Asterisk IAX2报文放大远程拒绝服务漏洞

BUGTRAQ ID: 28901
CVE(CAN) ID: CVE-2008-1897

Asterisk是开放源码的软件PBX，支持各种VoIP协议和设备。

Asterisk在处理呼叫的机制上存在漏洞，远程攻击者可能利用此漏洞对第三方机器执行拒绝服务攻击。

IAX2协议允许IC_NEW报文启动呼叫。IC_NEW报文是18字节长的UDP报文，而呼叫可能非常长，包含有很多数据。由于UDP是可以伪造的，因此远程攻击者可以在IAX2握手期间欺骗IAX2握手，导致Asterisk服务器向目标发送大量数据，造成网络堵塞。

Asterisk Asterisk 1.4.x
Asterisk Asterisk 1.2.x
Asterisk Asterisk 1.0.x
Asterisk Business Edition C.x.x
Asterisk Business Edition B.x.x
Asterisk Business Edition A.x.x
Asterisk AsteriskNOW 1.0.x
Asterisk Appliance Developer Kit 0.x.x
Asterisk s800i 1.0.x

临时解决方法：

• 禁止远程未经认证的IAX2会话。

厂商补丁：

Asterisk

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

<a href=“http://www.asterisk.org/” target=“_blank”>http://www.asterisk.org/</a>