根据其 SIP 标题中的版本，远程主机上运行的 Asterisk 版本可能受到拒绝服务漏洞的影响。连接已发起但未完成时，处理 TCP 和 TLS 连接的过程中存在缺陷。远程攻击者可重复发送可能导致拒绝服务的请求。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

已在 asterisk 中发现并修正了多种漏洞：

低于 11.10.1 的 Asterisk Open Source 11.x、低于 12.3.1 的 Asterisk Open Source 12.x 和低于 11.6-cert3 的 Certified Asterisk 11.6 允许经过认证的远程管理器用户通过 MixMonitor 操作执行任意 shell 命令 (CVE-2014-4046)。

低于 1.8.28.1 的 Asterisk Open Source 1.8.x、低于 11.10.1 的 Asterisk Open Source 11.x、低于 12.3.1 的 Asterisk Open Source 12.x 以及低于 1.8.15-cert6 的 Certified Asterisk 1.8.15 和低于 11.6-cert3 的 Certified Asterisk 11.6 允许远程攻击者通过大量 (1) 不活动或 (2) 不完整的 HTTP 连接造成拒绝服务（连接消耗）(CVE-2014-4047)。

更新后的程序包已升级为 11.11.0 版本，不易受到这些问题的影响。

Asterisk 开发团队发布了 Certified Asterisk 1.8.15、11.6 及 Asterisk 1.8、11 和 12 的安全版本。可用的安全版本为版本 1.8.15-cert7、11.6-cert4、1.8.28.2、11.10.2 和 12.3.2。

这些版本可供立即下载，网址是：http://downloads.asterisk.org/pub/telephony/asterisk/releases

这些版本解决了之前在 1.8.15-cert6、11.6-cert3、1.8.28.1、11.10.1 和 12.3.1 中修复的安全漏洞。
不幸的是，针对 AST-2014-007 的补丁不慎在 Asterisk 的 TCP 和 TLS 处理中引入了回归，从而阻止了 Asterisk 通过这些传输发送数据。已在此版本声明中指定的版本中修复此回归和安全漏洞。

已使用针对回归的补丁更新 AST-2014-007 的安全修补程序，这些修补程序现在可从以下网址获取：http://downloads.asterisk.org/pub/security

请注意，这些版本解决了以下安全漏洞：

- AST-2014-005：PJSIP 通道驱动程序的发布/订阅框架中的远程崩溃

- AST-2014-006：通过 Asterisk 管理器用户未授权的 Shell 访问导致的权限升级

- AST-2014-007：通过耗尽允许的并发 HTTP 连接导致的拒绝服务

- AST-2014-008：PJSIP 通道驱动程序订阅中的拒绝服务

有关这些漏洞的详细信息，请参阅通过先前版本发布的安全公告 AST-2014-005、AST-2014-006、AST-2014-007 和 AST-2014-008，上述漏洞在这些先前版本中得到解决。

有关当前版本中完整的变更列表，请参阅变更日志：

http://downloads.asterisk.org/pub/telephony/certified-asterisk/releases/ChangeLog-1.8.15-cert7 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.8.28.2 http://downloads.asterisk.org/pub/telephony/certified-asterisk/releases/ChangeLog-11.6-cert4 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-11.10.2 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-12.3.2

安全公告请参阅：

- http://downloads.asterisk.org/pub/security/AST-2014-005。
 pdf

- http://downloads.asterisk.org/pub/security/AST-2014-00 6.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-00 7.pdf

- http://downloads.asterisk.org/pub/security/AST-2014-00 8.pdf

Asterisk 开发团队发布了 Certified Asterisk 1.8.15、11.6 及 Asterisk 1.8、11 和 12 的安全版本。可用的安全版本为版本 1.8.15-cert6、11.6-cert3、1.8.28.1、11.10.1 和 12.3.1。

这些版本可供立即下载，网址是：http://downloads.asterisk.org/pub/telephony/asterisk/releases

这些版本解决了以下问题：

- AST-2014-007：通过耗尽允许的并发 HTTP 连接导致的拒绝服务

如果在 http.conf 中分别建立到配置的 HTTP 或 HTTPS 端口的 TCP 或 TLS 连接，但之后不发送 HTTP 请求也不完成 HTTP 请求，则会占用 HTTP 会话。重复执行此操作直至达到开放 HTTP 会话的最大数量，就会阻断合法请求。

