Update to upstream 14.7.5 release for AST-2017-014/CVE-2017-17850 security issue

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to its SIP banner, the version of Asterisk running on the remote host is 13.x prior to 13.18.5, 14.x prior to 14.7.5, 15.x prior to 15.1.5, or 13.18 prior to 13.18-cert2. It is therefore, affected by a remote denial of service attack as described in AST-2017-014.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Asterisk project reports :

A select set of SIP messages create a dialog in Asterisk. Those SIP messages must contain a contact header. For those messages, if the header was not present and using the PJSIP channel driver, it would cause Asterisk to crash. The severity of this vulnerability is somewhat mitigated if authentication is enabled. If authentication is enabled a user would have to first be authorized before reaching the crash point.

SIPバナーによると、リモートホストで実行されているAsteriskのバージョンは、13.18.5より前の13.x、14.7.5より前の14.x、15.1.5より前の15.x、または13.18-cert2より前の13.18です。したがって、AST-2017-014に記載されているとおり、リモートサービス拒否攻撃の影響を受けます。注意：Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号のみに依存しています。

AST-2017-014/CVE-2017-17850のセキュリティ問題用のUpstream 14.7.5リリースに更新してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Asterisk プロジェクトによる報告：

SIPメッセージの選択セットは、Asteriskでダイアログを作成します。これらのSIPメッセージには、連絡先ヘッダーが含まれている必要があります。これらのメッセージでは、ヘッダーが存在せず、PJSIPチャネルドライバーを使用している場合、Asteriskがクラッシュします。認証が有効な場合、この脆弱性の重要度はやや緩和されます。認証が有効な場合、ユーザーはクラッシュポイントに到達する前に承認されている必要があります。

リモートホストは、GLSA-201811-11（Asterisk：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がAsteriskで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、サービス拒否状態を引き起こしたり、情報を収集する可能性があります。回避策：現時点では、既知の回避策はありません。

根据其 SIP 标题，远程主机上运行的 Asterisk 版本是低于 13.18.5 的 13.x、低于 14.7.5 的 14.x、低于 15.1.5 的 15.x 或低于 13.18-cert2 的 13.18。因此，如 AST-2017-014 所述，受到远程拒绝服务攻击的影响。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

远程主机受到 GLSA-201811-11 中所述漏洞的影响（Asterisk：多个漏洞）

    已在 Asterisk 中发现多种漏洞。请查看供参考的 CVE 标识符，了解详细信息。
  影响：

    远程攻击者可造成拒绝服务情况或进行信息搜集。
  变通方案：

    目前无任何已知的变通方案。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Asterisk 13.18.4 and older, 14.7.4 and older, 15.1.4 and older, and 13.18-cert1     and older. A select set of SIP messages create a dialog in Asterisk. Those SIP messages must contain a     contact header. For those messages, if the header was not present and the PJSIP channel driver was used,     Asterisk would crash. The severity of this vulnerability is somewhat mitigated if authentication is     enabled. If authentication is enabled, a user would have to first be authorized before reaching the crash     point. (CVE-2017-17850)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote host is affected by the vulnerability described in GLSA-201811-11 (Asterisk: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Asterisk. Please review       the referenced CVE identifiers for details.
  Impact :

    A remote attacker could cause a Denial of Service condition or conduct       information gathering.
  Workaround :

    There is no known workaround at this time.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Asterisk 13.18.4 及之前版本、 14.7.4 及之前版本、 15.1.4 及之前版本以及 13.18-cert1 及之前版本中发现一个问题。一组选定的 SIP 消息可在 Asterisk 中创建一个对话框。这些 SIP 消息必须包含 contact 标头。对于这些消息如果标头不存在但使用了 PJSIP 通道驱动程序则 Asterisk 会崩溃。如果启用身份验证可在一定程度上缓解此漏洞的严重性。如果启用了认证 则必须首先对用户进行授权 到达崩溃点之前。 (CVE-2017-17850)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Asterisk 13.18.4 和更舊版本、 14.7.4 和更舊版本、 15.1.4 和更舊版本以及 13.18-cert1 和更舊版本中發現一個問題。一組精選的 SIP 訊息會在 Asterisk 中建立對話方塊。這些 SIP 訊息必須包含連絡標頭。針對這些訊息如果標頭不存在且使用了 PJSIP 通道驅動程式Asterisk 會損毀。若啟用驗證此弱點的嚴重性會在一定程度上減輕。如果已啟用驗證使用者在到達損毀點之前必須先獲得授權。 (CVE-2017-17850)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

