Asterisk PBX Registration Database Umgehungs-Angriff [CVE-2007-6430]

VulDB: Asterisk PBX Registration Database Umgehungs-Angriff [CVE-2007-6430]

Allgemein

Asterisk

scipID: 3520
Betroffen: Asterisk
Veröffentlicht: 19.12.2007
Risiko: problematisch
Eintrag: 90.8% komplett
Erstellt: 03.01.2008
Aktualisiert: 03.09.2012

Beschreibung

Asterisk ist eine freie Software, die alle Funktionalitäten einer herkömmlichen Telefonanlage abdeckt. Asterisk unterstützt Voice-over-IP (VoIP) mit unterschiedlichen Protokollen und kann mittels relativ günstiger Hardware mit Anschlüssen wie POTS (analoger Telefonanschluss), ISDN-Basisanschluss (BRI) oder -Primärmultiplexanschluss (PRI, E1 oder T1) verbunden werden. Mark Spencer hat Asterisk ursprünglich geschrieben, wichtige Erweiterungen und Applikationen stammen aber mittlerweile vor allem von anderen Entwicklern. Wie kürzlich bekannt wurde, erlaubt die Applikation durch das Fehlen von IP-Checks die Authentisierung als legitimer User ohne Kenntnis des entsprechenden Passwortes. Dies trifft jedoch nur zu, wenn host-basierte Authentisierung genutzt wird und der Benutzer einen validen Benutzernamen kennt. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (39519), Secunia (SA29456), SecurityFocus (BID 26928), SecurityTracker (ID 1019110) und X-Force (39124) dokumentiert.

Für den Vulnerability Scanner Nessus wurde am 07.03.2008 ein Plugin mit der ID 31390 (SuSE Security Update: asterisk security update (asterisk-5062)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family SuSE Local Security Checks zugeordnet.

Asterisk ist ein gern gewähltes Ziel, gerade im Anbetracht des mittlerweile etwas abflauenden Voice-over-IP Booms. Die vorliegende Schwachstelle ist durchaus problematisch und sollte wenn möglich durch das Abschalten hostbasierter Authentisierung vermieden werden, ist aber insgesamt nicht als hochkritisch zu werten.

CVSS

Base Score: 4.9 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:N) [?]

Access Vector	Access Complexity	Authentication	Confidentiality	Integrity	Availability
Local	High	Multiple	None	None	None
Adjacent	Medium	Single	Partial	Partial	Partial
Network	Low	None	Complete	Complete	Complete

Exploiting

Klasse: Umgehungs-Angriff
Auswirkungen: Massnahmen umgehen
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Nessus ID: 31390
Nessus Name: SuSE Security Update: asterisk security update (asterisk-5062)
Nessus Family: SuSE Local Security Checks

Gegenmassnahmen

Empfehlung: Upgrade
Reaction Time: 92 Tage seit gemeldet
0-Day Time: 92 Tage seit gefunden
Exposure Time: 92 Tage seit bekannt

Timeline

Quellen

Advisory: downloads.digium.com
Firma: Asterisk.org
Bestätigung: downloads.digium.com

OSVDB: 39519
CVE: CVE-2007-6430 (mitre.org) (nist.org) (cvedetails.com)
Secunia: 29456
SecurityFocus: 26928
SecurityTracker: 1019110
X-Force: 39124
Vupen: ADV-2007-4260

Schwachstellen Übersicht

scip AG