ASTERISK. Boletines de seguridad

Asterisk ha publicado cuatro boletines de seguridad (del AST-2014-001 al AST-2014-004) que solucionan otras tantas vulnerabilidades que podrían permitir a atacantes remotos provocar denegaciones de servicio.

 Asterisk es una implementación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.

Detalle de los boletines de seguridad

•  El primero de los problemas (AST-2014-001) reside en un desbordamiento de búfer en el tratamiento de peticiones http con un gran número de cabeceras Cookie (CVE-2014-2286). En el boletín AST-2014-002 se trata una vulnerabilidad (con CVE-2014-2287) reside en el tratamiento de peticiones SIP INVITE manipuladas para consumir todos los descriptores de archivos. Este problema solo afecta a sistemas con chan_sip configurados con "session-timers" a "originate" o "accept".
•  Estos problemas afectan a Asterisk Open Source 1.8.x en adelante y las ramas 11.x y 12.x; así como a Certified Asterisk 1.8.x y 11.x. Se han publicado las versiones Asterisk Open Source 1.8.26.1, 11.8.1 y 12.1.1; Certified Asterisk 1.8.15-cert5 y 11.6-cert2 que solucionan dichos problemas.
•  Por otra parte, dos vulnerabilidades en el controlador del canal PJSIP, la primera (con CVE-2014-2288) tratada en el boletín AST-2014-003 afecta a toda la rama 12.x y queda corregida en la versión 12.1.1. Mientras que el problema tratado en el boletín AST-2014-004, con CVE-2014-2289, ya quedó corregido en rediseño del módulo res_pjsip_pubsub en Asterisk 12.1.0.

Más información:

• Stack Overflow in HTTP Processing of Cookie Headers. http://downloads.asterisk.org/pub/security/AST-2014-001.html
• Denial of Service Through File Descriptor Exhaustion with chan_sip Session-Timers http://downloads.asterisk.org/pub/security/AST-2014-002.html
• Remote Crash Vulnerability in PJSIP channel driver http://downloads.asterisk.org/pub/security/AST-2014-003.html
• Remote Crash Vulnerability in PJSIP Channel Driver Subscription Handling http://downloads.asterisk.org/pub/security/AST-2014-004.html

Fuente: Hispasec