Se han corregido dos vulnerabilidades en Asterisk, que podrían permitir a atacantes provocar denegaciones de servicio o ejecutar comandos.
Asterisk es una aplicación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.
El primero de los fallos solucionados, identificado como CVE-2011-1507, provoca una denegación de servicio. Los sistemas Asterisk no implementan correctamente la gestión del numero y duración de las conexiones, por tanto, un atacante remoto podría agotar el número de conexiones disponibles y podría saturar el disco con mensajes de error. Para solucionar este fallo se han añadido varias opciones que permiten gestionar el numero y la duración de las conexiones.
El segundo de los errores solucionados permite a un atacante elevar permisos. Un fallo de validación de permisos en la función ‘action_originate’ situada en ‘main/manager.c’ permite a un usuario autenticado ejecutar comandos con permisos de ‘system’.
Existen exploits conocidos para ambas vulnerabilidades, las cuales han sido solucionadas en las versiones 1.4.40.1, 1.6.1.25, 1.6.2.17.3, y 1.8.3.3.
vtorre@hispasec.com
Más información:
Asterisk Security Release:
http://www.asterisk.org/node/51622
Commit 1.4:
http://svnview.digium.com/svn/asterisk?view=revision&revision=314607
