Die Telefonanlagensoftware Asterisk ist in neuen Versionen erschienen, die eine Sicherheitslücke schließen, durch die Angreifer bösartige Programme einschleusen und mit Root-Rechten ausführen können. Der Fehler befindet sich in den Treibern für Cisco-SCCP-Telefone (chan_skinny.so), in denen Angreifer einen Pufferüberlauf auslösen können.
Der Skinny-Channel-Treiber lauscht standardmäßig auf dem TCP-Port 2000. Er nimmt präparierte Pakete auch ohne vorherige Authentifizierung an. Als Gegenmaßnahme können Administratoren in der Konfiguration einstellen, dass Asterisk den Treiber nicht lädt, indem sie der modules.conf den Eintrag noload=>chan_skinny.so hinzufügen. Kommen Cisco-SCCP-Telefone zum Einsatz, hilft das Filtern der Pakete mit einer Firewall oder ein Upgrade auf Asterisk 1.0.12 beziehungsweise 1.2.13. Ebenfalls nicht von der Schwachstelle betroffen sind die 1.4er-Beta-Versionen der Software.
Siehe dazu auch:
* Security-Assessment.com Advisory: Asterisk remote heap overflow, Sicherheitsmeldung auf Bugtraq
* Download der aktuellen Versionen von der Asterisk-Homepage
* Releasenotes zu Asterisk 1.0.12
* Releasenotes zu Asterisk 1.2.13
Quelle und Links :
http://www.heise.de/security/news/meldung/79713
