CVE-2026-57196
Təsvir
Asterisk açıq mənbəli daxili telefon mübadiləsi və telefoniya alətlər dəstidir. Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 və Certified Asterisk 20.7-cert11, 22.8-cert3 versiyalarından əvvəl, autentifikasiya olunmamış hücumçu, `res_phoneprov` aktiv olduqda, `phone provisioning HTTP error pages` hissəsindəki reflektiv saytlararası skriptinqdən (XSS) istifadə edərək avtorizasiya olunmuş istifadəçinin `AMI session cookie`-sini əldə edə və həmin istifadəçi kimi çıxış edə bilər. Asterisk HTTP veb serveri, Asterisk Manager Interface (AMI) və HTTP vasitəsilə AMI girişinin hamısı aktiv olmalıdır; bunların hər biri standart olaraq deaktivdir. Hücumçu, aktiv olsa belə standart olaraq yalnız `127.0.0.1` ünvanına bağlanan HTTP serverinə qoşula bilməli və avtorizasiya olunmuş istifadəçini zərərli linkə klikləməyə razı salmalıdır. Bu problem Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 və Certified Asterisk 20.7-cert11, 22.8-cert3 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| asterisk asterisk | < 20.20.1, >= 21.0.0-pre1, < 21.12.3, >= 22.0.0-pre1, < 22.10.1, >= 23.0.0-pre1, < 23.4.1 | — |
| asterisk certified-asterisk | < 20.7-cert11, >= 22.8-cert1-pre1, < 22.8-cert3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.