CVE-2024-42365
Açıklama
Asterisk, açık kaynaklı bir özel santral (PBX) ve telefon kiti setidir. Asterisk versiyonları 18.24.2, 20.9.2 ve 21.4.2 ile certified-asterisk versiyonları 18.9-cert11 ve 20.7-cert2 öncesinde, `write=originate` yetkisine sahip bir AMI kullanıcısı `/etc/asterisk/` dizinindeki tüm yapılandırma dosyalarını değiştirebilir. Bu durum, uzak dosyaları curl ile çekip diske yazabilmelerinden ve aynı zamanda `SET` uygulaması içindeki `FILE` fonksiyonunu kullanarak mevcut dosyalara ekleme yapabilmelerinden kaynaklanmaktadır. Bu sorun; yetki yükseltme, uzaktan kod çalıştırma ve/veya rastgele protokollerle kör sunucu taraflı istek sahteciliği (blind SSRF) ile sonuçlanabilir. Asterisk versiyonları 18.24.2, 20.9.2 ve 21.4.2 ile certified-asterisk versiyonları 18.9-cert11 ve 20.7-cert2 bu sorun için bir düzeltme içermektedir.
Nasıl düzeltilir
- asterisk asterisk18.24.2, 20.9.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| asterisk asterisk | v < 18.24.2, 19.0.0 ≤ v < 20.9.1, 21.4.0 | 18.24.2, 20.9.1 |
| asterisk certified_asterisk | 13.13.0, 16.8, 16.8.0, 18.9, 20.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.