CVE-2024-42365
Təsvir
Asterisk açıq mənbəli daxili telefon mübadilə sistemi (PBX) və telefoniya alətləri dəstidir. Asterisk versiyaları 18.24.2, 20.9.2, 21.4.2-dən və certified-asterisk versiyaları 18.9-cert11 və 20.7-cert2-dən əvvəlki versiyalarda, `write=originate` hüququna malik olan bir AMI istifadəçisi `/etc/asterisk/` kataloqundakı bütün konfiqurasiya fayllarını dəyişdirə bilər. Bu, onların uzaqdakı faylları curl vasitəsilə yükləyib diskə yaza bilməsi, həmçinin `SET` tətbiqi daxilində `FILE` funksiyasından istifadə edərək mövcud fayllara məlumat əlavə edə bilməsi səbəbindən baş verir. Bu problem imtiyazların yüksəldilməsi, uzaqdan kodun icrası və/və ya ixtiyari protokolla kor server tərəfli sorğu saxtakarlığına (blind SSRF) səbəb ola bilər. Asterisk versiyaları 18.24.2, 20.9.2, 21.4.2 və certified-asterisk versiyaları 18.9-cert11 və 20.7-cert2 bu problemin həllini ehtiva edir.
Necə düzəltmək olar
- asterisk asterisk18.24.2, 20.9.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| asterisk asterisk | v < 18.24.2, 19.0.0 ≤ v < 20.9.1, 21.4.0 | 18.24.2, 20.9.1 |
| asterisk certified_asterisk | 13.13.0, 16.8, 16.8.0, 18.9, 20.7 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.