DFN-CERT-2014-0296 Digium Asterisk: Mehrere Schwachstelle erlauben Denial-of-Service-Angriffe [Linux]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Digium Asterisk <= 1.8.26.0 Digium Asterisk <= 11.8.0 Digium Asterisk <= 12.1.0 Digium Certified Asterisk < 1.8.15 Digium Certified Asterisk < 11.6 Betroffene Plattformen: GNU/Linux GNU/Linux Die Asterisk-Software erlaubt durch verschiedene Schwachstellen entfernten, nicht authentifizierten Angreifern, Denial-of-Service-Zustände auszulösen. Hierzu reicht es aus, HTTP-Anfragen mit einer großen Anzahl von Cookie-Headern, Invite-Anfragen, Challenge-Login-Anfragen oder Subscribe-Anfragen zu senden. Patch: Asterisk Security Advisory AST-2014-003 http://downloads.asterisk.org/pub/security/AST-2014-003.pdf

Patch:

Asterisk Security Advisory AST-2014-004

http://downloads.asterisk.org/pub/security/AST-2014-004.pdf

Patch:

Asterisk Security Advisory AST-2014-001

http://downloads.asterisk.org/pub/security/AST-2014-001.pdf

Patch:

Asterisk Security Advisory AST-2014-002

http://downloads.asterisk.org/pub/security/AST-2014-002.pdf

CVE-2014-2289: Denial-of-Service durch die Behandlung von Subscribe-Anfragen

Innerhalb der Asterisk-Software besteht eine Schwachstelle bei der
Behandlung von Subscribe-Anfragen. Ein entfernter, nicht authentifizierter
Angreifer kann durch eine Subscribe-Anfrage mit einem leeren “accept header”
das Programm dazu bringen, auf einen ungültigen Zeiger zuzugreifen und
dadurch abzustürzen (Denial-of-Service).

CVE-2014-2288: Denial-of-Service Schwachstelle in PJSIP-Kanal-Treiber

Innerhalb der Asterisk-Software besteht eine Schwachstelle im
PJSIP-Kanal-Treiber bei aktivierter “qualify frequency” Konfigurationsoption
auf einem AOR. Der Client prüft nicht ab, ob es zur empfangenen Challenge
auch einen Endpunkt gibt. Ein entfernter, nicht authentifizierter Angreifer
kann durch gezielte Challenge Login-Anfragen, zu denen kein Endpunkt gehört
und für die der Client Ressourcen belegt, einen Denial-of-Service-Zustand
beim Client auslösen.

CVE-2014-2287: Denial-of-Service durch Anfragen vom Typ “SIP Invite”

In der Asterisk-Software besteht eine Schwachstelle bei der Behandlung von
“SIP Invite”-Anfragen. Um die Schwachstelle ausnutzen zu können, muss die
Option “chan_sip” mit “session-timers” auf “originate” oder “accept”
konfiguriert sein. Die Invite-Anfrage muss ein “Session-Expires” oder einen
“Min-SE header” enthalten.

Ein entfernter Angreifer kann, eine gültige Session sowie Durchwahl
vorausgesetzt, entsprechende Invite-Anfragen senden, auf die das System mit
Code 400, 420 oder 422 antwortet. Bei jeder Antwort werden ein neuer Kanal
sowie diverse Datei-Descriptoren angelegt und bleiben bis zum Neustart des
Programms belegt. Durch diesen Umstand kann es zum Absturz des Programms
(Denial-of-Service) kommen.

CVE-2014-2286: Denial-of-Service bei der Behandlung von HTTP-Anfragen

In der Asterisk-Software besteht eine Schwachstelle bei der Behandlung von
HTTP-Anfragen. Ein entfernter, nicht authentifizierter Angreifer kann durch
eine HTTP-Anfrage, mit einer großen Anzahl von Cookie Headern, einen
Pufferüberlauf auslösen und das Programm somit zum Absturz bringen
(Denial-of-Service).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0296/

Schwachstelle CVE-2014-2286 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2286

Schwachstelle CVE-2014-2287 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2287

Schwachstelle CVE-2014-2289 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2289

Asterisk Security Advisory AST-2014-003:
http://downloads.asterisk.org/pub/security/AST-2014-003.pdf

Schwachstelle CVE-2014-2288 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2288

Asterisk Security Advisory AST-2014-004:
http://downloads.asterisk.org/pub/security/AST-2014-004.pdf

Asterisk Security Advisory AST-2014-001:
http://downloads.asterisk.org/pub/security/AST-2014-001.pdf

Asterisk Security Advisory AST-2014-002:
http://downloads.asterisk.org/pub/security/AST-2014-002.pdf