- Yama var
- Son 7 gün
- CWE-787
CVE-2026-57188
Asterisk res_xmpp: XMPP ad alanı öneki işlenirken yığın taşması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, telefon santralinizin hizmet dışı kalmasına yol açabilecek ciddi bir risk taşır ve hızlı işlem gerektirir. Yalnızca XMPP özelliği kullanılan ve hesabı olan kişilerin istismar edebileceği bir durumdur. Sürüm güncellemesi en kısa sürede planlanmalıdır.
ÖzetTürkçe
Asterisk ve Certified Asterisk'teki res_xmpp modülü, XMPP ad alanı önekini işlerken yığın taşmasına (stack buffer overflow, CWE-787) yol açan bir hata içermektedir. Sorun, res_xmpp modülünün yüklü olduğu ve xmpp.conf dosyasında XMPP bağlantısı tanımlanmış sistemleri etkiler. Saldırganın kimliğinin doğrulanmış olması ve aynı veya federe bir sunucuda XMPP hesabına sahip olması gerekir.
Saldırgan ne yapabilir?
Kimliği doğrulanmış bir saldırgan, özenle hazırlanmış paketlerle servisin çökmesine ve hizmet dışı kalmasına neden olabilir. Veri gizliliği ve bütünlüğü üzerinde doğrudan bir etki belirtilmemiştir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an authenticated attacker may cause a stack buffer overflow in res_xmpp XMPP namespace prefix handling using carefully crafted packets. The res_xmpp module must be loaded, an XMPP connection must be configured in xmpp.conf, and the attacker must have an XMPP account on the same or a federated server. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Ne yapmalı?
- Asterisk'i 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümlerinden birine, Certified Asterisk'i ise 20.7-cert11 veya 22.8-cert3 sürümüne yükseltin. Üretici
- Güncellemeden sonra servisi yeniden başlatın ve kurulu sürümün doğru olduğunu doğrulayın. Genel öneri
- Hemen güncelleme yapılamıyorsa, XMPP bağlantısına ihtiyaç duyulmayan durumlarda res_xmpp modülünü devre dışı bırakın veya xmpp.conf dosyasındaki XMPP bağlantı tanımlarını kaldırın. Genel öneri
Ek önlemler
- XMPP hesaplarını gözden geçirin ve yalnızca güvenilen kullanıcılara ve federasyon sunucularına erişim izni verin. Genel öneri
- Asterisk günlüklerinde XMPP ile ilgili beklenmeyen çökme veya yeniden başlatmaları izleyin. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-mxgm-8c6f-5p8f Diğer
- github.com/…ommit/12072a559f592736a44dd9fbe1594e84714edfb4 Diğer
- github.com/…ommit/1328dbb503da4aa11a480a9c28e170f17e5f4e84 Diğer
- github.com/…ommit/3c4b08cf94eeaa3faefb3ae6c2d6ce1bd9747a13 Diğer
- github.com/…ommit/433102c16b8edfc31d28c96166fef03fe72fb923 Diğer
- github.com/…ommit/5e626250628b2579530f3f17e7b0aa37d082873b Diğer
- github.com/…ommit/d570a85e45153a36919ace5d0ab06a195b30f9d1 Diğer
- github.com/…ommit/e329a6803ac5214028f98cc5f0b7167d66e32c08 Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.