АТС з Відкритим Кодом і Платформи Телефонії

Зловмисник може віддалено завершити роботу Asterisk, пославши негативне або дуже велике значення поля FaxMaxDatagram в SDP при установки з’єднання протоколу передачі факсів T.38 поверх SIP. Збій відбувається так само, якщо поле FaxMaxDatagram відсутній в SDP.
Для вирішення даної проблеми рекомендується встановити вийшли нові версії Asterisk 1.6.0.22, Asterisk 1.6.1.14, Asterisk 1.6.2.2.
Більш докладна інформація про уразливості доступна за адресою:
http://asterisk.net.ru/en/2010/02/03/asterisk-security-advisory-ast-2010-001-t-38-remote-crash-vulnerability/

Related posts:

1. Попередження про уразливість в Asterisk – AST-2009-005: Віддалена вразливість у драйвері каналу SIP
2. Asterisk Security Advisories – AST-2011-012: Remote crash vulnerability in SIP channel driver
3. Розробники Asterisk випустили Asterisk 1.6.0.22, Asterisk 1.6.1.14, Asterisk 1.6.2.2

АТС з Відкритим Кодом і Платформи Телефонії

Зловмисник може віддалено завершити роботу Asterisk, пославши негативне або дуже велике значення поля FaxMaxDatagram в SDP при установки з’єднання протоколу передачі факсів T.38 поверх SIP. Збій відбувається так само, якщо поле FaxMaxDatagram відсутній в SDP.

Нові версії доступні для негайної завантаження за адресою http://downloads.asterisk.org/pub/telephony/asterisk/.
Повний список зміни можна знайти за адресами:

• http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.6.0.22
• http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.6.1.14
• http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.6.2.2

Related posts:

1. Розробники Asterisk випустили Asterisk 1.6.0.11-rc2, Asterisk 1.6.1.2, Asterisk 1.6.1.3-rc1 и Asterisk 1.6.2.0-beta4
2. Попередження про уразливість в Asterisk – AST-2010-001: Віддалена вразливість у T.38
3. Розробники Asterisk випустили Asterisk 1.2.34, Asterisk 1.4.26.1, Asterisk 1.6.0.13 і Asterisk 1.6.1.4

АТС з Відкритим Кодом і Платформи Телефонії

У деяких реалізаціях libc, в сімействі функцій scanf використовується необмежений розмір стека пам’яті, до якого неодноразово виділяється рядок буфера до переходу до цільової типу. У поєднанні з виділенням стека для нитки, що використовується в Asterisk, і що менше, ніж значення за замовчуванням, атакуючий може вичерпати пам’ять стека нитки мережевої підсистеми SIP стеку, шляхом подставлення надмірно довгих числових рядків в різних полях.

Зазначимо, при тому, що потенційна вразливість існує в Asterisk протягом дуже довгого часу, її використання можливе тільки у версіях Asterisk 1.6.1 і вище, оскільки лише у цих версії стало можливим використовувати SIP пакети які перевищують 1500 байт. (Кількість рядків, що було використовано інженером з безпеки, було приблизно 32000 байт довжиною.)

У доповненні, хоча це може призвести до збою в роботі Asterisk, виконання довільного коду не представляється можливим.

Рекомендується встановити одне з оновлень Asterisk, які перераховані нижче.

Попередження про уразливість в Asterisk – AST-2009-005

Офіційне повідомлення в списку розсилки asterisk-security:

• http://lists.digium.com/pipermail/asterisk-security/2009-August/000310.html

Офіційне повідомлення в списку розсилки asterisk-announce:

• http://lists.digium.com/pipermail/asterisk-announce/2009-August/000201.html

Офіційне повідомлення в списку розсилки asterisk-users:

• http://lists.digium.com/pipermail/asterisk-users/2009-August/236008.html

Офіційне повідомлення в списку розсилки asterisk-dev:

• http://lists.digium.com/pipermail/asterisk-dev/2009-August/039301.html

Related posts:

1. Asterisk Security Advisories – AST-2011-012: Remote crash vulnerability in SIP channel driver
2. Попередження про уразливість в Asterisk – AST-2010-001: Віддалена вразливість у T.38
3. Попередження про уразливість в Asterisk – AST-2009-004

АТС з Відкритим Кодом і Платформи Телефонії

Команда розробників Asterisk рада повідомити про вихід релізів релизов Asterisk 1.2.34, Asterisk 1.4.26.1, Asterisk 1.6.0.13 і Asterisk 1.6.1.4. Всі ці версії доступні для завантаження за адресою http://downloads.asterisk.org/pub/telephony/asterisk/

В релізі Asterisk 1.6.1.4 виправлена критична уразливість у SIP стекі, за допомогою якої віддалений користувач міг аварійно завершити роботу Asterisk. Хоча використання цієї вразливості не було продемонстровано в інших версіях Asterisk, деталі уразливості припускають можливість її використання в майбутньому. Тому ми вирішили випустити нові версії всіх поточних розроблювальних версій, у яких виправлена ця вразливість. Більш докладну інформацію про деталі цієї вразливості Ви можете отримати, ознайомившись з рекомендаціями AST-2009-005, які були опубліковані паралельно з цією новиною.

Крім того, користувачі Asterisk могли помітити, що ми пропустили номери версій Asterisk 1.6.0.11 і Asterisk 1.6.1.3. Це було зроблено навмисно, з метою уникнути плутанини з приводу того які версії, що містять. Під обома цими версіями були випущені кандидати в релізи, тому, щоб не вводити в оману при пошуку змін в релізах з однаковими номерами було прийнято рішення пропустити номери версій. Релізи в кандидати будуть перевипущено з додатковими коректування, під номерами 1.6.0.14-rc1 и 1.6.1.5-rc1 відповідно.

