受影响系统：
Asterisk Asterisk 1.6.1.x
Asterisk Asterisk 1.6.0.x
Asterisk Asterisk 1.4.x
Asterisk Asterisk 1.2.x
Asterisk Business Edition C.x.x
Asterisk Business Edition B.x.x
Asterisk Business Edition A.x.x
Asterisk AsteriskNOW 1.5
Asterisk s800i 1.2.x
不受影响系统：
Asterisk Asterisk 1.6.1.9
Asterisk Asterisk 1.6.0.17
Asterisk Asterisk 1.4.26.3
Asterisk Asterisk 1.2.35
Asterisk Business Edition C.3.2.2
Asterisk Business Edition C.2.4.5
Asterisk Business Edition B.2.5.12
Asterisk s800i 1.3.0.5
描述：
Asterisk是开放源码的软件PBX，支持各种VoIP协议和设备。
远程攻击者可以通过两次发送REGISTER消息判断Asterisk中是否配置了特定名称的对等端。将要检查的用户名放置在To头的URI部分，伪造的不匹配值放置在Authorization头中Digest的用户名部分。如果对等端存在，则第二个REGISTER会接收到403 Authentication user name does not match account name响应；如果对等端不存在，则在禁用了alwaysauthreject的情况下会接收到404 Not Found响应，在启用了alwaysauthreject的情况下会接收到401 Unauthorized响应。
<*来源：Joshua Colp （jcolp@digium.com）
链接：http://marc.info/?l=full-disclosure&m=123870082514296&w=2
*>
建议：
厂商补丁：
Asterisk
——–
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
http://downloads.digium.com/pub/asa/AST-2009-008-1.2.diff.txt
http://downloads.digium.com/pub/asa/AST-2009-008-1.4.diff.txt
http://downloads.digium.com/pub/asa/AST-2009-008-1.6.0.diff.txt
http://downloads.digium.com/pub/asa/AST-2009-008-1.6.1.diff.txt
0 条评论。