BDU:2016-00893 (CVE-2016-2316) — уязвимость системы управления IP-телефонией Asterisk, системы управления IP-телефонией Certified Asterisk
По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.
Высокий — 7.1/10 Устранена
Уязвимость функции chan_sip систем управления IP-телефонией Certified Asterisk и Asterisk связана с установкой значения timert1 sip.conf, превышающего 1245. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании (исчерпание файловых дескрипторов) путём воздействия, связанного с большим значением времени ожидания передачи
Кого касается и что делать
- Уязвимое ПО: Asterisk (Digium) — версии от 11.0 до 11.21.1, от 1.8.0 до 1.8.9.3, от 12.0 до 13.7.1; Certified Asterisk (Digium) — версии 1.8.28, 11.6, 13.1
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2016-00893 · CVE-2016-2316 |
| Уровень опасности | Высокий (базовая оценка CVSS 2.0 — 7.1) |
| Вектор CVSS 2.0 | AV:N/ атака по сети, средняя сложность, без аутентификации, полное влияние на доступность |
| Наименование ФСТЭК | Уязвимость системы управления IP-телефонией Asterisk, системы управления IP-телефонией Certified Asterisk, позволяющая нарушителю вызвать отказ в обслуживании |
| Даты | Опубликована: 14.04.2016 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 22.02.2016 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем) |
| Тип ошибки | CWE-16 — конфигурация |
| Класс уязвимости | Уязвимость кода |
Уязвимое ПО
- Asterisk (Digium) — версии от 11.0 до 11.21.1, от 1.8.0 до 1.8.9.3, от 12.0 до 13.7.1 · сетевое программное средство
- Certified Asterisk (Digium) — версии 1.8.28, 11.6, 13.1 · сетевое программное средство
ОС и платформы
- Linux (Сообщество свободного программного обеспечения) — 64-bit
- Solaris (Oracle) — 64-bit
- FreeBSD (FreeBSD Project) — 64-bit
- OpenBSD (The OpenBSD Project) — 64-bit
Возможные меры по устранению уязвимости
Обновление. Обновление программного средства Asterisk до версии 11.21.1, 13.7.1 или новее, обновление программного средства Certified Asterisk до версии 11.6-cert12, 13.1-cert3
