Avis du CERT-FR
Objet : Vulnérabilité dans Asterisk
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
- Asterisk Business Edition versions B.x.x antérieures à B.2.3.6 ;
- Asterisk Business Edition versions C.x.x antérieures à C.1.0-beta8.
- Asterisk Open Source versions 1.2.x antérieures à 1.2.26 ;
- Asterisk Open Source versions 1.4.x antérieures à 1.4.16 ;
Résumé
Une vulnérabilité dans Asterisk permet de contourner le mécanisme d'authentification.
Description
Une vulnérabilité a été découverte dans Asterisk. Lorsque l'enregistrement des utilisateurs s'appuie sur la base de données et que l'authentification se base sur les machines, Asterisk ne vérifie pas l'adresse IP source si le nom d'utilisateur est valide et s'il n'a pas de mot de passe. L'exploitation de cette vulnérabilité permet de contourner le mécanisme d'authentification.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Asterisk AST-2007-027 du 18 décembre 2007 :
http://downloads.digium.com/pub/security/AST-2007-027.html -
Référence CVE CVE-2007-6430
https://www.cve.org/CVERecord?id=CVE-2007-6430
Gestion détaillée du document
| Date | Description |
|---|---|
| 24 décembre 2007 | version initiale. |