根據其 SIP 標題，遠端主機上執行的 Asterisk 版本是比 13.18.5 舊的 13.x 版，比 14.7.5 舊的 14.x 版、比 15.1.5 舊的 15.x 版，或是比 13.18-cert2 舊的 13.18 版。因此，會受到 AST-2017-014 中所述一個遠端拒絕服務攻擊影響。請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-201811-11 中所述的弱點影響 (Asterisk：多個弱點)

    在 Asterisk 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。
  影響：

    遠端攻擊者可造成拒絕服務情況或進行資訊蒐集。
  因應措施：

    目前尚無已知的因應措施。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Asterisk 13.18.4 以前、 14.7.4 以前、 15.1.4 以前、および 13.18-cert1 以前で問題が発見されました。SIPメッセージの一連の選択により、Asteriskにダイアログが作成されます。これらのSIPメッセージには、連絡先ヘッダーが含まれている必要があります。これらのメッセージでは、ヘッダーが存在せず PJSIP チャネルドライバーが使用された場合、Asterisk がクラッシュします。この脆弱性の重要度は、認証が有効化されている場合にはある程度緩和されます。認証が有効な場合、ユーザーはクラッシュポイントに到達する前に、まず認証を受ける必要があります。CVE-2017-17850

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
105861	Fedora 27 : asterisk (2017-41242dfe10)	Nessus	Fedora Local Security Checks	2018/1/15	2021/1/11	high
105545	Asterisk 13.x < 13.18.5 / 14.x < 14.7.5 / 15.x < 15.1.5 / 13.13 < 13.18-cert2 Crash in PJSIP (AST-2017-014)	Nessus	Misc.	2018/1/4	2022/4/11	high
105448	FreeBSD : asterisk -- Crash in PJSIP resource when missing a contact header (2a3bc6ac-e7c6-11e7-a90b-001999f8d30b)	Nessus	FreeBSD Local Security Checks	2017/12/26	2021/1/4	high
105545	Asterisk 13.x < 13.18.5/14.x < 14.7.5/15.x < 15.1.5/13.13 < 13.18-cert2のPJSIPのクラッシュ（AST-2017-014）	Nessus	Misc.	2018/1/4	2022/4/11	high
105861	Fedora 27：asterisk（2017-41242dfe10）	Nessus	Fedora Local Security Checks	2018/1/15	2021/1/11	high
105448	FreeBSD： asterisk -- 連絡先ヘッダーがない場合のPJSIPリソースのクラッシュ（2a3bc6ac-e7c6-11e7-a90b-001999f8d30b）	Nessus	FreeBSD Local Security Checks	2017/12/26	2021/1/4	high
119131	GLSA-201811-11：Asterisk：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/11/26	2024/7/19	high
105545	Asterisk 13.x < 13.18.5 / 14.x < 14.7.5 / 15.x < 15.1.5 / 13.13 < 13.18-cert2 Crash in PJSIP (AST-2017-014)	Nessus	Misc.	2018/1/4	2022/4/11	high
119131	GLSA-201811-11：Asterisk：多个漏洞	Nessus	Gentoo Local Security Checks	2018/11/26	2024/7/19	high
252378	Linux Distros Unpatched Vulnerability : CVE-2017-17850	Nessus	Misc.	2025/8/20	2025/8/20	high
119131	GLSA-201811-11 : Asterisk: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2018/11/26	2024/7/19	high
252378	Linux Distros 未修补的漏洞：CVE-2017-17850	Nessus	Misc.	2025/8/20	2025/8/20	high
252378	Linux Distros 未修補的弱點：CVE-2017-17850	Nessus	Misc.	2025/8/20	2025/8/20	high
105545	Asterisk 13.x < 13.18.5 / 14.x < 14.7.5 / 15.x < 15.1.5 / 13.13 < 13.18-cert2 Crash in PJSIP (AST-2017-014)	Nessus	Misc.	2018/1/4	2022/4/11	high
119131	GLSA-201811-11：Asterisk：多個弱點	Nessus	Gentoo Local Security Checks	2018/11/26	2024/7/19	high
252378	Linux Distros のパッチ未適用の脆弱性: CVE-2017-17850	Nessus	Misc.	2025/8/20	2025/8/20	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high