Повний список змін у цих релізах можна подивитися у файлі ChangeLog за адресами:
http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.2.34
http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.4.26.1
http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.6.0.13
http://downloads.asterisk.org/pub/telephony/asterisk/ChangeLog-1.6.1.4

Дякуємо Вам за Вашу незмінну підтримку Asterisk!

Офіційне повідомлення в списку розсилки asterisk-users:

• http://lists.digium.com/pipermail/asterisk-users/2009-August/236007.html

Офіційне повідомлення в списку розсилки asterisk-dev:

• http://lists.digium.com/pipermail/asterisk-dev/2009-August/039300.html

Офіційне повідомлення в списку розсилки asterisk-announce:

• http://lists.digium.com/pipermail/asterisk-announce/2009-August/000200.html

Офіційне повідомлення в списку розсилки asterisk-security:

• http://lists.digium.com/pipermail/asterisk-security/2009-August/000309.html

Related posts:

1. Розробники Asterisk випустили Asterisk 1.6.0.11-rc2, Asterisk 1.6.1.2, Asterisk 1.6.1.3-rc1 и Asterisk 1.6.2.0-beta4
2. Розробники Asterisk випустили Asterisk 1.4.27, Asterisk 1.6.0.18 і Asterisk 1.6.1.10
3. Розробники Asterisk випустили Asterisk 1.6.0.22, Asterisk 1.6.1.14, Asterisk 1.6.2.2

АТС з Відкритим Кодом і Платформи Телефонії

Попередження про уразливість в Asterisk – AST-2009-004

Офіційне повідомлення в списку розсилки asterisk-security:

• http://lists.digium.com/pipermail/asterisk-security/2009-August/000308.html

Офіційне повідомлення в списку розсилки asterisk-announce:

• http://lists.digium.com/pipermail/asterisk-announce/2009-August/000199.html

Офіційне повідомлення в списку розсилки asterisk-users:

• http://lists.digium.com/pipermail/asterisk-users/2009-August/235653.html

Офіційне повідомлення в списку розсилки asterisk-dev:

• http://lists.digium.com/pipermail/asterisk-dev/2009-August/039244.html

Related posts:

1. Попередження про уразливість в Asterisk – AST-2009-005: Віддалена вразливість у драйвері каналу SIP
2. Розробники Asterisk випустили Asterisk 1.6.0.11-rc2, Asterisk 1.6.1.2, Asterisk 1.6.1.3-rc1 и Asterisk 1.6.2.0-beta4
3. Попередження про уразливість в Asterisk – AST-2010-001: Віддалена вразливість у T.38

АТС з Відкритим Кодом і Платформи Телефонії

Команда розробників Asterisk рада повідомити про вихід другого кандидата в релізи Asterisk 1.6.0.11, про вихід релізу Asterisk 1.6.1.2, про вихід першого кандидата в релізи Asterisk 1.6.1.3, і про вихід четвертої бета версії Asterisk 1.6.2.0. Всі ці версії доступні для завантаження за адресою http://downloads.asterisk.org/pub/telephony/asterisk/.

У релізі Asterisk 1.6.1.2 виправлена критична уразливість в RTP стекі, за допомогою якої віддалений користувач міг аварійно завершити роботу Asterisk. Паралельно з цим анонсом, випущено відповідне попередження про небезпеку AST-2009-004. Для одержання більш докладної інформації, будь ласка, ознайомтеся з цією інформацією.

Випущені кандидати в релізи та бета-версія, в доповненні з іншими виправленнями, містять грунтовно перероблену реалізацію T.38 протоколу для відправки і прийому факсів. Якщо Ви відчували проблеми в роботі протоколу T.38 у версіях Asterisk 1.6, ми настійно рекомендуємо спробувати один з цих кандидатів у релізи, щоб визначити, чи були усунуті проблеми, пов’язані з роботою T.38.

Повний список змін у цих релізах можна подивитися у файлі ChangeLog за адресою:
http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.6.0.11-rc2
http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.6.1.2
http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.6.1.3-rc1
http://downloads.asterisk.org/pub/telephony/asterisk/releases/ChangeLog-1.6.2.0-beta4

Дякуємо вам за вашу незмінну підтримку Asterisk!

Офіційне повідомлення в списку розсилки asterisk-users:

• http://lists.digium.com/pipermail/asterisk-users/2009-August/235651.html

Офіційне повідомлення в списку розсилки asterisk-dev:

• http://lists.digium.com/pipermail/asterisk-dev/2009-August/039243.html

Офіційне повідомлення в списку розсилки asterisk-announce:

• http://lists.digium.com/pipermail/asterisk-announce/2009-August/000198.html

Офіційне повідомлення в списку розсилки asterisk-security:

• http://lists.digium.com/pipermail/asterisk-security/2009-August/000307.html

Related posts:

1. Розробники Asterisk випустили Asterisk 1.2.34, Asterisk 1.4.26.1, Asterisk 1.6.0.13 і Asterisk 1.6.1.4
2. Розробники Asterisk випустили Asterisk 1.6.0.14-rc1 і Asterisk 1.6.1.5-rc1
3. Розробники Asterisk випустили Asterisk 1.4.27, Asterisk 1.6.0.18 і Asterisk 1.6.1.10