Podatności Asterisk

W Asterisk w wersjach 13.18.4 i starszych, 14.7.4 i starszych, 15.1.4 i starszych oraz 13.18-cert1 i starszych odkryto problem, który powoduje awarię systemu przy przetwarzaniu określonych wiadomości SIP bez nagłówka kontaktu. Problem występuje tylko, gdy używany jest sterownik kanału PJSIP.

W Asterisk 11.x przed wersją 11.25.3, 13.x przed wersją 13.17.2 oraz 14.x przed wersją 14.6.2 występuje niewystarczająca walidacja pakietów RTCP, co może prowadzić do odczytu przestarzałych zawartości bufora. W połączeniu z opcjami 'nat' i 'symmetric_rtp' może to umożliwić przekierowanie, gdzie Asterisk wysyła następny raport RTCP.

Narzędzie ast_loggrabber w Asterisku wykonuje skrypt Pythona z katalogu /tmp, który jest zapisywalny dla wszystkich. Atakujący posiadający już sesję powłoki na serwerze może umieścić tam złośliwy skrypt i uzyskać podwyższone uprawnienia lub wykonać kod, gdy administrator uruchomi ast_loggrabber z podwyższonymi uprawnieniami.

W pliku app_sms.c systemu Asterisk długości SMS kontrolowane z zewnątrz są kopiowane do buforów o stałym rozmiarze bez wystarczającej walidacji granic. Może to pozwolić atakującemu na uszkodzenie pamięci lub awarię Asteriska.

W dekoderze Codec2 w Asterisku występuje zapis poza granicami bufora powodujący przepełnienie bufora sterty, wywołany niezgodnością liczby próbek floor/ceil. Uwierzytelniony atakujący może wykorzystać tę podatność, wysyłając spreparowane pakiety audio Codec2 w ramach ustanowionej rozmowy.

W module res_pjsip_pubsub systemu Asterisk występuje nieograniczone wywołanie sscanf podczas parsowania pola Message-Account w komunikacie MWI NOTIFY. Nieuwierzytelniony atakujący może wysłać spreparowany pakiet powodujący przepełnienie bufora stosu i uszkodzenie transportu, trwale wyłączając funkcje SIP do czasu restartu.

Backendy cel_pgsql i cel_tds (PostgreSQL oraz TDS/MSSQL) w Asterisku mogą umożliwić wykonanie dowolnego SQL, gdy niezaufane dane zostaną ustawione w kolumnie eventtype CEL przez aplikację dialplanu CELGenUserEvent. Wymagane jest załadowanie i skonfigurowanie backendu oraz wywołanie CELGenUserEvent bez walidacji danych.

W sterowniku kanału chan_ooh323 parser numeru strony Q.931 nie zawiera poprawki CVE-2022-37325, która nie została przeniesiona z Asterisk 20 do nowszych wersji. Zniekształcone elementy Q.931 w żądaniu OOH323 mogą spowodować awarię Asteriska.

W Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 i Certified Asterisk 22.8-cert3 uwierzytelniony atakujący z uprawnieniami tylko do odczytu w Asterisk REST Interface (ARI) może w pewnych warunkach wykonywać operacje zapisu przez REST-over-WebSocket. Obejście autoryzacji umożliwia ładowanie dowolnej ścieżki modułu i warunkowe zdalne wykonanie kodu.

W Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3 występuje dereferencja wskaźnika NULL w Asterisk Manager Interface (AMI). Nieuwierzytelniony atakujący może doprowadzić do awarii Asterisk, gdy używane jest uwierzytelnianie Digest przez HTTP.

W Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3 uwierzytelniony atakujący z uprawnieniami tylko do odczytu w Asterisk REST Interface (ARI) może użyć setChannelVar do wykonania funkcji dialplanu zapisujących dane, w tym zapisów FILE(), nawet gdy live_dangerously w asterisk.conf jest ustawione na no. Wymagane jest włączone i osiągalne serwer HTTP Asteriska oraz ważne poświadczenia ARI tylko do odczytu; HTTP jest domyślnie wyłączone i nawet po włączeniu wiąże się tylko z 127.0.0.1.

W Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3 uwierzytelniony atakujący może wywołać przepełnienie bufora stosu w obsłudze prefiksu przestrzeni nazw XMPP w module res_xmpp przy użyciu starannie spreparowanych pakietów. Wymagane jest załadowanie modułu res_xmpp, skonfigurowanie połączenia XMPP w xmpp.conf oraz posiadanie konta XMPP na tym samym lub sfederowanym serwerze.

Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3 zawiera przepełnienie bufora stosu w funkcji logowania śledzenia H.323 ooTrace(). Nieograniczone vsprintf zapisuje dane do stałego bufora 2048 bajtów, co może spowodować awarię procesu Asterisk po wysłaniu spreparowanego pakietu.

