S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 11 décembre 2008 No CERTA-2008-AVI-599

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Asterisk

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• contournement de la politique de sécurité.

2 Systèmes affectés

• Asterisk Open Source, pour les versions de la branche 1.2.x antérieures à 1.2.30.4 ;
• Asterisk Business Edition, pour les versions de la branche B.x.x antérieures à B.2.5.6.

3 Résumé

Une vulnérabilité a été identifiée dans l'application de téléphonie Asterisk. Celle-ci peut être exploitée par une personne distante afin de perturber le fonctionnement du serveur.

4 Description

Une vulnérabilité a été identifiée dans l'application de téléphonie Asterisk. Elle concerne en particulier le protocole IAX2 (Inter Asterisk eXchange) et la gestion des utilisateurs en temps réel.

Cette vulnérabilité peut être exploitée par une personne distante, même non authentifiée auprès du serveur, afin de perturber le fonctionnement du service de téléphonie.

5 Solution

Se référer au bulletin de sécurité de l'éditeur Digium pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Digium AST-2008-012 du 09 décembre 2008 :

  http://downloads.digium.com/pub/security/AST-2008-012.html
  

Gestion détaillée du document

11 décembre 2008

version initiale.