- Yama var
- Son 7 gün
- CWE-125
- CWE-131
- CWE-787
CVE-2026-57192
Asterisk Codec2 çözücüsünde örnek sayısı uyuşmazlığı nedeniyle heap taşması
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, telefon santralinizin kimlik doğrulaması yapılmış bir kullanıcı tarafından hizmet dışı bırakılmasına yol açabilir. Açığın etkisi esas olarak santralin çalışmasının kesintiye uğramasıdır. Düzeltilmiş sürümlere geçiş, iletişim sürekliliğiniz için kısa vadede planlanmalıdır.
ÖzetTürkçe
Asterisk, açık kaynaklı bir özel santral ve telefoni araç takımıdır. 20.20.1, 21.12.3, 22.10.1 ve 23.4.1 öncesi sürümler ile Certified Asterisk 20.7-cert11 ve 22.8-cert3 öncesi sürümler etkilenir. Codec2 çözücüsündeki floor/ceil örnek sayısı uyuşmazlığı, sınır dışı yazmaya ve heap taşmasına yol açar. Saldırganın SIP kimlik doğrulamasını parola veya kaynak IP eşleşmesiyle geçmesi gerekir; ayrıca codec_codec2 modülü yüklü ve ilgili uç noktada Codec2 yapılandırılmış olmalıdır.
Saldırgan ne yapabilir?
Saldırgan, Codec2 ile kurduğu bir çağrıda özel hazırlanmış ses paketleri göndererek bellek bozulması oluşturabilir ve Asterisk sürecini çökertip hizmeti kesintiye uğratabilir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an authenticated attacker may cause a heap buffer overflow through an out-of-bounds write in the Codec2 decoder caused by a floor/ceil sample-count mismatch. The codec_codec2 module must be loaded and Codec2 must be configured on the attacked endpoint. The attacker must pass SIP authentication by username/password or source IP address matching, establish a call using Codec2, and send carefully crafted Codec2 audio packets. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Ne yapmalı?
- Asterisk sürümünü 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümlerinden birine, Certified Asterisk sürümünü ise 20.7-cert11 veya 22.8-cert3 sürümüne yükseltin. Üretici
- Yükseltme yapılamıyorsa ve Codec2 kullanılmıyorsa codec_codec2 modülünü devre dışı bırakın. Genel öneri
- Yükseltme sonrasında santral sürümünü doğrulayın ve Codec2 üzerinden çağrıların normal çalıştığını test edin. Genel öneri
Ek önlemler
- SIP hesaplarında güçlü parolalar kullanın ve mümkün olduğunda erişimi bilinen kaynak IP adresleriyle sınırlayın. Genel öneri
- Codec2 ile yapılan çağrılarda beklenmedik çökme, yeniden başlama veya olağandışı ses paketi kayıtlarını izleyin. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-qf8j-jp7h-c5hx Diğer
- github.com/…ommit/02e2d8d51efe1f811f2929224339cb1a35ffc079 Diğer
- github.com/…ommit/4f5cad0611c67638a0a61cfedbe645045da8dd56 Diğer
- github.com/…ommit/9b085d48fb66e90a0740ea59e26840421fd07acb Diğer
- github.com/…ommit/a0bc717b2261f4df7cdecc22b58a5fffbd1aa398 Diğer
- github.com/…ommit/a2f1cc611f7d0f21faa03e8535009df3041c434c Diğer
- github.com/…ommit/aa40bc599a8e628859ef1c4fc944261423ceac0d Diğer
- github.com/…ommit/d4ccfd55ffd7cf6d73a6e5cde347a7464c301006 Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.