Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-57190

Asterisk cel_pgsql ve cel_tds modüllerinde CELGenUserEvent eventtype alanı üzerinden SQL enjeksiyonu

asteriskcertified-asterisk

Yüksek 7,0 CVSS 4.0
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, telefon santrali yazılımında kayıt tutan bir veritabanı bileşenini etkiler ve saldırganların veritabanı içeriğine yetkisiz erişmesine yol açabilir. Kişisel veya iş verilerinin sızması ya da bozulması riski taşıdığı için öncelikli olarak güncelleme yapılması önerilir. Yapılandırmada ilgili modüllerin kullanılıp kullanılmadığını hemen kontrol etmek gerekir.

ÖzetTürkçe

Asterisk'in PostgreSQL ve TDS/MSSQL Kanal Olay Günlüğü (CEL) arka uçları olan cel_pgsql ve cel_tds modüllerinde bir SQL enjeksiyonu zafiyeti bulunmaktadır. Sorun, CELGenUserEvent dialplan uygulamasına güvenilmeyen verilerin eventtype alanı olarak aktarılması durumunda ortaya çıkar. Zafiyet, ilgili arka ucun yüklenmiş ve yapılandırılmış olmasını ve yöneticinin bu uygulamayı çağırırken girdiyi doğrulamamasını gerektirir. Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 20.7-cert11, 22.8-cert3 öncesi sürümler etkilenmektedir.

Saldırgan ne yapabilir?

Başarılı bir saldırı, veritabanı üzerinde keyfi SQL sorguları çalıştırılmasına olanak tanıyabilir. Bu durum, CEL verilerinin ve veritabanındaki diğer kayıtların okunmasına veya değiştirilmesine yol açabilir; hizmet kesintisi de ortaya çıkabilir.

Kaynaktaki açıklama (İngilizce)

Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, the PostgreSQL and TDS/MSSQL Channel Event Log backends cel_pgsql and cel_tds may permit arbitrary SQL execution when untrusted data is set in the CEL eventtype column by the CELGenUserEvent dialplan application. The cel_pgsql or cel_tds backend must be loaded and configured, and the administrator must call CELGenUserEvent in the dialplan without ensuring that only valid data is passed to the application. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.

Ne yapmalı?

  1. Asterisk'i 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümlerinden birine; Certified Asterisk kullanıyorsanız 20.7-cert11 veya 22.8-cert3 sürümüne yükseltin. Üretici
  2. Güncelleme yapılana kadar cel_pgsql ve cel_tds modüllerinin kullanılmadığından emin olun; kullanılmıyorlarsa ilgili modülleri devre dışı bırakın. Genel öneri
  3. Dialplan'da CELGenUserEvent çağrılarını gözden geçirin ve eventtype değerine dışarıdan gelen verilerin doğrudan aktarılmadığından emin olun; değerleri sabit veya doğrulanmış değerlerle sınırlandırın. Genel öneri

Ek önlemler

  • Veritabanı kullanıcısına yalnızca gerekli izinleri verin ve CEL tablosu dışındaki tablolara erişimi kısıtlayın. Genel öneri
  • Veritabanı sorgu günlüklerini ve beklenmeyen CEL kayıtlarını düzenli olarak izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
asterisk < 20.20.1 20.20.1
certified-asterisk < 20.7-cert11 20.7-cert11

Kaynaklar17 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.