发布日期：2009-09-03
更新日期：2009-09-04

受影响系统：

Asterisk Asterisk 1.6.x
Asterisk Asterisk 1.4.x
Asterisk Asterisk 1.2.x
Asterisk Business Edition C.x.x
Asterisk Business Edition B.x.x
Asterisk s800i 1.3.x

不受影响系统：

Asterisk Asterisk 1.6.1.6
Asterisk Asterisk 1.6.0.15
Asterisk Asterisk 1.4.26.2
Asterisk Asterisk 1.2.35
Asterisk Business Edition C.3.1.1
Asterisk Business Edition C.2.4.3  
Asterisk Business Edition B.2.5.10
Asterisk s800i 1.3.0.3

描述：

---

BUGTRAQ  ID: 36275
CVE ID: CVE-2009-2346

Asterisk是开放源码的软件PBX，支持各种VoIP协议和设备。

Asterisk的IAX2协议使用呼叫号码将消息关联到呼叫，但协议将消息中的呼叫号码字段大小定义为固定的15位，因此如果使用了所有的呼叫号码，就无法处理更多的会话。

会在开始IAX2消息交换时创建呼叫号码，因此攻击者可以发送大量的消息耗尽呼叫号码空间。还可以使用伪造的源IP地址来进行攻击，因为在分配呼叫号码之前不需要握手。

<*来源：Russell Bryant （russell@digium.com）
  
  链接：http://marc.info/?l=full-disclosure&m=125201815709591&w=2
        http://security.gentoo.org/glsa/201006-20.xml
*>

建议：

---

临时解决方法：

* 结合使用呼叫令牌验证和呼叫号码分配限制。

厂商补丁：

Gentoo
------
Gentoo已经为此发布了一个安全公告（GLSA 201006-20）以及相应补丁:
GLSA 201006-20：Asterisk: Multiple vulnerabilities
链接：http://security.gentoo.org/glsa/201006-20.xml

所有Asterisk用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=3Dnet-misc/asterisk-1.2.37"

Asterisk
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://downloads.asterisk.org/pub/security/AST-2009-006-1.2.diff.txt
http://downloads.asterisk.org/pub/security/AST-2009-006-1.4.diff.txt
http://downloads.asterisk.org/pub/security/AST-2009-006-1.6.0.diff.txt
http://downloads.asterisk.org/pub/security/AST-2009-006-1.6.1.diff.txt

浏览次数：2301
严重程度：0（网友投票）