Asteriskの認証処理に脆弱性、細工した通信でサービスが停止するおそれ
Summary
Asteriskの管理インターフェース（AMI）でHTTP経由のダイジェスト認証を使うと、認証されていない攻撃者がNULLポインタ参照を引き起こし、Asteriskを停止させるおそれがあります。影響を受けるのはAsterisk 20.20.1、21.12.3、22.10.1、23.4.1より前の版と、Certified Asterisk 20.7-cert11、22.8-cert3より前の版です。修正版は、Asterisk 20.20.1、21.12.3、22.10.1、23.4.1とCertified Asterisk 20.7-cert11、22.8-cert3で提供されています。HTTPサーバーとAMIのHTTP接続は既定で無効で、既定では127.0.0.1にしか接続できないため、影響範囲は限られますが、利用しているなら修正版への更新を急いでください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Asteriskの管理インターフェース（AMI）でHTTP経由のダイジェスト認証を使うと、認証されていない攻撃者がNULLポインタ参照を引き起こし、Asteriskを停止させるおそれがあります。影響を受けるのはAsterisk 20.20.1、21.12.3、22.10.1、23.4.1より前の版と、Certified Asterisk 20.7-cert11、22.8-cert3より前の版です。修正版は、Asterisk 20.20.1、21.12.3、22.10.1、23.4.1とCertified Asterisk 20.7-cert11、22.8-cert3で提供されています。HTTPサーバーとAMIのHTTP接続は既定で無効で、既定では127.0.0.1にしか接続できないため、影響範囲は限られますが、利用しているなら修正版への更新を急いでください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| asterisk | asterisk | — | — |
| asterisk | certified-asterisk | — | — |
Original description The description as published by the source.
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, a NULL pointer dereference in the Asterisk Manager Interface (AMI) may allow an unauthenticated attacker to crash Asterisk when Digest Authentication is used via HTTP. The Asterisk HTTP web server, AMI, and AMI access via HTTP must all be enabled; each is disabled by default. The attacker must be able to connect to the HTTP server, which binds only to 127.0.0.1 by default even when enabled. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com