W Asterisk uwierzytelniony atakujący może wywołać przepełnienie bufora sterty w obsłudze `T.140 RED` przy użyciu specjalnie spreparowanych pakietów, co może prowadzić do zdalnego wykonania kodu lub awarii Asterisk. Wymagane jest zainstalowanie i skonfigurowanie sterownika kanału `chan_sip` z włączoną opcją `textsupport` (domyślnie wyłączoną). Poprawki zawierają wersje Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3.

Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3 zawiera nieograniczone memcpy danych pakietu OGG/Speex w format_ogg_speex. Może to spowodować przepełnienie bufora sterty i awarię Asterisk podczas odczytu pliku z uszkodzonym dźwiękiem Speex.

W module chan_unistim programu Asterisk występuje zapis poza granicami bufora podczas przetwarzania cyfr DIALPAGE, co może przepełnić pole phone_number i spowodować awarię Asteriska po wysłaniu spreparowanego pakietu żądania. Wymagane jest załadowanie modułu chan_unistim i skonfigurowanie osiągalnego portu UDP UNISTIM oraz rejestracja atakującego jako skonfigurowany MAC telefonu lub ścieżka autoprovisioningu. Podatność naprawiono w wersjach Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3.

W Asterisk uwierzytelniony atakujący może wywołać zapis poza granicami bufora w obsłudze `T.140 RED` podczas akumulacji generacji przy użyciu specjalnie spreparowanych pakietów, co może prowadzić do zdalnego wykonania kodu lub awarii Asterisk. Wymagane jest zainstalowanie i skonfigurowanie sterownika kanału `chan_sip` z włączoną opcją `textsupport` (domyślnie wyłączoną). Poprawki zawierają wersje Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3.

Uwierzytelniony atakujący może doprowadzić do awarii Asteriska poprzez odczyt poza granicami bufora w parserze treści PJSIP MWI, wysyłając spreparowane żądanie SIP NOTIFY. Atakujący musi przejść uwierzytelnienie SIP za pomocą nazwy użytkownika i hasła lub dopasowania adresu IP źródłowego. Podatność naprawiono w wersjach Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3.

W Asterisk (open source PBX) przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3 nieuwierzytelniony atakujący może wykorzystać odbity cross-site scripting w stronach błędów HTTP provisioningu telefonów, aby uzyskać ciasteczko sesji AMI uprawnionego użytkownika i podszyć się pod niego, gdy moduł res_phoneprov jest włączony. Wymagane jest włączenie serwera HTTP Asterisk, interfejsu AMI oraz dostępu AMI przez HTTP (domyślnie wyłączone), a także nakłonienie użytkownika do kliknięcia złośliwego linku.

Asterisk to otwartoźródłowa centrala PBX i zestaw narzędzi telekomunikacyjnych. Przed wersjami Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3 sterownik realtime LDAP res_config_ldap może umożliwiać wstrzyknięcie filtra LDAP poprzez nazwę użytkownika SIP, pozwalając nieuwierzytelnionemu atakującemu na wykonywanie dowolnych zapytań LDAP za pomocą starannie spreparowanych pakietów SIP i ujawnianie informacji. Moduł res_config_ldap musi być załadowany i skonfigurowany do dostępu do serwera LDAP, co nie jest ustawieniem domyślnym.

W Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3 uwierzytelniony atakujący może wywołać heap-use-after-free w obsłudze PJSIP TCP/SDP, wysyłając SIP INVITE przez połączenie zorientowane na połączenie i rozłączając się przed odpowiedzią 200 OK. Awarię udało się dotąd odtworzyć tylko przy kompilacji z Address Sanitizer, który nie jest używany w systemach produkcyjnych.

Asterisk to otwartoźródłowa centrala PBX i zestaw narzędzi telekomunikacyjnych. Przed wersjami Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3 niewystarczające sprawdzanie granic w parserze elementów informacyjnych Q.931 w chan_ooh323 umożliwia odczyt poza granicami bufora, co może pozwolić nieuwierzytelnionemu atakującemu na awarię Asteriska za pomocą starannie spreparowanych pakietów setup. Sterownik kanału chan_ooh323 musi być jawnie skompilowany i zainstalowany, co nie jest ustawieniem domyślnym, a jego port musi być publicznie osiągalny.

Skrypt safe_asterisk dołączony do pakietu Asterisk uruchamia jako root wszystkie pliki .sh z katalogu /etc/asterisk/startup.d/ bez weryfikacji właściciela ani uprawnień. Użytkownicy nieuprzywilejowani z legalnym dostępem zapisu do /etc/asterisk mogą umieścić złośliwe skrypty w startup.d, które zostaną wykonane z uprawnieniami roota przy restarcie usługi.

W Sangoma Asterisk do wersji 16.28.0, 17.x do 18.14.0 oraz 19.x do 19.6.0, wiadomość Setup przychodząca do addons/ooh323c/src/ooq931.c z nieprawidłowym elementem informacyjnym Calling lub Called Party może spowodować awarię.