UPDATE: DFN-CERT-2014-0305 Digium Asterisk, Digium Certified Asterisk: Mehrere Schwachstellen ermöglichen einen Denial-of-Service-Angriff [Linux][Fedora]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (17.03.2014):
Der Hersteller hat ein Sicherheitsupdate für Fedora Epel 6 veröffentlicht.

Version 1 (12.03.2014):
Neues Advisory

Betroffene Software:

Digium Asterisk <= 12.1.0 Digium Certified Asterisk <= 11.6 Betroffene Plattformen: Red Hat Fedora 19 Red Hat Fedora 20 Extra Packages for Red Hat Enterprise Linux 6 Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um einen Denial-of-Service-Angriff durchzuführen. Patch: Fedora Update FEDORA-2014-3762 https://admin.fedoraproject.org/updates/FEDORA-2014-3762/asterisk-11.8.1-1.fc20

Patch:

Fedora Update FEDORA-2014-3779

https://admin.fedoraproject.org/updates/FEDORA-2014-3779/asterisk-11.8.1-1.fc19

Patch:

Fedora Update FEDORA-EPEL-2014-0845

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-0845/asterisk-1.8.26.1-1.el6

CVE-2014-2287: Denial-of-Service durch Anfragen vom Typ “SIP Invite”

In der Asterisk-Software besteht eine Schwachstelle bei der Behandlung von
“SIP Invite”-Anfragen. Um die Schwachstelle ausnutzen zu können, muss die
Option “chan_sip” mit “session-timers” auf “originate” oder “accept”
konfiguriert sein. Die Invite-Anfrage muss ein “Session-Expires” oder einen
“Min-SE header” enthalten.

Ein entfernter Angreifer kann, eine gültige Session sowie Durchwahl
vorausgesetzt, entsprechende Invite-Anfragen senden, auf die das System mit
Code 400, 420 oder 422 antwortet. Bei jeder Antwort werden ein neuer Kanal
sowie diverse Datei-Descriptoren angelegt und bleiben bis zum Neustart des
Programms belegt. Durch diesen Umstand kann es zum Absturz des Programms
(Denial-of-Service) kommen.

CVE-2014-2286: Denial-of-Service bei der Behandlung von HTTP-Anfragen

In der Asterisk-Software besteht eine Schwachstelle bei der Behandlung von
HTTP-Anfragen. Ein entfernter, nicht authentifizierter Angreifer kann durch
eine HTTP-Anfrage, mit einer großen Anzahl von Cookie Headern, einen
Pufferüberlauf auslösen und das Programm somit zum Absturz bringen
(Denial-of-Service).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0305/

Schwachstelle CVE-2014-2286 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2286

Schwachstelle CVE-2014-2287 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2287

Fedora Update FEDORA-2014-3762:
https://admin.fedoraproject.org/updates/FEDORA-2014-3762/asterisk-11.8.1-1.fc20

Fedora Update FEDORA-2014-3779:
https://admin.fedoraproject.org/updates/FEDORA-2014-3779/asterisk-11.8.1-1.fc19

Fedora Update FEDORA-EPEL-2014-0845:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-0845/asterisk-1.8.26.1-1.el6