S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

Paris, le 24 décembre 2007
N^o CERTA-2007-AVI-562

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Vulnérabilité dans Asterisk

Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2007-AVI-562

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2007-AVI-562
Titre	Vulnérabilité dans Asterisk
Date de la première version	24 décembre 2007
Date de la dernière version	-
Source(s)	Bulletin de sécurité Asterisk AST-2007-027 du 18 décembre 2007
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

Asterisk Open Source versions 1.2.x antérieures à 1.2.26 ;
Asterisk Open Source versions 1.4.x antérieures à 1.4.16 ;
Asterisk Business Edition versions B.x.x antérieures à B.2.3.6 ;
Asterisk Business Edition versions C.x.x antérieures à C.1.0-beta8.

3 Résumé

Une vulnérabilité dans Asterisk permet de contourner le mécanisme d'authentification.

4 Description

Une vulnérabilité a été découverte dans Asterisk. Lorsque l'enregistrement des utilisateurs s'appuie sur la base de données et que l'authentification se base sur les machines, Asterisk ne vérifie pas l'adresse IP source si le nom d'utilisateur est valide et s'il n'a pas de mot de passe. L'exploitation de cette vulnérabilité permet de contourner le mécanisme d'authentification.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Bulletin de sécurité Asterisk AST-2007-027 du 18 décembre 2007 :
```
http://downloads.digium.com/pub/security/AST-2007-027.html
```

Référence CVE CVE-2007-6430 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6430

Gestion détaillée du document

24 décembre 2007: version initiale.

CERTA
2012-01-04