JVNDB-2013-004009

複数の Asterisk 製品の SIP チャネルドライバにおけるサービス運用妨害 (DoS) の脆弱性

Asterisk Open Source、Certified Asterisk、および Asterisk Digiumphones の SIP チャネルドライバ (channels/chan_sip.c) には、サービス運用妨害 (NULL ポインタデリファレンス、セグメンテーション違反、およびデーモンクラッシュ) 状態にされる脆弱性が存在します。

Digium

• Asterisk Open Source 1.8.x から 1.8.23.1
• Asterisk Open Source 10.12.3 未満の 10.x
• Asterisk Open Source 11.5.1 未満の 11.x
• Asterisk with Digiumphones 10.12.3-digiumphones 未満の 10.x-digiumphones
• Certified Asterisk 1.8.15-cert3 未満の 1.8.15
• Certified Asterisk 11.2-cert2 未満の 11.2

第三者により、SIP リクエスト内の接続情報の前にメディア記述を定義する無効な SDP を介して、サービス運用妨害 (NULL ポインタデリファレンス、セグメンテーション違反、およびデーモンクラッシュ) 状態にされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Digium

• Asterisk Issues : ASTERISK-22007
• Asterisk Project Security Advisory : AST-2013-005
• Bugtraq : AST-2013-005: Remote Crash when Invalid SDP is sent in SIP Request

Mandriva, Inc.

• Security Advisories : MDVSA-2013:223

1. 不適切な入力確認(CWE-20) [NVD評価]

1. CVE-2013-5642

1. National Vulnerability Database (NVD) : CVE-2013-5642

• [2013年09月11日]
    掲載