S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 décembre 2011 No CERTA-2011-AVI-682

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Asterisk

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• Asterisk Open Source 1.6.2.x toutes versions ;
• Asterisk Open Source 1.8.x toutes versions.

AST-2011-014 concerne :

• Asterisk Open Source toutes versions.

3 Résumé

4 Description

La première, AST-2011-013, permet à une personne malintentionée d'énumérer les noms d'utilisateur. Cette vulnérabilité est causée par une mauvaise configuration du NAT.

La seconde, AST-2011-014, permet à un utilisateur malintentionné de causer un déni de service à distance, lorsque l'option automon est activée dans le fichier features.conf, grâce à l'envoi d'une suite de paquets SIP.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Référence CVE CVE-2011-4597 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4597
  

• Référence CVE CVE-2011-4598 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4598
  

• Bulletin de sécurité Asterisk AST-2011-013 :

  http://downloads.asterisk.org/pub/security/AST-2011-013.html
  

• Bulletin de sécurité Asterisk AST-2011-013 du 03 novembre 2011 :

  http://downloads.asterisk.org/pub/security/AST-2011-013.html
  

Gestion détaillée du document

13 décembre 2011

version initiale.