- Yama var
- Son 7 gün
- CWE-120
- CWE-787
CVE-2026-57191
Asterisk MWI NOTIFY Message-Account ayrıştırmasında yığın tampon taşması
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, internete ya da telefon ağına erişebilen bir saldırganın santral hizmetlerini tamamen durdurmasına olanak tanır. Telefon ve iletişim hizmetlerinin kesintisi iş sürekliliğini doğrudan etkileyebilir. Yamanın hızla uygulanması önerilir.
ÖzetTürkçe
Asterisk, açık kaynaklı bir özel santral ve telefoni araç takımıdır. res_pjsip_pubsub modülünde MWI NOTIFY isteğinin Message-Account alanı ayrıştırılırken sınırsız bir sscanf çağrısı kullanılmaktadır. Bu nedenle sürüm 20.20.1, 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 20.7-cert11, 22.8-cert3 öncesi sürümler etkilenmektedir.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmadan gönderilen özel hazırlanmış bir paket yığın tampon taşmasına yol açabilir; taşma taşıma katmanını bozarak tüm SIP işlevselliğini kalıcı olarak devre dışı bırakabilir. Tam işlevselliğin geri gelmesi için Asterisk'in yeniden başlatılması gerekir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an unbounded sscanf in res_pjsip_pubsub when parsing the MWI NOTIFY Message-Account field may allow an unauthenticated attacker to send a carefully crafted packet that causes a stack buffer overflow and corrupts the underlying transport, permanently disabling all SIP functionality. An Asterisk restart is required to restore full operation. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Ne yapmalı?
- Asterisk'i 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümlerinden birine, Certified Asterisk kullanıyorsanız 20.7-cert11 veya 22.8-cert3 sürümüne yükseltin. Üretici
- Güncellemeden sonra Asterisk hizmetini yeniden başlatarak düzeltmenin etkin olduğunu doğrulayın. Genel öneri
- Yama uygulanana kadar SIP trafiğini yalnızca güvenilir ağ adreslerinden kabul edecek şekilde erişimi kısıtlayın. Genel öneri
Ek önlemler
- SIP portlarına (genellikle 5060) internetten gelen erişimi güvenlik duvarı ile sınırlayın. Genel öneri
- Asterisk hizmetinin beklenmedik şekilde durmasını ve yeniden başlatmaları izleyen bir uyarı mekanizması kurun. Genel öneri
- Asterisk günlüklerinde olağandışı veya bozuk SIP MWI NOTIFY isteklerini düzenli olarak inceleyin. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-589g-qgf8-m6mx Diğer
- github.com/…ommit/0e89514084490070c5ecee419ec5ee37b7c49528 Diğer
- github.com/…ommit/647b35c3cfd4a2cc3b1fb7560b085feba5c24b4b Diğer
- github.com/…ommit/7a1ffcdf38cc76d1c4eae51651667f3fd4548ab0 Diğer
- github.com/…ommit/b4be3bd67ce4ac35b94fbfa860cdd9e1c906610b Diğer
- github.com/…ommit/b5281828dad7d44658439ba6393fe6be3328a4bd Diğer
- github.com/…ommit/dca516f6d895e8867d48fa56b6ce7f05b6f7457a Diğer
- github.com/…ommit/ee1b66a5e40733ba0b9fad7fc4d032cabbe1dd75 Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.