发布日期：2009-01-08
更新日期：2009-01-09

受影响系统：

Asterisk Asterisk 1.6.x
Asterisk Asterisk 1.4.x
Asterisk Asterisk 1.2.x
Asterisk Business Edition C.2.x.x
Asterisk Business Edition C.1.x.x
Asterisk Business Edition B.x.x
Asterisk s800i 1.2.x

不受影响系统：

Asterisk Asterisk 1.6.0.3-rc2  
Asterisk Asterisk 1.4.23-rc4
Asterisk Asterisk 1.2.31
Asterisk Business Edition C.2.1.2.1
Asterisk Business Edition C.1.10.4
Asterisk Business Edition B.2.5.7
Asterisk s800i 1.3.0

描述：

---

BUGTRAQ  ID: 33174
CVE(CAN) ID: CVE-2009-0041

Asterisk是开放源码的软件PBX，支持各种VoIP协议和设备。

Asterisk IAX2在认证期间对用户不存在的情况和错误口令的情况提供了不同的响应，这允许攻击者通过扫描主机确定特定的用户。

<*来源：Tilghman Lesher （tlesher@digium.com）
  
  链接：http://secunia.com/secunia_research/2008-13/
        http://secunia.com/advisories/33453/
*>

建议：

---

厂商补丁：

Asterisk
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://downloads.digium.com/pub/security/AST-2009-001-1.2.diff
http://downloads.digium.com/pub/security/AST-2009-001-1.4.diff  
http://downloads.digium.com/pub/security/AST-2009-001-1.6.0.diff

浏览次数：2498
严重程度：0（网友投票）