Разработчики устранили критические уязвимости во фреймворке Asterisk

Разработчики устранили критические уязвимости во фреймворке Asterisk

Разработчики устранили критические уязвимости во фреймворке Asterisk

Обновления для компьютерной телефонии Asterisk, выпущенные в пятницу, устраняют три критические уязвимости, способные вызвать отказ в обслуживании (DoS). Asterisk, свободное решение компьютерной телефонии (в том числе, VoIP) с открытым исходным кодом, используется правительственными агентствами, операторами связи и другими компаниями.

В апреле эксперт Сандро Гаучи (Sandro Gauci) обнаружил в платформе три потенциально серьезных уязвимости, которые могут быть использованы для выведения системы из строя. Для каждой бреши разработчики Asterisk выпустили отдельные официальные сообщения, описывающие их.

Уязвимости затрагивают все версии Asterisk 13, 14 и Certified Asterisk 13.13. А были устранены с выпуском версий 13.15.1, 14.4.1 и 13.13-cert4.

Одна из этих дыр может быть использована злоумышленником, путем отправки специально созданного пакета Signalling Connection Control Part (SCCP), что заставит Asterisk исчерпать всю доступную память. Удаление или отключение поддержки протокола SCCP предотвратит подобные атаки.

«Уязвимость может быть использована отправкой пакета SCCP в систему Asterisk с включенным параметром chan_skinny, который больше, чем длина заголовка SCCP, но меньше, чем длина пакета, указанная в заголовке» - сообщают разработчики Asterisk в своем заявлении.

Две другие уязвимости, обнаруженные Гаучи, затрагивают PJSIP, библиотеку мультимедийных сообщений с открытым исходным кодом, которая реализует протокол SIP (Session Initiation Protocol). Бреши могут быть использованы удаленно с помощью отправки специально созданных пакетов SIP, чтобы вызвать сбой в работе системы.

МВД: данные 15 тысяч россиян из Глаза Бога позже использовали мошенники

После закрытия Telegram-бота «Глаз Бога» правоохранители получили доступ к его последним данным и обнаружили закономерность. Как рассказал на ПМЭФ заместитель главы МВД Андрей Храпов, только за один месяц через сервис собирали информацию о 15 тысячах человек, которые впоследствии стали жертвами мошенников.

Общий ущерб по этим эпизодам составил около 13 млрд рублей. По словам Храпова, после ликвидации бота в январе 2025 года удалось проанализировать массив данных, которым пользовались клиенты сервиса.

Выяснилось, что всего за один месяц через «Глаз Бога» была продана информация примерно о миллионе человек.

Причём речь шла не просто о номере телефона или адресе электронной почты. Покупатели получали целые цифровые досье: сведения о банковских картах, используемых маркетплейсах, пунктах выдачи заказов, поездках, авиаперелётах, номерах телефонов и других аспектах повседневной жизни.

Как отметил представитель МВД, для мошенников такая информация становится идеальной подготовкой к атаке.

«Люди, готовясь к атаке, недорого покупают все данные о человеке: в каких банках у него открыты счета, какие у него есть телефоны, с кем и куда он летал, когда перемещался, какими маркетплейсами пользуется, где ближайший пункт выдачи», — пояснил Храпов.

По сути, злоумышленникам больше не нужно долго собирать информацию по крупицам. Достаточно купить готовую подборку данных и использовать её для убедительных звонков, сообщений и других схем социальной инженерии.

История с «Глазом Бога» в очередной раз показывает, почему утечки данных остаются одной из главных проблем цифровой безопасности. Когда мошенник знает, где вы заказываете товары, какими банками пользуетесь и куда недавно летали, придумать правдоподобную легенду для обмана становится гораздо проще.

А судя по цифрам МВД, спрос на такие сведения был более чем серьёзным: за месяц через сервис прошли данные около миллиона человек.

RSS: Новости на портале Anti-Malware.ru