Sie sind hier: Home » Aktuelle Meldungen » Meldung
Meldung Nr: RUS-CERT-1396

[Generic/Asterisk] Mehrere Schwachstellen in Asterisk
(2007-07-19 18:09:16.280469+00) Druckversion

Quelle: http://www.asterisk.org/

Mehrere Schwachstellen in der IP PBX-Software Asterisk können von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem auszuführen oder es in einen unbenutzbaren Zustand zu versetzen. Es stehen neue Versionen zur Verfügung, in denen die Schwachstellen behoben sind.

Betroffene Systeme

  • CVE-2007-3762:
    • Asterisk Open Source 1.0.x
    • Asterisk Open Source 1.2.0 bis 1.2.21
    • Asterisk Open Source 1.4.0 bis 1.4.7
    • Asterisk Business Edition A.x.x
    • Asterisk Business Edition B.x.x bis B.2.2.0
    • AsteriskNOW prerelease vor beta7
    • Asterisk Appliance Developer Kit vor 0.5.0
    • Asterisk Appliance s800i vor 1.0.2
  • CVE-2007-3763:
    • Asterisk Open Source 1.0.x
    • Asterisk Open Source 1.2.0 bis 1.2.21
    • Asterisk Open Source 1.4.0 bis 1.4.7
    • Asterisk Business Edition A.x.x
    • Asterisk Business Edition B.x.x bis B.2.2.0
    • AsteriskNOW prerelease vor beta7
    • Asterisk Appliance Developer Kit vor 0.5.0
    • Asterisk Appliance s800i vor 1.0.2
  • CVE-2007-3764:
    • Asterisk Open Source 1.0.x
    • Asterisk Open Source 1.2.0 bis 1.2.21
    • Asterisk Open Source 1.4.0 bis 1.4.7
    • Asterisk Business Edition A.x.x
    • Asterisk Business Edition B.x.x bis B.2.2.0
    • AsteriskNOW prerelease vor beta7
    • Asterisk Appliance Developer Kit vor 0.5.0
    • Asterisk Appliance s800i vor 1.0.2
  • CVE-2007-3765:
    • Asterisk Open Source 1.4.0 bis 1.4.7
    • AsteriskNOW prerelease vor beta7
    • Asterisk Appliance Developer Kit vor 0.5.0
    • Asterisk Appliance s800i vor 1.0.2

Nicht betroffene Systeme

  • CVE-2007-3762:
    • Asterisk Open Source 1.2.22
    • Asterisk Open Source 1.4.8
    • Asterisk Business Edition B.2.2.1
    • AsteriskNOW prerelease beta7
    • Asterisk Appliance Developer Kit 0.5.0
    • Asterisk Appliance s800i 1.0.2
  • CVE-2007-3763:
    • Asterisk Open Source 1.2.22
    • Asterisk Open Source 1.4.8
    • Asterisk Business Edition B.2.2.1
    • AsteriskNOW prerelease beta7
    • Asterisk Appliance Developer Kit 0.5.0
    • Asterisk Appliance s800i 1.0.2
  • CVE-2007-3764:
    • Asterisk Open Source 1.2.22
    • Asterisk Open Source 1.4.8
    • Asterisk Business Edition B.2.2.1
    • AsteriskNOW prerelease beta7
    • Asterisk Appliance Developer Kit 0.5.0
    • Asterisk Appliance s800i 1.0.2
  • CVE-2007-3765:
    • Asterisk Open Source 1.0.x
    • Asterisk Open Source 1.2.x
    • Asterisk Open Source 1.4.8
    • Asterisk Business Edition A.x.x
    • Asterisk Business Edition B.x.x
    • AsteriskNOW prerelease beta7
    • Asterisk Appliance Developer Kit 0.5.0
    • Asterisk Appliance s800i 1.0.2

