- Son 7 gün
- CWE-839
CVE-2026-57186
Asterisk chan_ooh323 Q.931 numara ayrıştırıcısında çökme (DoS) açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, telefon santrali yazılımında hizmet kesintisine yol açabilecek bir zafiyettir ve kimlik doğrulama gerektirmeden uzaktan tetiklenebilir. Yalnızca özel olarak kurulmuş ve dışarıya açık bir H.323 kanal sürücüsü kullanan sistemler etkilenir, ancak etkilenen kurumlarda telefon hizmetinin kesilmesi iş sürekliliği açısından önemli bir risk oluşturur. Bu nedenle, kullanılan sistemlerin etkilenip etkilenmediğinin hızla kontrol edilmesi ve güncelleme yapılması önerilir.
ÖzetTürkçe
Asterisk'in chan_ooh323 eklenti kanal sürücüsündeki Q.931 taraf numarası ayrıştırıcısında, daha önce CVE-2022-37325 için yapılan düzeltme sonraki sürümlere taşınmamıştır. 21.0.0-pre1 ile belirtilen düzeltmeli sürümler arasındaki Asterisk ve Certified Asterisk sürümleri etkilenmektedir. Bu sürücü varsayılan olarak derlenip kurulmadığı için yalnızca chan_ooh323 modülü açıkça kurulmuş ve portu dışarıdan erişilebilir olan sistemler risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, hazırlanmış bozuk Q.931 öğeleri içeren OOH323 istekleri göndererek Asterisk'in çökmesine ve hizmet dışı kalmasına neden olabilir. Veri gizliliği veya bütünlüğü üzerinde bir etki beklenmemektedir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. From 21.0.0-pre1 until Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, the chan_ooh323 Q.931 party-number parser lacks the CVE-2022-37325 fix because that fix was never forward-ported from Asterisk 20 to later versions. Malformed Q.931 elements in an OOH323 request can therefore crash Asterisk. This issue affects Asterisk versions greater than 20. The chan_ooh323 addon channel driver must be explicitly compiled and installed, which is not the default, and its port must be publicly reachable. This issue is fixed in Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.
Ne yapmalı?
- Asterisk'i 21.12.3, 22.10.1 veya 23.4.1 sürümlerine, Certified Asterisk kullanıyorsanız 22.8-cert3 sürümüne yükseltin. Genel öneri
- chan_ooh323 modülünün gerekli olup olmadığını kontrol edin; kullanılmıyorsa modülü devre dışı bırakın veya kaldırın. Genel öneri
- Güncelleme yapılana kadar H.323/OOH323 portuna gelen trafiği güvenlik duvarı ile dış ağlardan engelleyin. Genel öneri
Ek önlemler
- Asterisk sunucusunun hangi kanal sürücülerini yüklediğini düzenli olarak envanterleyin. Genel öneri
- Beklenmeyen Asterisk çökmelerini ve yeniden başlatmalarını izleyip kayıtları inceleyin. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | Sürüm belirtilmemiş | – |
| certified-asterisk | Sürüm belirtilmemiş | – |
Kaynaklar13 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-h5hv-jmgj-92q2 Diğer
- github.com/…ommit/07b9740cbc371ffa7936cf368089fd073250ea7c Diğer
- github.com/…ommit/0e776a837106d5d0d14503a53388337931045164 Diğer
- github.com/…ommit/42d3552d2ac0efbb68c9ec7ade898b6de0bfa033 Diğer
- github.com/…ommit/46c6c652d1de9bfbb061fab0b1f681cf60660998 Diğer
- github.com/…ommit/62a7a7037b1a145cabf95895b119cbae4d3c5a4f Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.