此外，11.6-cert3、11.10.1 和 12.3.1 版本解决了以下问题：

- AST-2014-006：通过 Asterisk 管理器用户未授权的 Shell 访问导致的权限升级

管理器用户可以通过 MixMonitor 管理器操作执行任意 shell 命令。Asterisk 允许管理器用户在没有系统类授权的情况下使用 MixMonitor 操作，因此任何获准使用管理器命令的管理器用户都有可能以执行 Asterisk 进程的用户身份执行 shell 命令。

此外，12.3.1 版本解决了以下问题：

- AST-2014-005：PJSIP 通道驱动程序的发布/订阅框架中的远程崩溃

PJSIP 通道驱动程序的发布/订阅框架中存在可远程利用的崩溃漏洞。如果尝试在当前未订阅的情况下取消订阅，并且将端点的“sub_min_expiry”设为零，则 Asterisk 会尝试创建含零秒的到期定时器，而这是不允许的，因此会引发断言。

- AST-2014-008：PJSIP 通道驱动程序订阅中的拒绝服务

SIP 事务超时导致订阅终止时，Asterisk 执行相应的操作，确保死锁提供 SIP 请求的线程。请注意，只有已建立的订阅中才会出现这种行为，这就意味着攻击者只有绕过认证并成功订阅 Asterisk 服务器上的真实资源，才能利用此漏洞。

这些问题及其解决方法在安全公告中说明。

有关这些漏洞的更多详细信息，请参阅与此公告同时发布的安全公告 AST-2014-005、AST-2014-006、AST-2014-007 和 AST-2014-008。

有关当前版本中完整的变更列表，请参阅变更日志：

http://downloads.asterisk.org/pub/telephony/certified-asterisk/releases/ChangeLog-1.8.15-cert6 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.8.28.1 http://downloads.asterisk.org/pub/telephony/certified-asterisk/releases/ChangeLog-11.6-cert3 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-11.10.1 http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-12.3.1

Asterisk 开发团队已通告了 Asterisk 11.10.0 版本的发布。此版本可供立即下载，网址是：http://downloads.asterisk.org/pub/telephony/asterisk

Asterisk 11.10.0 版本解决了由社区报告的若干问题，没有您的参与，不可能解决这些问题。谢谢！

以下是此版本中已解决的问题：

此版本中修复的缺陷：

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Asterisk 项目报告：

Asterisk 管理器用户未授权 Shell 访问。管理器用户可以通过 MixMonitor 管理器操作执行任意 shell 命令。
Asterisk 允许管理器用户在没有系统类授权的情况下使用 MixMonitor 操作，因此任何获准使用管理器命令的管理器用户都有可能以执行 Asterisk 进程的用户身份执行 shell 命令。

耗尽允许的并发 HTTP 连接。如果在 http.conf 中分别建立到配置的 HTTP 或 HTTPS 端口的 TCP 或 TLS 连接，但之后不发送 HTTP 请求也不完成 HTTP 请求，则会占用 HTTP 会话。重复执行此操作直至达到开放 HTTP 会话的最大数量，就会阻断合法请求。

远程主机受到 GLSA-201406-25 中所述漏洞的影响（Asterisk：多个漏洞）

    已在 Asterisk 中发现多种漏洞。请检查下面的 CVE 标识符以了解详细信息。
  影响：

    获取特权 Asterisk 帐户访问权限的远程攻击者可执行任意系统 shell 命令。此外，非特权远程攻击者可造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
76088	Asterisk HTTP 会话处理 DoS (AST-2014-007)	Nessus	Misc.	2014/6/17	2022/4/11	medium
76482	Mandriva Linux 安全公告：asterisk (MDVSA-2014:138)	Nessus	Mandriva Local Security Checks	2014/7/13	2021/1/6	medium
77768	Fedora 20：asterisk-11.10.2-2.fc20 (2014-7551)	Nessus	Fedora Local Security Checks	2014/9/22	2021/1/11	medium
77769	Fedora 19：asterisk-11.10.2-2.fc19 (2014-7570)	Nessus	Fedora Local Security Checks	2014/9/22	2021/1/11	medium
76103	FreeBSD：asterisk -- 多种漏洞 (f109b02f-f5a4-11e3-82e9-00a098b18457)	Nessus	FreeBSD Local Security Checks	2014/6/18	2021/1/6	medium
76227	GLSA-201406-25 : Asterisk：多个漏洞	Nessus	Gentoo Local Security Checks	2014/6/26	2021/1/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium