多个Asterisk产品TLS证书验证安全限制绕过漏洞(CVE-2015-3008)
发布日期:2015-04-09
更新日期:2015-04-17
受影响系统:
Asterisk Asterisk Open Source 〈1.8.32.3
Asterisk Asterisk Open Source 13.x
Asterisk Asterisk Open Source 12.x
Asterisk Asterisk Open Source 11.x
描述:
BUGTRAQ ID: 74022
CVE(CAN) ID: CVE-2015-3008
Asterisk是一款实现电话用户交换机(PBX)功能的自由软件、开源软件。
Asterisk Open Source注册SIP TLS设备时,错误处理了X.509证书主题CN字段域名内的空字节,中间人攻击者通过构造的证书,利用此漏洞可欺骗任意SSL服务器。
<*来源:Maciej Szmigiero
*>
建议:
厂商补丁:
Asterisk
--------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
http://downloads.asterisk.org/pub/security/AST-2015-003.html
本文永久更新链接地址:http://www.linuxidc.com/Linux/2015-04/116363.htm