Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en AsteriskGUI HTTP en Asterisk Open Source 1.4.x antes de 1.4.19-rc3 y 1.6.x antes de 1.6.0-beta6, Business Edition C.x.x antes de C.1.6, AsteriskNOW antes de 1.0.2, Appliance Developer Kit antes de la revisión 104704 y s800i 1.0.x antes de 1.1.0.2 (CVE-2008-1390)

Gravedad CVSS v2.0:
ALTA
Tipo:
CWE-255 Gestión de credenciales
Fecha de publicación:
24/03/2008
Última modificación:
09/04/2025

Descripción

El servidor AsteriskGUI HTTP en Asterisk Open Source 1.4.x antes de 1.4.19-rc3 y 1.6.x antes de 1.6.0-beta6, Business Edition C.x.x antes de C.1.6, AsteriskNOW antes de 1.0.2, Appliance Developer Kit antes de la revisión 104704 y s800i 1.0.x antes de 1.1.0.2 genera valores ID de gestión no lo suficientemente aleatorios, lo que facilita a atacantes remotos secuestrar una sesión de gestión a través de una serie de adivinaciones de ID.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:asterisk:asterisk:1.4.1:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.2:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.3:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.4:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.5:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.6:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.7:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.8:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.9:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.10:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.11:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.12:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.13:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.14:*:*:*:*:*:*:*
cpe:2.3:a:asterisk:asterisk:1.4.15:*:*:*:*:*:*:*