medium
76227	GLSA-201406-25 : Asterisk：多个漏洞	Nessus	Gentoo Local Security Checks	2014/6/26	2021/1/6	medium
76103	FreeBSD：asterisk -- 多种漏洞 (f109b02f-f5a4-11e3-82e9-00a098b18457)	Nessus	FreeBSD Local Security Checks	2014/6/18	2021/1/6	medium
90873	Debian DLA-455-1：asterisk 安全更新	Nessus	Debian Local Security Checks	2016/5/4	2021/1/11	high

检测

插件搜索

medium

medium

medium

medium

high