ага. но 1 очень часто включено. и 2 включено по умолчанию в последних астерисках.
meral ( 2013-02-14 13:42:43 +0400 )редактировать
ознакомтесь.
http://seclists.org/fulldisclosure/2013/Jan/11
http://seclists.org/fulldisclosure/2013/Jan/10
если коротко, то iax,sip имеет уязвимости судя повсему с 1.8.0 и до 1.8.19.1. возможно и в более ранних, но они не подерживаются)
Как я понял, данные уязвимости имеют опасность только при определенных условиях?
http://seclists.org/fulldisclosure/2013/Jan/11:
"...One way that this currently occurs is when anonymous calls are allowed in Asterisk."
http://seclists.org/fulldisclosure/2013/Jan/10:
"...Keep in mind that SIP over UDP is not affected by this vulnerability."
ага. но 1 очень часто включено. и 2 включено по умолчанию в последних астерисках.
meral ( 2013-02-14 13:42:43 +0400 )редактироватьЗадан: 2013-02-14 12:51:38 +0400
Просмотрен: 371 раз
Обновлен: Feb 14 '13
Проект компании "АТС Дизайн"
Asterisk® и Digium® являются зарегистрированными торговыми марками компании
Digium, Inc., США.
IP АТС Asterisk распространяется под лицензией
GNU GPL.
Attackers exploiting this vulnerability
can attack an Asterisk system configured to allow anonymous
calls by varying the source of the anonymous call,
continually adding devices to the device state cache and
consuming a system's resources.
это раз.
zzuz ( 2013-02-14 13:36:13 +0400 )редактироватьAsterisk has several places where messages received over
various network transports may be copied in a single stack
allocation. In the case of TCP, since multiple packets in a
stream may be concatenated together, this can lead to large
allocations that overflow the stack.
это два.
zzuz ( 2013-02-14 13:36:35 +0400 )редактироватьтоесть вас это не касается,у вас нет глючных провайдеров которым надо guestallow. замечательно. tcp тогад выключите в конфиге.
meral ( 2013-02-14 13:43:49 +0400 )редактироватьallowquest обычно идет с пермитами и денаями , а tcp работу все равно не улудшает , за что и не включается.
zzuz ( 2013-02-14 13:48:05 +0400 )редактироватьну я ж ламер да. забейте. вас не касается? не читаем.
meral ( 2013-02-14 13:49:15 +0400 )редактироватьНикто и не говорит о том, что это нас не касается . Я например , эти репорты уже видел. Но особой паники не вижу смысла поднимать. Эти две заметки в теме вопроса лишь капля в море багрепортов существующих проблем.
zzuz ( 2013-02-14 13:55:31 +0400 )редактировать