CVE:CVE-2008-1390
CNNVD:CNNVD-200803-366
Asterisk是开放源码的软件PBX，支持各种VoIP协议和设备。
Asterisk计算管理器ID的方式存在错误，允许攻击者相对容易的预测很多HTTP查询所使用的管理器ID。
会话id是在AsteriskGUI HTTP服务器中生成的。当使用Glibc时，rand()和random()的实现和状态是共享的。Asterisk使用random()发布MD5 digest认证挑战并用malloc的指针rand()位或运算以生成AsteriskGUI会话标识符。攻击者可以通过检索32个连续的挑战同步到random()，然后预测所有之后对random()和rand()调用的输出。由于malloc所返回的指针最多有21位的熵，因此攻击者仅需平均猜测1448个会话标识符就可以窃取已创建的会话。
solution:Upgrade asterisk asterisk to a higher version than 1.4.1,1.4.2,1.4.3,1.4.4,1.4.5,1.4.6,1.4.7,1.4.8,1.4.9,1.4.10,1.4.11,1.4.12,1.4.13,1.4.14,1.4.15,1.4.16,1.4.17,1.4.18.1,1.4_beta,1.4_revision_95946,1.6,and avoid the version 1.4.1,1.4.2,1.4.3,1.4.4,1.4.5,1.4.6,1.4.7,1.4.8,1.4.9,1.4.10,1.4.11,1.4.12,1.4.13,1.4.14,1.4.15,1.4.16,1.4.17,1.4.18.1,1.4_beta,1.4_revision_95946,1.6; Upgrade asterisk asterisk_appliance_developer_kit to a higher version than 0.2,0.3,0.4,0.5,0.6,0.7,0.8,1.4,and avoid the version 0.2,0.3,0.4,0.5,0.6,0.7,0.8,1.4; Upgrade asterisk asterisk_business_edition to a higher version than c.1.0-beta7,c.1.0-beta8,and avoid the version c.1.0-beta7,c.1.0-beta8; Upgrade asterisk asterisknow to a higher version than 1.0,beta_5,beta_6,beta_7,and avoid the version 1.0,beta_5,beta_6,beta_7; Upgrade asterisk s800i to a higher version than 1.0,1.0.1,1.0.2,1.0.3,1.1.0,and avoid the version 1.0,1.0.1,1.0.2,1.0.3,1.1.0