Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Asterisk IAX2 Channel Driver : Déni de Service

30/07/2007 14H09
Référence Secunia : SA26274 
Date de publication : 2007-07-30

Risque : Non Critique. Niveau 2 sur 5.
Impact : DoS
Lieu : Depuis le réseau local


Solutions :
Correctif de l'éditeur


Produit :
Asterisk 1.x
Asterisk Appliance Developer Kit 0.x

Description :
Une vulnérabilité a été rapportée dans Asterisk, qui pourrait être exploitée par des personnes malintentionnées pour causer un Déni de Service (DoS).

La vulnérabilité est causée du fait que le IAX2 Channel Driver traite improprement "NEW" packets. Cela pourrait être exploité à allouer des ressources qui ne sont jamais libérées en envoyant plusieurs "NEW" packets pour extensions valides au serveur.

L'exploitation de ce problème provoque un DoS, mais n'est possible seulement si le IAX2 Channel Driver est configuré pour permettre des appels non-authentifiés.

La vulnérabilité est rapportée dans les produits suivants:
Asterisk Open Source 1.2.x version 1.2.20, 1.2.21, 1.2.21.1, et 1.2.22
Asterisk Open Source 1.4.x version 1.4.5, 1.4.7, 1.4.7.1 et 1.4.8
AsteriskNOW pre-release version beta6
Asterisk Appliance Developer Kit 0.5.0
s800i versions 1.0.0-beta5 à 1.0.2.


Solutions :
Asterisk Open Source 1.2.x:
Mettre à jour en version 1.2.23.
ftp.digium.com/pub/telephony/asterisk

Asterisk Open Source 1.4.x:
Mettre à jour en version 1.4.9.
ftp.digium.com/pub/telephony/asterisk

AsteriskNOW pre-release:
Mettre à jour en version beta7.
http://www.asterisknow.org

Asterisk Appliance Developer Kit:
Mettre à jour en version 0.6.0.
ftp.digium.com/pub/telephony/aadk

s800i:
Mettre à jour en version 1.0.3.


Vulnérabilité découverte par :

Russel Bryant

Référence :
http://ftp.digium.com/pub/asa/ASA-2007-018.pdf




Veuillez noter : L'information sur laquelle ce bulletin Secunia est basé provient d'un tiers sauf mention du contraire. Secunia collecte, valide, et vérifie tout les rapports de vulnérabilité issus de la recherche en sécurité de groupes, distributeurs ou autres.

Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.