阿里云漏洞库

漏洞描述

Digium Asterisk和Certified Asterisk都是美国Digium公司的开源电话交换机（PBX）系统软件，它支持语音信箱、多方语音会议、交互式语音应答(IVR)等。ConfBridge是其中的一个用于实现会议应用的应用程序。

Digium Asterisk和Certified Asterisk的ConfBridge中存在安全漏洞。远程攻击者可借助CONFBRIDGE dialplan函数利用该漏洞获取权限，或通过执行特制的ConfbridgeStartRecord AMI操作利用该漏洞执行任意系统命令。以下产品及版本受到影响：Asterisk 11.14.0及之前版本，12.7.0及之前版本，13.0.0及之前版本，Certified Asterisk 11.6-cert8之前11.6版本。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
http://downloads.asterisk.org/pub/security/AST-2014-017.html

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	digium	asterisk	*	From (including) 11.0.0	Up to (excluding) 11.14.1
	运行在以下环境
	应用	digium	asterisk	*	From (including) 12.0.0	Up to (excluding) 12.7.1
	运行在以下环境
	应用	digium	asterisk	*	From (including) 13.0.0	Up to (excluding) 13.0.1
	运行在以下环境
	应用	digium	certified_asterisk	11.6	-
	运行在以下环境
	应用	digium	certified_asterisk	11.6.0	-
	运行在以下环境
	系统	debian	DPKG	*		Up to (excluding) 1:13.1.0~dfsg-1
	运行在以下环境
	系统	debian_10	asterisk	*		Up to (excluding) 1:13.1.0~dfsg-1
	运行在以下环境
	系统	debian_11	asterisk	*		Up to (excluding) 1:13.1.0~dfsg-1
	运行在以下环境
	系统	ubuntu_16.04.7_lts	asterisk	*		Up to (excluding) 1:13.1.0~dfsg-1ubuntu1
	运行在以下环境
	系统	ubuntu_18.04.5_lts	asterisk	*		Up to (excluding) 1:13.1.0~dfsg-1ubuntu1
	运行在以下环境
	系统	ubuntu_18.10	asterisk	*		Up to (excluding) 1:13.1.0~dfsg-1ubuntu1

攻击路径

远程
攻击复杂度

容易
权限要求

无需权限
影响范围

全局影响
EXP成熟度

N/A
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

传输被破坏
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-264	权限、特权和访问控制

中危 Digium Asterisk 11.6.0/11.14.0/12.7.0/13.0.0 CONFBRIDGE Dialplan Function privilege escalation

漏洞描述

解决建议

参考链接

受影响软件情况