Sicherheitslücken bei Asterisk

abgelegt im Archiv News am 25.08.06

Würde ich zu Wortspielen neigen, so wäre das "risk" im Namen "asterisk" momentan ein naheliegendes Ziel. Denn wie unter anderem Silicon.de berichtet, wurde bei dem Open Source PBX zwei Schwachstellen gefunden, die eine Manipulation nach sich ziehen können. Im Einzelnen handelt es sich um die folgenden Probleme:


In der MGCP-Implementierung der VoIP-Software (Voice over Internet Protocol) ist ein Remote Buffer Overflow möglich, in dessen Folge beliebiger Code nachgeladen werden kann. Dem Angreifer ist dies über manipulierte AUEP, also den Reaktionen von Audit-Endpunkten möglich.



Der zweite Fehler tritt bei der Verarbeitung von Dateinamen der Anwendung 'Record' auf. Dieses Leck, so Mu Securities im Advisory, sei nicht so schwerwiegend, da dazu Administratorenrechte nötig sind. Mu Security erklärt, dass die Mitarbeiter von Asterisk auf das Problem schnell mit einem Patch für den Buffer Overflow reagiert hätten.


Die Entwickler von Asterisk haben, laut Computerwelt umgehend reagiert und die Lücken geschlossen. Das erforderliche Patch kann hier direkt runtergeladen werden.