🇰🇷 한글 설명
Asterisk 오픈소스 PBX 및 전화 툴킷에서 DTLS-SRTP 미디어 설정을 처리하는 DTLS 프로토콜의 hello handshake 단계 중 레이스 컨디션(Race Condition) 취약점이 발견되었습니다. 공격자가 이를 지속적으로 악용할 경우 DTLS-SRTP 암호화 통화를 차단하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
전화 연결을 암호화하는 과정에서 발생하는 시스템 오류를 이용해 전화 서비스를 마비시키는 공격입니다. 공격자가 이 취약점을 계속 이용하면 새로운 암호화 전화 연결이 불가능해집니다.
🇺🇸 원문 (English)
Asterisk is an open source private branch exchange and telephony toolkit. In Asterisk prior to versions 18.20.1, 20.5.1, and 21.0.1; as well as certified-asterisk prior to 18.9-cert6; Asterisk is susceptible to a DoS due to a race condition in the hello handshake phase of the DTLS protocol when handling DTLS-SRTP for media setup. This attack can be done continuously, thus denying new DTLS-SRTP encrypted calls during the attack. Abuse of this vulnerability may lead to a massive Denial of Service on vulnerable Asterisk servers for calls that rely on DTLS-SRTP. Commit d7d7764cb07c8a1872804321302ef93bf62cba05 contains a fix, which is part of versions 18.20.1, 20.5.1, 21.0.1, amd 18.9-cert6.
📍 영향받는 시스템
Asterisk 18.20.1, 20.5.1, 21.0.1 미만 버전 및 certified-asterisk 18.9-cert6 미만 버전
⚔️ 공격 벡터
DTLS-SRTP 미디어 설정을 위한 DTLS 프로토콜의 hello handshake 단계에서 레이스 컨디션 유발
🛡️ 대응 방법
Asterisk를 최신 보안 패치가 적용된 버전(18.20.1, 20.5.1, 21.0.1 또는 18.9-cert6 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 출력되면 안전하며, 이전 버전이 출력되면 업데이트가 필요합니다.
asterisk -x 'core show version' | grep -E '18\.(20\.[0-9]|2[0-9]\.[0-9])|20\.(5\.[0-9]|6\.[0-9])|21\.(0\.[0-9]|1\.[0-9])'