其他
速修复！开源通信框架 FreeSWITCH 受严重漏洞影响
编译：代码卫士
CVE-2023-51443的CVSS评分为7.5，导致 FreeSWITCH 在用于媒体设置的SRTP中 DTLS 协议的握手阶段易受拒绝服务攻击。该漏洞由条件竞争引发，可导致持续攻击，中断新的DTLS-SRTP 加密通话。
该漏洞由 Enable Security 公司的安全研究员发现，位于 DTLS ClientHello 消息的处理过程中。当含有不合法 CipherSuite 的 ClientHello 消息被发送给 FreeSWITCH 时，会导致DTLS错误，进而使媒体会话和随后的SIP信号层被中断。该漏洞存在于 FreeSWITCH 1.10.10中。
安全公告指出，“处理媒体设置的 DTLS-SRTP 时，因 DTLS 协议的 hello 握手阶段中存在条件竞争，导致 FreeSWITCH 易受拒绝服务攻击。该攻击可持续进行，可在攻击中拒绝新的 DTLS-SRTP 加密通话。”
该漏洞可造成重大影响，导致依赖于 DTLS-SRTP 进行通话的服务器遭受大规模的拒绝服务攻击。1.10.10及以下版本均受影响。强烈建议用户升级至1.10.11或后续版本。新版本中包含的修复方案释放来自未验证地址的数据包，增强了 FreeSWITCH 对 expoloit 的弹性。
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。