CVE-2017-17090
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Asterisk 的 `chan_skinny.c` 模块存在内存处理缺陷。
💥 **后果**：攻击者发送大量请求，导致**虚拟内存耗尽**，引发**拒绝服务 (DoS)**，系统瘫痪。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：`chan_skinny.c` 文件逻辑漏洞。
📉 **CWE**：数据未提供具体 CWE ID，但核心是**资源耗尽型**缺陷。
Q3影响谁？（版本/组件）
📦 **受影响产品**：Digium Asterisk Open Source & Certified Asterisk。
📅 **版本**：**13.18.2 及之前**版本。
Q4黑客能干啥？（权限/数据）
🛑 **黑客能力**：仅限 **DoS (拒绝服务)**。
🚫 **无权限提升**：无法直接获取数据或控制权限，主要目的是让服务不可用。
Q5利用门槛高吗？（认证/配置）
📶 **利用门槛**：中等。
⚙️ **条件**：需能向目标发送大量 Skinny 协议请求。无需高级认证，但需网络可达。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：数据中 **pocs 为空**。
🌍 **在野利用**：未提及具体在野利用案例，但已有安全公告确认。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查服务器是否运行 **Asterisk 13.18.2 及以下版本**。
📂 **关键文件**：确认 `chan_skinny.c` 模块是否存在且未打补丁。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：是。
📢 **来源**：Digium 官方安全公告 (AST-2017-013) 及 Debian LTS 更新已发布补丁。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法立即升级，建议**禁用 Skinny 协议 (SCCP)** 或限制相关端口访问。
🚫 **最小化攻击面**：关闭不必要的 SIP/SCCP 服务。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。
📉 **理由**：DoS 攻击极易实施，直接导致业务中断。建议**立即升级**至安全版本。