S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 24 juillet 2008 No CERTA-2008-AVI-373

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans les produits Asterisk

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service à distance.

2 Systèmes affectés

• Toutes les versions d'Asterisk Open Source 1.0.x ;
• toutes les versions antérieures à Asterisk Open Source 1.2.30 ;
• toutes les versions antérieures à Asterisk Open Source 1.4.21.2 ;
• AsteriskNOW Pre-release ;
• Asterisk Appliance Developer Kit 0.x.x ;
• toutes les versions antérieures à s800i (Astérisk Appliance) 1.2.0.1 ;
• toutes les versions d'Asterisk Business Edition A.x.x ;
• toutes les versions antérieures à Asterisk Business Edition B.2.5.4 ;
• toutes les versions antérieures à Asterisk Business Edition C.1.10.3.

3 Résumé

Plusieurs vulnérabilités permettant un déni de service à distance ont été découvertes dans les produits Asterisk.

4 Description

Deux vulnérabiltés permettant un déni de service à distance des produits Asterisk ont été découvertes :

• une erreur dans le traitement des requêtes POKE d'IAX2 ;
• une erreur dans le protocole de téléchargement du code constructeur (firmware).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Asterisk AST-2008-010 du 22 juillet 2008 :

  http://downloads.digium.com/pub/security/AST-2008-010.html
  

• Bulletin de sécurité Asterisk AST-2008-011 du 22 juillet 2008 :

  http://downloads.digium.com/pub/security/AST-2008-011.html
  

• Référence CVE CVE-2008-3263 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3263
  

• Référence CVE CVE-2008-3264 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3264
  

Gestion détaillée du document

24 juillet 2008

version initiale.