Kritische Lücken in Asterisk geschlossen
Aktualisierte Versionen der Telefonanlagensoftware Asterisk beheben kritische Fehler in der Software, durch die Angreifer möglicherweise Code einschleusen können.
In der Telefonanlagensoftware Asterisk könnten Angreifer Schwachstellen ausnutzen, um fremden Programmcode einzuschleusen und auszuführen. Die Entwickler haben aktualisierte Softwareversionen veröffentlicht, die diese und weitere, weniger kritische Lücken schließen.
Beim Verarbeiten von Paketen im Realtime-Transport-Protokoll (RTP) kann ein Pufferüberlauf auftreten, wenn die Payload-Nummer größer als 256 ist; auch das Senden von mehr als 32 Payloads hat so einen Effekt. Dadurch können Angreifer Speicherbereiche hinter den Puffergrenzen mit eigenen Werten überschreiben. Die Fehler betreffen Asterisk Open Source in Versionen vor 1.4.18.1, 1.4.19-rc3 und 1.6.0-beta6, Asterisk Business Edition vor C.1.6.1, AsteriskNOW vor 1.0.2, die Asterisk Appliance s800i vor 1.1.0.2 sowie das Asterisk Appliance Developer Kit vor der SVN-Version 1.4 Revision 109386.
Durch präparierte Werte für das From:-Feld in SIP-Headern können Angreifer ohne Authentifizierung Anrufe tätigen. Die Anrufe landen dann in dem Kontext, der in dem Abschnitt general der Konfigurationsdatei sip.conf angegeben ist. Dieser Fehler betrifft alle Asterisk-Versionen.
Zudem beheben die neuen Versionen noch zwei weniger kritische Fehler in der Software. Log-Nachrichten, die über die ast_verbose-API von Asterisk Open Source vor Fassung 1.6.0-beta6 geschickt wurden, interpretierte die Software nicht als Zeichenketten, sondern als sogenannte Formatstrings. Dies konnte zum Absturz führen. Außerdem war die Session-ID des HTTP-Managers leicht zu erraten.
Asterisk-Administratoren sollten die aktualisierten Softwareversionen rasch herunterladen und installieren.
Siehe dazu auch:
- Two buffer overflows in RTP Codec Payload Handling, Sicherheitsmeldung der Asterisk-Entwickler
- Unauthenticated calls allowed from SIP channel driver, Fehlermeldung der Asterisk-Entwickler
- Format String Vulnerability in Logger and Manager, Fehlerbericht der Asterisk-Entwickler
- HTTP Manager ID is predictable, Sicherheitswarnung der Asterisk-Entwickler
(dmk)
