"Asterisk on avoimen lähdekoodin sovellus minkä avulla voidaan toteuttaa esimerkiksi puhelinvaihteita, puhelinneuvottelupalveluita ja VoiP-yhdyskäytäviä.
Asteriskin SIP-toteutuksesta on löytynyt puskurin ylivuotohaavoittuvuus. Haavoittuvuuden avulla hyökkääjä voi suorittaa omaa koodiaan kohdejärjestelmässä."
www.cert.fi/haavoittuvuudet/2011/haavoittuvuus-2011-026.html
Asteriskin SIP-toteutuksesta on löytynyt puskurin ylivuotohaavoittuvuus. Haavoittuvuuden avulla hyökkääjä voi suorittaa omaa koodiaan kohdejärjestelmässä."
www.cert.fi/haavoittuvuudet/2011/haavoittuvuus-2011-026.html
Vastaukset 5
Vanhimmat
Ja taas "unohtui" ketoa, että ko. haavoittuvuuteen on jo olemassa päivitys.
Moniko osaa lähdekoodista kääntää jakelulleen ohjelmia, näin on tehtävä jos haluaa uudenpaa mitä jakelun ohjelmalähteet tarjoavat!
OTTAKAA HUOMIOON että linuxjakeluiden käyttäjät ovat jakelun ylläpitäjän ohjelmalähteiden varassa! Esimerkiksi jossain Debianissa on uskomattoman VANHOJA ohjelmia koska Debian haluaa olla "vakaa" joten siinä on vain VANHOJA bugivapaita ohjelmaversioita mutta VALITETTAVASTI ne ovat myös tietoturvasta vapaita Vanhoja versioita. Se Vakaa 2v vanha ohjelma on jo TIETOTURVARISKI!
...entäpä 17-vuotias Windowsin haavoittuvuus? Ollaanko sitä vähän niinkuin Microsoftin hyväntahtoisuuden varassa? ; )
Se että ohjelma on vanhaa perua eikä sitä kovin aktiivisesti enää ehkä kehitetä ei tarkoita etteikö siihen kuitenkin tehtäisi tietoturvapäivityksiä eli korjauksia tarvittaessa.
Yleensä ne korjaukset kaiken lisäksi tulevat hyvinkin nopeasti lukien siitä kun mahdollinen turvariski on havaittu ja tästä vastaavat nimenomaan jakelun ylläpitäjät.
Esimerkiksi mainttu astrisk-ohjelma on ollut pakettilähteissä mukana vuodesta 2001 ja näin sitä on vuosien mittaan rakenneltu
http://packages.debian.org/changelogs/pool/main/a/asterisk/asterisk_1.6.2.9-2 squeeze1/changelog
Siellä sanotaan myös että
"Fixed in versions asterisk/1:1.4.21.2~dfsg-3 lenny2, asterisk/1:1.6.2.9-2 squeeze1"