CVE-2026-57196
Açıklama
Asterisk, açık kaynaklı bir özel santral ve telefon kiti setidir. Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 20.7-cert11, 22.8-cert3 sürümlerinden önce, kimliği doğrulanmamış bir saldırgan, `res_phoneprov` etkin olduğunda `phone provisioning HTTP error pages` kısmındaki yansıtılmış siteler arası betik çalıştırma (XSS) açığını kullanarak yetkili bir kullanıcının `AMI session cookie` bilgisini ele geçirebilir ve bu kullanıcı taklidi yapabilir. Asterisk HTTP web sunucusunun, Asterisk Manager Interface (AMI) ve HTTP üzerinden AMI erişiminin tamamının etkinleştirilmiş olması gerekir; bunların her biri varsayılan olarak devre dışıdır. Saldırganın, etkinleştirildiğinde bile varsayılan olarak yalnızca `127.0.0.1` adresine bağlanan HTTP sunucusuna bağlanabilmesi ve yetkili kullanıcıyı kötü amaçlı bir bağlantıya tıklamaya ikna etmesi gerekir. Bu sorun Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 20.7-cert11, 22.8-cert3 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| asterisk asterisk | < 20.20.1, >= 21.0.0-pre1, < 21.12.3, >= 22.0.0-pre1, < 22.10.1, >= 23.0.0-pre1, < 23.4.1 | — |
| asterisk certified-asterisk | < 20.7-cert11, >= 22.8-cert1-pre1, < 22.8-cert3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.