Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-787

CVE-2026-57189

Asterisk chan_sip sürücüsünde T.140 RED üretim birikimi sınır dışı yazma açığı

asteriskcertified-asterisk

Düşük 2,3 CVSS 4.0
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, telefon santralinizin kimlik doğrulaması yapılmış bir kullanıcı tarafından istismar edilmesine yol açabilir ve bu durumda hizmet kesintisi ya da sistemin ele geçirilmesi söz konusu olabilir. Risk düşük olarak derecelendirilmiş olsa da, etkilenen bir sistemde sürücüyü kullanıyorsanız güncelleme ya da yapılandırma değişikliğini planlamanız önerilir.

ÖzetTürkçe

Asterisk'in chan_sip kanal sürücüsünde, T.140 RED üretim birikimi (generation accumulation) sırasında sınır dışı yazma (out-of-bounds write) hatası bulunmaktadır. Açık, sürücünün kurulu ve yapılandırılmış olması ile textsupport seçeneğinin etkin olması durumunda ortaya çıkar; textsupport varsayılan olarak kapalıdır. Kimliği doğrulanmış bir saldırgan özel hazırlanmış paketlerle bu hatayı tetikleyebilir.

Saldırgan ne yapabilir?

Saldırgan, hazırlanmış paketlerle uzaktan kod çalıştırma elde edebilir veya Asterisk servisini çökertebilir. CVSS 4.0 skoru 2.3 (düşük) olarak belirtilmiştir.

Kaynaktaki açıklama (İngilizce)

Asterisk is an open source private branch exchange and telephony toolkit. In affected deployments, an authenticated attacker may cause a T.140 RED out-of-bounds write during generation accumulation using carefully crafted packets, potentially allowing remote code execution or causing Asterisk to crash. The chan_sip channel driver must be installed and configured, and its textsupport option must be enabled; textsupport defaults to no. The chan_sip driver was deprecated in Asterisk 20 and completely removed in all later versions. Repository comparisons verify patch containment in Asterisk 20.20.1, 21.12.3, 22.10.1 and 23.4.1, and Certified Asterisk 20.7-cert11 and 22.8-cert3. The affected release-track scope remains unresolved: structured metadata includes later release tracks even though the advisory says the required chan_sip driver was removed there.

Ne yapmalı?

  1. Asterisk'i 20.20.1 veya üzeri bir sürüme, Certified Asterisk kullanıyorsanız 20.7-cert11 veya üzeri bir sürüme yükseltin. Üretici
  2. Açıklamada yama kapsamının doğrulandığı belirtilen 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 22.8-cert3 sürümlerini de kullanıyorsanız, bu sürümlerin güncel yamaları içerip içermediğini üreticinin sürüm notlarından kontrol edin. Bu sürümlerin etkilenen kapsamda olup olmadığı açıklamada net değildir. Üretici
  3. Yükseltme yapamıyorsanız, chan_sip sürücüsünü kullanmıyorsanız bu sürücüyü devre dışı bırakın; kullanıyorsanız textsupport seçeneğinin kapalı olduğunu doğrulayın. Genel öneri
  4. chan_sip sürücüsü Asterisk 20'de kullanımdan kaldırılmış ve sonraki sürümlerde tamamen kaldırılmıştır. Uzun vadede bu sürücüyü kullanan çağrı yapılandırmalarını desteklenen bir sürücüye taşıyın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
asterisk < 20.20.1 20.20.1
certified-asterisk < 20.7-cert11 20.7-cert11

Kaynaklar17 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.