Перечисление имен пользователей

Средняя (3.5)

(AV:N/AC:M/Au:S/C:P/I:N/A:N)

Digium

Asterisk (1.2, 1.2.32, 1.4, 1.4.24.1, 1.6.0, 1.6.0.8)

Уязвимость существует в Asterisk Open Source, Asterisk Business Edition, s800i и Trixbox PBX (при включенных функциях Digest-аутентификации и authalwaysreject) из-за генерирования разных ответов, в зависимости от существования/отсутствия имени пользователя SIP. Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, перечислить действующие имена пользователей.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://downloads.asterisk.org/pub/security/AST-2009-003.html

Источник: CVE
Наименование: CVE-2008-3903
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3903

BID (34353): http://www.securityfocus.com/bid/34353
XF (asterisk-username-info-disclosure(45059)): http://xforce.iss.net/xforce/xfdb/45059