Asterisk ha publicado dos boletines de
seguridad que solucionan otras tantas vulnerabilidades que podrían permitir a
atacantes remotos provocar condiciones de denegación de servicio.
Asterisk es una implementación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.
Detalle e Impacto de
las vulnerabilidades
- El primer problema (AST-2016-004) reside en el tratamiento de peticiones REGISTER entrantes si la cabecera Contact contiene una URI muy larga, lo que podría provocar que Asterisk deje de funcionar. Este problema afecta a Asterisk Open Source 13.x y a Certified Asterisk 13.1.
- Por otra parte, en el boletín AST-2016-005, se trata un problema debido a que PJProject limita el número de conexiones TCP (por defecto aproximadamente a 60), además no cierra adecuadamente las conexiones TCP que acepta. Debido a esto un atacante remoto puede abrir múltiples conexiones TCP sin enviar datos para consumir todas las conexiones disponibles.
Recomendación
- Se han publicado las versiones Asterisk Open Source 13.8.1 y Certified Asterisk 13.1-cert5 que solucionan estos problemas.
Más información:
- Asterisk Project Security Advisory - AST-2016-004. Long Contact URIs in REGISTER requests can crash Asterisk. http://downloads.asterisk.org/pub/security/AST-2016-004.html
- Asterisk Project Security Advisory - AST-2016-005. TCP denial of service in PJProject. http://downloads.asterisk.org/pub/security/AST-2016-005.html
