Cisco CallManager 和OpenSER消息非授权呼叫漏洞

来源：绿盟科技时间：2007-10-17 08:10:08

受影响系统：
Cisco Call Manger 5.1.1.3000-5
OpenSER OpenSER 1.2.2

描述：

BUGTRAQ ID: 26057

Cisco CallManager和OpenSER都是常用的网络IP电话解决方案。

Cisco CallManager和OpenSER没有检查用户在Digest认证头中所提供的URI是否与消息的REQUEST-URI一致，这允许恶意用户从正常用户嗅探Digest认证，然后代表该用户呼叫任意扩展。

厂商补丁：

Cisco

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.cisco.com/warp/public/707/advisory.html

OpenSER

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.openser.org/index.php?option=com_frontpage&Itemid=1