Asterisk
ha publicado un boletín de seguridad (AST-2014-019)
para solucionar una vulnerabilidad que podría permitir a atacantes remotos provocar condiciones de denegación de
servicio.
Asterisk es una implementación de
una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden
conectar un número determinado de teléfonos para hacer llamadas entre sí e
incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el
exterior. Asterisk es ampliamente usado e incluye un gran número de
interesantes características: buzón de voz, conferencias, IVR, distribución
automática de llamadas, etc. Además el software creado por Digium está
disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.
El problema reside en el
tratamiento de datos WebSocket creados de específicamente con una longitud de
carga útil igual a 0, que provoca un fallo en el módulo res_http_websocket y
provoca cla caída del servicio. Este problema afecta a las ramas 11.x, 12.x y 13.x
de Asterisk Open Source; así como a Certified Asterisk 11.6.
Como contramedida se recomienda
desactivar el servidor http en caso de que no sea necesario. Se han publicado
las versiones Asterisk Open Source 11.14.2, 12.7.2 y 13.0.2; y Certified
Asterisk 11.6-cert9 que solucionan los problemas descritos. También existen
parches individuales para solucionar cada una de las vulnerabilidades,
disponibles a través del boletín publicado.
Más información:
Remote Crash Vulnerability in WebSocket Server
Antonio Ropero
Twitter: @aropero
