| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 4.6 | $0-$5k | 0.00 |
要約
脆弱性が問題があるとして分類され、Digium Asterisk 12.7.0/13.0.0で発見されました。 影響を受けるのは、コンポーネント【res_pjsip_refer Module】の未知の関数です。 この操作は、 特権昇格を引き起こします。 この脆弱性はCVE-2014-8416として取引されています。 攻撃はリモートから実行できます。 影響を受けているコンポーネントのアップグレードを推奨します。
詳細
脆弱性が問題があるとして分類され、Digium Asterisk 12.7.0/13.0.0で発見されました。 影響を受けるのは、コンポーネント【res_pjsip_refer Module】の未知の関数です。 この操作は、 特権昇格を引き起こします。 CWEを使用して問題を宣言すると、CWE-20 につながります。 この脆弱性は 2014年11月20日に公開されました 、Joshua Colpによって 、AST-2014-016として 、勧告として （ウェブサイト）。 アドバイザリはdownloads.asterisk.orgから入手可能です。
この脆弱性はCVE-2014-8416として取引されています。 CVEのアサインは2014年10月22日に実施されました。 攻撃はリモートから実行できます。 技術詳細は存在しません。 この脆弱性の普及度は平均未満です。 エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。 アドバイザリは以下の内容を示しています：
When handling an INVITE with Replaces message the res_pjsip_refer module incorrectly assumes that it will be operating on a channel that has just been created. If the INVITE with Replaces message is sent in-dialog after a session has been established this assumption will be incorrect. The res_pjsip_refer module will then hang up a channel that is actually owned by another thread. When this other thread attempts to use the just hung up channel it will end up using freed channel which will likely cause a crash.
この脆弱性は少なくとも3日間、非公開のゼロデイ脆弱性として扱われていました。 0-dayとして、アンダーグラウンドでの推定価格は$0-$5k程度でした。 Nessus脆弱性スキャナーは、IDが79439のプラグインを持っています。 その他 ファミリーに分類されています。
この問題は、12.7.1 , 13.0.1へのアップグレードによって解決可能です。 影響を受けているコンポーネントのアップグレードを推奨します。 脆弱性が開示されてから すぐに 経過後に、対策が提供されました。 アドバイザリには以下の記述があります：
If REFER support is not required the res_pjsip_refer module can be unloaded to limit exposure otherwise the res_pjsip_refer module has been patched so it will not allow an in-dialog INVITE with Replaces message to be processed.
他の脆弱性データベースにもこの脆弱性の情報があります: SecurityFocus (BID 71224), X-Force (98867), SecurityTracker (ID 1031249), Vulnerability Center (SBV-47583) , Tenable (79439).
製品
タイプ
ベンダー
名前
バージョン
ライセンス
ウェブサイト
- ベンダー: https://www.digium.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB ベクトル: 🔍VulDB 信頼性: 🔍
CVSSv3
VulDB ベースメタスコア: 5.3VulDB 一時的なメタスコア: 4.6
VulDB ベーススコア: 5.3
VulDB 一時的なスコア: 4.6
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| ベクトル | 複雑さ | 認証 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍
NVD ベーススコア: 🔍
悪用
クラス: 特権昇格CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍
物理的: いいえ
ローカル: いいえ
リモート: はい
可用性: 🔍
ステータス: 未実証
EPSS Score: 🔍
EPSS Percentile: 🔍
価格予測: 🔍
現在の価格評価: 🔍
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
Nessus ID: 79439
Nessus 名前: Asterisk PJSIP Multiple Vulnerabilities (AST-2014-013 / AST-2014-015 / AST-2014-016)
Nessus ファイル: 🔍
Nessus リスク: 🔍
Nessus ファミリー: 🔍
脅威インテリジェンス
関心: 🔍アクティブアクター: 🔍
アクティブなAPTグループ: 🔍
対策
推奨: アップグレードステータス: 🔍
リアクション時間: 🔍
0day日時: 🔍
暴露時間: 🔍
アップグレード: Asterisk 12.7.1/13.0.1
タイムライン
2014年10月22日 🔍2014年11月17日 🔍
2014年11月20日 🔍
2014年11月20日 🔍
2014年11月20日 🔍
2014年11月21日 🔍
2014年11月21日 🔍
2014年11月24日 🔍
2014年11月24日 🔍
2014年12月14日 🔍
2022年02月27日 🔍
ソース
ベンダー: digium.com勧告: AST-2014-016
調査者: Joshua Colp
ステータス: 確認済み
確認: 🔍
CVE: CVE-2014-8416 (🔍)
GCVE (CVE): GCVE-0-2014-8416
GCVE (VulDB): GCVE-100-68261
X-Force: 98867 - Asterisk INVITE denial of service, Medium Risk
SecurityFocus: 71224 - Asterisk 'res_pjsip_refer' Module Denial of Service Vulnerability
SecurityTracker: 1031249 - Asterisk PJSIP Channel Driver Flaw in res_pjsip_refer Module Lets Remote Users Deny Service
Vulnerability Center: 47583 - Asterisk Open Source 12.0 - 12.7.0 and 13.0 \x27res_pjsip_refer\x27 Remote DoS Vulnerability via an In-Dialog INVITE, Medium
関連情報: 🔍
エントリ
作成済み: 2014年11月24日 09:35更新済み: 2022年02月27日 08:01
変更: 2014年11月24日 09:35 (80), 2017年12月24日 09:37 (1), 2022年02月27日 07:55 (3), 2022年02月27日 08:01 (1)
完了: 🔍
Cache ID: 216:E3B:103
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。