Asterisk IAX2固件升级报文放大远程拒绝服务漏洞---------- 红客中国安全网-红客网络改变世界,创造网络安全新纪元

HKC安全网软件公告

红客中国自主开发的红客网警系列软件将在10月隆重上市，敬请关注。（红客中国反入侵精灵将暂时停止下载）



	漏洞公告
	病毒公告
	安全聚焦
	技术文章

首页 > 安全资讯 > 漏洞公告

Asterisk IAX2固件升级报文放大远程拒绝服务漏洞

发布日期：2008-07-29 14:39:47 共阅19次

发布日期：2008-07-22
更新日期：2008-07-24

受影响系统：
Asterisk Asterisk 1.4.x
Asterisk Asterisk 1.2.x
Asterisk Asterisk 1.0.x
Asterisk Business Edition C.x.x
Asterisk Business Edition B.x.x
Asterisk Business Edition A.x.x
Asterisk AsteriskNOW
Asterisk Appliance Developer Kit 0.x.x
Asterisk s800i 1.0.x
不受影响系统：
Asterisk Asterisk 1.4.21.2
Asterisk Asterisk 1.2.30
Asterisk Business Edition C.1.10.3
Asterisk Business Edition B.2.5.4
Asterisk s800i 1.2.0.1
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 30350
CVE(CAN) ID: CVE-2008-3264

Asterisk是开放源码的软件PBX，支持各种VoIP协议和设备。

远程用户可以向Asterisk服务器请求发送部分的固件镜像，但固件下载协议没有初始化握手，可能伪造源地址。此外，对固件文件的IAX2 FWDOWNL请求可能仅为40字节，但生成1040字节的响应。如果向多个不同的Asterisk服务器提交了请求的话，就可以用大量固件报文对用户站点执行flood攻击。

<*来源：Tilghman Lesher （tlesher@digium.com）

  链接：http://secunia.com/advisories/31178/
        http://marc.info/?l=asterisk-users&m=121676882423762&w=2
*>

建议：
--------------------------------------------------------------------------------
临时解决方法：

* 从目录删除固件镜像并重启Asterisk服务器。

厂商补丁：

Asterisk
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.asterisk.org/