S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 11 décembre 2008
N° CERTA-2008-AVI-599
Affaire suivie par: CERT-FR
le 11 décembre 2008

Avis du CERT-FR

Objet: Vulnérabilité dans Asterisk

Gestion du document

Référence CERTA-2008-AVI-599
Titre Vulnérabilité dans Asterisk
Date de la première version 11 décembre 2008
Date de la dernière version 11 décembre 2008
Source(s) Avis de sécurité Digium AST-2008-012 du 09 décembre 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service à distance ;
  • contournement de la politique de sécurité.

Systèmes affectés

  • Asterisk Open Source, pour les versions de la branche 1.2.x antérieures à 1.2.30.4 ;
  • Asterisk Business Edition, pour les versions de la branche B.x.x antérieures à B.2.5.6.

Résumé

Une vulnérabilité a été identifiée dans l'application de téléphonie Asterisk. Celle-ci peut être exploitée par une personne distante afin de perturber le fonctionnement du serveur.

Description

Une vulnérabilité a été identifiée dans l'application de téléphonie Asterisk. Elle concerne en particulier le protocole IAX2 (Inter Asterisk eXchange) et la gestion des utilisateurs en temps réel.

Cette vulnérabilité peut être exploitée par une personne distante, même non authentifiée auprès du serveur, afin de perturber le fonctionnement du service de téléphonie.

Solution

Se référer au bulletin de sécurité de l'éditeur Digium pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 11 décembre 2008
    version initiale.