The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

04.04.2017 23:57  Обновление Asterisk 13.14.1 и 14.3.1 с устранением удалённой уязвимости

В корректирующих выпусках коммуникационной платформы Asterisk 13.14.1 и 14.3.1 устранена уязвимость, позволяющая потенциально организовать выполнение кода на сервере. Уязвимость вызвана отсутствием проверки длины при записи в CDR (Call Detail Record) поля с параметрами пользователя, что позволяет передать слишком длинную строку, хвост которой будет записан за пределами выделенного буфера.

Проблеме подвержены системы, использующие CDR в сочетании с канальным драйвером chan_sip с включенной опцией 'useclientcode' (атака может быть совершена через заголовок 'X-ClientCode' в сообщении SIP INFO). Также атака может быть совершена при вызове CDR dialplan из AMI или при использовании AMI Monitor через создание длинного файлового пути.

  1. Главная ссылка к новости (http://www.mail-archive.com/as...)
  2. OpenNews: Релиз коммуникационной платформы Asterisk 14
  3. OpenNews: Критические уязвимости в PostgreSQL, BIND, ядре Linux и Asterisk
  4. OpenNews: Вышел AsteriskNOW 3.0, Linux-дистрибутив для развёртывания систем телефонии
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: asterisk
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение RSS
 
  • 1, edo, 22:04, 05/04/2017 [ответить] [смотреть все]
  • +/
    > уязвимость, позволяющая потенциально организовать выполнение кода на сервере
    > с включенной опцией 'useclientcode'

    прямо-таки самодокументирующееся название у опции ("как корабль назовёшь, так он и поплывёт")

     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor