Перечисление имен пользователей

Средняя (5.0)

(AV:N/AC:L/Au:N/C:P/I:N/A:N)

Digium

Asterisk (1.2, 1.2.35, 1.4, 1.4.26.3, 1.6.0, 1.6.0.17, 1.6.1, 1.6.1.9)

Уязвимость существует в Asterisk Open Source, Business Edition, AsteriskNOW и s800i из-за генерирования разных сообщений об ошибке, в зависимости от наличия/отсутствия имени пользователя SIP. Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, перечислить существующие (действующие) имена пользователей, используя множественные специально сформированные сообщения REGISTER, указав разные имена пользователей в URI заголовка "To" и в Digest заголовка "Authorization".

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://downloads.asterisk.org/pub/security/AST-2009-008.html

Источник: CVE
Наименование: CVE-2009-3727
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3727

BID (36924): http://www.securityfocus.com/bid/36924
OSVDB (59697): http://osvdb.org/59697