- Yama var
- Son 7 gün
- CWE-476
CVE-2026-57195
Asterisk HTTP AMI Digest kimlik doğrulamasında NULL işaretçi dereferansı (çökme)
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, telefon santralinizin beklenmedik şekilde durmasına ve iletişimin kesilmesine neden olabilir. Saldırının koşulları sınırlı olsa da, uygulanabilir bir güvenlik güncellemesi mevcuttur. Bu nedenle güncellemenin hızlı biçimde planlanması önerilir.
ÖzetTürkçe
Asterisk'in AMI arayüzünde, HTTP üzerinden Digest kimlik doğrulaması kullanıldığında NULL işaretçi dereferansı hatası bulunmaktadır. Saldırgan kimlik doğrulaması yapmadan bu hatayı tetikleyerek Asterisk servisini çökertebilir. Etkilenen sürümler 20.20.1, 21.12.3, 22.10.1 ve 23.4.1 öncesi Asterisk ile Certified Asterisk 20.7-cert11 ve 22.8-cert3 öncesi sürümlerdir. Sorun yalnızca HTTP sunucusu, AMI ve HTTP üzerinden AMI erişimi birlikte etkinleştirildiğinde ortaya çıkar; bu özellikler varsayılan olarak kapalıdır.
Saldırgan ne yapabilir?
Başarılı bir saldırı, Asterisk servisinin çökmesine ve telefon hizmetlerinin kesintiye uğramasına yol açabilir. Gizlilik veya veri bütünlüğü üzerinde doğrudan bir etki beklenmez.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, a NULL pointer dereference in the Asterisk Manager Interface (AMI) may allow an unauthenticated attacker to crash Asterisk when Digest Authentication is used via HTTP. The Asterisk HTTP web server, AMI, and AMI access via HTTP must all be enabled; each is disabled by default. The attacker must be able to connect to the HTTP server, which binds only to 127.0.0.1 by default even when enabled. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Ne yapmalı?
- Asterisk'i 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümlerinden birine, Certified Asterisk kullanıyorsanız 20.7-cert11 veya 22.8-cert3 sürümlerinden birine yükseltin. Üretici
- Güncelleme hemen yapılamıyorsa, HTTP üzerinden AMI erişimini kapatın; HTTP sunucusuna ihtiyaç yoksa onu da devre dışı bırakın. Genel öneri
- HTTP sunucusuna erişimi yalnızca güvenilen ağlarla sınırlandırın ve sunucuyu dış ağlara açık bırakmayın. Genel öneri
Ek önlemler
- Asterisk HTTP sunucusu ve AMI özelliklerinin gerçekten gerekli olup olmadığını düzenli olarak gözden geçirin. Genel öneri
- Asterisk'in beklenmedik şekilde yeniden başlamasını izleyen kayıt ve uyarı mekanizmaları kurun. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-3rhj-hhw7-m6fw Diğer
- github.com/…ommit/10c5b2efcacab03bf04a229f81cc24e76fe42c41 Diğer
- github.com/…ommit/362ef847e7e057b7626e476ddcfe7328ea314db4 Diğer
- github.com/…ommit/5d5d8d8ef7f16774820b1889ae73d8d2ab14af45 Diğer
- github.com/…ommit/87a1f43e4c465b885163665aa89172ed0f392663 Diğer
- github.com/…ommit/a1fcfdf9b91ed58cc8fb9da8d135da60bae7345d Diğer
- github.com/…ommit/abba42c58fee2226a709583afdbeec75cf1dde8b Diğer
- github.com/…ommit/fff89162cdd702e8a143701f138edd8dceab154f Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.