Внедрение строк

Средняя (5.0)

(AV:N/AC:L/Au:N/C:N/I:P/A:N)

Digium

Asterisk (1.2, 1.4, 1.6.0, 1.6.1, 1.6.2)

Уязвимость в схеме работы диалплана (плана набора) в Asterisk Open Source и Asterisk Business Edition (при использовании переменной канала ${EXTEN} и групповых символов) позволяет атакующим внедрить строки в диалплан, используя метасимволы, внедряемые при вычислении (расширении) переменной; как, например, при использовании приложения Dial для обработки специально сформированного сообщения SIP INVITE, которое добавляет непредусмотренное плечо исходящего канала.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://downloads.asterisk.org/pub/security/AST-2010-002.html

Источник: CVE
Наименование: CVE-2010-0685
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0685

XF (asterisk-dial-weak-security(56397)): http://xforce.iss.net/xforce/xfdb/56397
http://downloads.asterisk.org/pub/security/AST-2010-002.html