Einfallstor

  • CVE-2007-3762:
    RTP-Paket
  • CVE-2007-3763:
    LAGRQ- oder LAGRP-Paket (IAX)
  • CVE-2007-3764:
    SCCP-Paket (Skinny Client Control Protocol)
  • CVE-2007-3765:
    STUN-Paket an einen aktiven RTP-Port des Asterisk-Systems

Angriffsvoraussetzung

  • CVE-2007-3762:
    Zugriff auf ein Netzwerk über das Pakete an das o.b. Einfallstor gesandt werden können
  • CVE-2007-3763:
    Zugriff auf ein Netzwerk über das Pakete an das o.b. Einfallstor gesandt werden können
  • CVE-2007-3764:
    Zugriff auf ein Netzwerk über das Pakete an das o.b. Einfallstor gesandt werden können
  • CVE-2007-3765:
    Zugriff auf ein Netzwerk über das Pakete an das o.b. Einfallstor gesandt werden können

Angriffsvektorklasse

  • CVE-2007-3762:
    über eine Netzwerkverbindung
    (remote)
  • CVE-2007-3763:
    über eine Netzwerkverbindung
    (remote)
  • CVE-2007-3764:
    über eine Netzwerkverbindung
    (remote)
  • CVE-2007-3765:
    über eine Netzwerkverbindung
    (remote)

Auswirkung

  • CVE-2007-3762:
    Ausführung beliebigen Programmcodes auf dem beherbergenden Rechnersystem mit den Privilegien des Asterisk-Prozesses
    (user compromise)
  • CVE-2007-3763:
    Versetzen des Systems in einen unbenutzbaren Zustand
    (denial of service)
  • CVE-2007-3764:
    Versetzen des Systems in einen unbenutzbaren Zustand
    (denial of service)
  • CVE-2007-3765:
    Ausführung beliebigen Programmcodes auf dem beherbergenden Rechnersystem mit den Privilegien des Asterisk-Prozesses
    (user compromise)

Gefahrenpotential

  • CVE-2007-3762:
    hoch
  • CVE-2007-3763:
    mittel
  • CVE-2007-3764:
    mittel
  • CVE-2007-3765:
    hoch

(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen

Vulnerability ID

(og)

Weitere Artikel zu diesem Thema:

  • [Generic/Asterisk] Mehrere Schwachstellen in Asterisk (2007-04-26)
    In der Open Source IP PBX-Software Asterisk der Versionen vor 1.2.18 und 1.4.3 existieren mehrere Schwachstellen. Diese können von einem Angreifer dazu ausgenutzt werden, durch das Senden speziell formulierter SIP-Pakete beliebigen Programmcode auf dem beherbergenden Rechnersystem auszuführen oder es in einen unbenutzbaren Zustand zu versetzen. Eine weitere Schwachstelle im Manager-Interface kann bei einer besonderen Konfiguration von einem Angreifer dazu ausgenutzt werden, den Server zum Absturz zu bringen. Asterrisk stellt neue Versionen der Sorftware bereit, die nicht gegen diese Schwachstellen verwundbar sind.
  • [Generic/Asterisk] Schwachstelle in Asterisk kann für DoS-Angriff genutzt werden (2006-07-18)
    Eine Schwachstelle in der quelloffenen VoIP-Telefonie-Software Asterisk der Versionen 1.2.9 und früher kann von einem Angreifer dazu ausgenutzt werden, das System in einen unbenutzbaren Zustand zu versetzen. Dazu ist es ausreichend, dem Server zahlreiche unauthentifizierte Rufanfragen (call requests) zu senden. Dabei kann die IP-Adresse des Absenders gefälscht werden, um die Herkunft des Angriffes zu verschleiern. Die bereits verfügbare Version Asterisk 1.2.10 stellt die Konfigurations-Option 'maxauthreq' bereit, mit der die Zahl der erlaubten Rufanfragen eines Benutzers beschränkt werden kann.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2016 RUS-CERT, Universität Stuttgart, http://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.