- Yama var
- Son 7 gün
- CWE-126
- CWE-170
CVE-2026-57185
Asterisk PJSIP MWI gövde ayrıştırıcısında arabellek okuma taşması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, şirketin telefon santrali hizmetinin kesintiye uğramasına neden olabilir ve iş sürekliliği açısından risk oluşturur. Saldırının kimlik doğrulama gerektirmesi riski sınırlasa da güncelleme kısa sürede yapılmalıdır. Telefon altyapısını yöneten ekiplerin bu konuda hızlıca koordinasyon sağlaması önerilir.
ÖzetTürkçe
Asterisk'in PJSIP MWI gövde ayrıştırıcısında (body parser), arabellek sınırları dışında okuma yapılmasına yol açan bir hata bulunmaktadır. Kimlik doğrulaması yapmış bir saldırgan, özel hazırlanmış bir SIP NOTIFY isteği göndererek Asterisk'i çökertebilir. Saldırının gerçekleşmesi için saldırganın kullanıcı adı ve parola ile veya kaynak IP adresi eşleşmesiyle SIP kimlik doğrulamasını geçmesi gerekir. Etkilenen sürümler, düzeltmeleri içeren sürümlerden önceki Asterisk ve Certified Asterisk sürümleridir.
Saldırgan ne yapabilir?
Saldırgan Asterisk servisini çökertebilir ve telefon hizmetlerinin kesintiye uğramasına neden olabilir. Açıklamada veri gizliliği veya bütünlüğüne doğrudan bir etki belirtilmemiştir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an authenticated attacker may crash Asterisk through a buffer over-read in the PJSIP MWI body parser by sending a carefully crafted SIP NOTIFY request. The attacker must pass SIP authentication using either a username/password or source IP address matching. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Ne yapmalı?
- Asterisk kullandığınız dal için belirtilen düzeltilmiş sürüme yükseltin: 20.20.1, 21.12.3, 22.10.1 veya 23.4.1. Üretici
- Certified Asterisk kullanıyorsanız 20.7-cert11 veya 22.8-cert3 sürümüne yükseltin. Üretici
- Güncelleme yapılana kadar SIP hizmetine erişimi yalnızca güvendiğiniz ağ adresleriyle sınırlandırın. Genel öneri
Ek önlemler
- SIP kullanıcı hesaplarında güçlü parolalar kullanın ve kullanılmayan hesapları kaldırın. Genel öneri
- Asterisk günlüklerinde NOTIFY isteklerindeki olağandışı artışları ve beklenmeyen servis yeniden başlatmalarını izleyin. Genel öneri
- Kaynak IP adresi eşleşmesine dayanan kimlik doğrulama yapılandırmalarını gözden geçirin. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-8jw3-ccr9-xrmf Diğer
- github.com/…ommit/07aec894a1fdfa7fa989d3ab40fdf0dcda8005bb Diğer
- github.com/…ommit/1039bed76fa3248f58b6880e4b3f1421ef98b01f Diğer
- github.com/…ommit/1b2d99d8eb9206d37fd47115996f67fd28bd056f Diğer
- github.com/…ommit/3100a0d331affbf0995b8c57aaddb31cf3971f6e Diğer
- github.com/…ommit/57ce484a45b098de417f19265c95c64497782e36 Diğer
- github.com/…ommit/919f2ffda03329c9014bedcb3c7789d38660c9ed Diğer
- github.com/…ommit/dafff9fb60281817225f1ce6371a5aa2fbb967a4 Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.