Vulnérabilités dans Asterisk

Gestion du document

Référence	CERTA-2013-AVI-003
Titre	Vulnérabilités dans Asterisk
Date de la première version	03 janvier 2013
Date de la dernière version	03 janvier 2013
Source(s)	Bulletin de sécurité Asterisk AST-2012-014 du 02 janvier 2013 Bulletin de sécurité Asterisk AST-2012-015 du 02 janvier 2013
Pièce(s) jointe(s)	Aucune(s)

Tableau 1: Gestion du document

Risque

Exécution de code arbitraire à distance ;
atteinte à l'intégrité des données.

Systèmes affectés

Versions antérieures à Asterisk Open Source 1.8.19.1 (pour la branche 1.8)
versions antérieures à Asterisk Open Source 10.11.1 (pour la branche 10)
versions antérieures à Asterisk Open Source 11.1.1 (pour la branche 11)
versions antérieures à Certified Asterisk 1.8.11-cert10
versions antérieures à Asterisk Digiumphones 10.11.1-digiumphones

Résumé

Deux vulnérabilités ont été corrigée dans Asterisk. La première concerne un débordement de mémoire dans la pile TCP et la seconde peut mener un utilisateur non authentifié à exécuter des actions privilégiées.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité AST-2012-014 du 02 janvier 2013 :
```
http://seclists.org/fulldisclosure/2013/Jan/10
```
Bulletin de sécurité AST-2012-015 du 02 janvier 2013 :
```
http://seclists.org/fulldisclosure/2013/Jan/11
```

Référence CVE CVE-2012-5976 :

https://www.cve.org/CVERecord?id=CVE-2012-5976

Référence CVE CVE-2012-5977 :

https://www.cve.org/CVERecord?id=CVE-2012-5977

Avis du CERT-FR

Objet: Vulnérabilités dans Asterisk