Denegacion de servicios en Asterisk

Asterisk ha publicado un boletín de seguridad (AST-2014-019) para solucionar una vulnerabilidad que podría permitir a atacantes remotos provocar condiciones de denegación de servicio.
Asterisk es una implementación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.

El problema reside en el tratamiento de datos WebSocket creados de específicamente con una longitud de carga útil igual a 0, que provoca un fallo en el módulo res_http_websocket y provoca cla caída del servicio. Este problema afecta a las ramas 11.x, 12.x y 13.x de Asterisk Open Source; así como a Certified Asterisk 11.6.

Como contramedida se recomienda desactivar el servidor http en caso de que no sea necesario. Se han publicado las versiones Asterisk Open Source 11.14.2, 12.7.2 y 13.0.2; y Certified Asterisk 11.6-cert9 que solucionan los problemas descritos. También existen parches individuales para solucionar cada una de las vulnerabilidades, disponibles a través del boletín publicado.

Ver informacion original ein Fuente:
http://unaaldia.hispasec.com/