BDU:2023-08816

Опубликовано: 2023-12-19

Описание

Уязвимость реализации протоколов DTLS (Datagram Transport Layer Security) и SRTP (Secure Real-time Transport Protocol) систем управления IP-телефонией Asterisk и Certified Asterisk вызвана состоянием гонки при обработке сообщения ClientHello. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

РЕД ОС (7.3)Asterisk (до 18.20.0 включительно)Asterisk (от 19.8.1 до 20.5.0 включительно)Asterisk (21.0.0)Certified Asterisk (до 18.9-cert5 включительно)ОСОН ОСнова Оnyx (до 2.10)

Способ устранения

Использование рекомендаций:
https://github.com/EnableSecurity/advisories/tree/master/ES2023-01-asterisk-dtls-hello-race
https://github.com/asterisk/asterisk/releases
https://github.com/asterisk/asterisk/commit/d7d7764cb07c8a1872804321302ef93bf62cba05
https://github.com/asterisk/asterisk/security/advisories/GHSA-hxj9-xwr8-w8pq

Для ОСОН ОСнова Оnyx (версия 2.10):
Обновление программного обеспечения asterisk до версии 1:18.14.0~dfsg+~cs6.12.40431414-1really16.28.0~dfsg-0+deb10u4

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

http://packetstormsecurity.com/files/176251/Asterisk-20.1.0-Denial-Of-Service.html http://www.openwall.com/lists/oss-security/2023/12/15/7 https://github.com/EnableSecurity/advisories/tree/master/ES2023-01-asterisk-dtls-hello-race https://github.com/asterisk/asterisk/commit/d7d7764cb07c8a1872804321302ef93bf62cba05 https://github.com/asterisk/asterisk/security/advisories/GHSA-hxj9-xwr8-w8pq https://vuldb.com/ru/?id.248121 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.10/http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена