Prof. Dr. G. Hellberg EDV Beratung und Softwareengineering seit 1984
NewsNews
 
Die Hellberg EDV Beratung ist SuSE Business Partner
 
Professor Hellberg ist Certified Novell InstructorDie Hellberg EDV Beratung ist Novell Business Partner
 
Die Hellberg EDV Beratung ist Microsoft Partner
 
GDATA Software
 
News

Digium hat in der quelloffenen Telefonanlagen-Software Asterisk einige kritische Schwachstellen geschlossen, durch die ein Angreifer Code in den Server einschleusen kann. Es handelt sich bei den Lücken um Pufferüberläufe auf dem Stack, die über die Protokolle HTTP, SIP und XMPP ausgenutzt werden können. Bei XMPP ist hierzu eine aktive Sitzung nötig.

Die Lücken nutzen aus, dass der Asterisk Management Interface (AMI) einen Bereich auf dem Stack reserviert, dessen Größe der Angreifer festlegen kann. Wenn der zu reservierende Bereich nicht auf den Stack passt, kommt es zum Überlauf. Brandon Edwards, einer der Entdecker der Lücken, hat in seinem Blog eine detaillierte Beschreibung veröffentlicht.

Verwundbar sind das für den kommerziellen Einsatz gedachte Certified Asterisk 1.8.11 und die VoIP-Telefone von Digitum mit der Firmware 10.x sowie die Opensource-Versionen 1.8.x, 10.x und 11.x. Die sicheren Ausgaben sind: 1.8.19.1, 10.11.1, 11.1.2, Certified Asterisk 1.8.11-cert10, sowie 10.11.1 für die Digitum-Telefone.

(ez, hannover)

(siehe auch Heise News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE


 

 

 

 

 

 

 

 

 

 

 

 

Mailadresse fuer Kontaktaufnahme