The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Asterisk is an open-source private branch exchange (PBX). Prior to versions 18.24.3, 20.9.3, and 21.4.3 of     Asterisk and versions 18.9-cert12 and 20.7-cert2 of certified-asterisk, if Asterisk attempts to send a SIP     request to a URI whose host portion starts with `.1` or `[.1]`, and res_resolver_unbound is loaded,     Asterisk will crash with a SEGV. To receive a patch, users should upgrade to one of the following     versions: 18.24.3, 20.9.3, 21.4.3, certified-18.9-cert12, certified-20.7-cert2. Two workarounds are     available. Disable res_resolver_unbound by setting `noload = res_resolver_unbound.so` in modules.conf, or     set `rewrite_contact = yes` on all PJSIP endpoints. NOTE: This may not be appropriate for all Asterisk     configurations. (CVE-2024-42491)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3925 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-3925-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                    Thorsten Alteholz     October 20, 2024                              https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : asterisk     Version        : 1:16.28.0~dfsg-0+deb11u5     CVE ID         : CVE-2024-42365 CVE-2024-42491


    Two issues have been found in asterisk, an Open Source Private Branch     Exchange.


    CVE-2024-42365

        Due to a privilege escalation, remote code execution and/or         blind server-side request forgery with arbitrary protocol are         possible.

    CVE-2024-42491

        Due to bad handling of malformed Contact or Record-Route URI in an         incoming  SIP request, Asterisk might crash when res_resolver_unbound         is used.

    Thanks to Niels Galjaard, a minor privilege escalation has been fixed.
    More information about ths can be found at:

    https://alioth-lists.debian.net/pipermail/pkg-voip-maintainers/2024-July/038664.html


    For Debian 11 bullseye, these problems have been fixed in version     1:16.28.0~dfsg-0+deb11u5.

    We recommend that you upgrade your asterisk packages.

    For the detailed security status of asterisk please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/asterisk

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Asterisk は、オープンソースのプライベートブランチ交換 (PBX) です。Asterisk のバージョン 18.24.3、 20.9.3、 21.4.3 より前、ならびにCertified-asterisk のバージョン 18.9-cert12 および 20.7-cert2 より前は、Asterisk が、ホスト部分が「.1」または「」で始まる URI に SIP リクエストを送信しようとする場合には、 [.1]` し、res_resolver_unbound がロードされていると、Asterisk が SEGV でクラッシュします。パッチを受け取るには、ユーザーは次のバージョンのいずれかにアップグレードする必要があります 18.24.3、 20.9.3、 21.4.3、Certified-18.9-cert12、Certified-20.7-cert2。2つの回避策があります。modules.conf で「noload = res_resolver_unbound.so」を設定して res_resolver_unbound を無効にするか、すべての PJSIP エンドポイントで「rewrite_contact = yes」を設定します。注意: これはすべての Asterisk 設定に適切であるわけではありません。CVE-2024-42491

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Asterisk 是一種開放原始碼的 Private Branch Exchange (PBX)。在 18.24.3、 20.9.3和 21.4.3 版之前的 Asterisk 以及 Certified-asterisk 的 18.9-cert12 和 20.7-cert2 版中如果 Asterisk 嘗試傳送 SIP 要求給其主機部分以「.1」或「 [.1]`且已載入 res_resolver_unbound則 Asterisk 將因 SEGV 而損毀。若要接收修補程式使用者應升級至下列其中一個版本 18.24.3、 20.9.3、 21.4.3、certified-18.9-cert12、certified-20.7-cert2。有兩個因應措施可供使用。透過在 modules.conf 中設定 `noload = res_resolver_unbound.so` 來停用 res_resolver_unbound或是在所有 PJSIP 端點上設定 `rewrite_contact = yes`。注意這可能不適用於所有 Asterisk 組態。 (CVE-2024-42491)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Asterisk 是一个开源专用交换机 (PBX)。低于 18.24.3、 20.9.3和 21.4.3 的 Asterisk 以及低于 18.9-cert12 和 20.7-cert2 的 Certified-asterisk 时如果 Asterisk 尝试将 SIP 请求发送至主机部分以“.1”或“”开头的 URI [.1]`和 res_resolver_unbound 后Asterisk 将因 SEGV 而崩溃。要接收修补程序用户应升级到以下版本之一 18.24.3、 20.9.3、 21.4.3、certified-18.9-cert12、certified-20.7-cert2。有两个变通方案可用。通过在 modules.conf 中设置“noload = res_resolver_unbound.so”来禁用 res_resolver_unbound或在所有 PJSIP 端点上设置“rewrite_contact = yes”。注意这可能不适用于所有 Asterisk 配置。 (CVE-2024-42491)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
252341	Linux Distros Unpatched Vulnerability : CVE-2024-42491	Nessus	Misc.	2025/8/20	2025/10/22	medium
209341	Debian dla-3925 : asterisk - security update	Nessus	Debian Local Security Checks	2024/10/20	2024/12/3	high
252341	Linux Distros のパッチ未適用の脆弱性: CVE-2024-42491	Nessus	Misc.	2025/8/20	2025/10/22	medium
252341	Linux Distros 未修補的弱點：CVE-2024-42491	Nessus	Misc.	2025/8/20	2025/10/22	medium
252341	Linux Distros 未修补的漏洞：CVE-2024-42491	Nessus	Misc.	2025/8/20	2025/10/22	medium

检测

插件搜索

medium

high

medium

medium

medium