- Yama var
- Son 7 gün
- CWE-79
CVE-2026-57196
Asterisk telefon yapılandırma HTTP hata sayfalarında yansıtmalı siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Asterisk, açık kaynaklı bir özel santral ve telefoni araç takımıdır. Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 20.7-cert11, 22.8-cert3 sürümlerinden önceki sürümlerde, res_phoneprov etkinleştirildiğinde kimlik doğrulaması yapılmamış bir saldırgan, 'phone provisioning HTTP error pages' (telefon yapılandırma HTTP hata sayfaları) içinde yansıtmalı siteler arası betik çalıştırma (XSS) kullanarak yetkili bir kullanıcının 'AMI session cookie' (AMI oturum çerezi) değerini elde edebilir ve bu kullanıcıyı taklit edebilir. Asterisk HTTP web sunucusu, Asterisk Manager Interface (AMI) ve HTTP üzerinden AMI erişiminin üçü de etkinleştirilmiş olmalıdır; bunların her biri varsayılan olarak devre dışıdır. Saldırganın HTTP sunucusuna bağlanabilmesi gerekir; bu sunucu etkinleştirildiğinde bile varsayılan olarak yalnızca 127.0.0.1 adresine bağlanır ve saldırganın yetkili kullanıcıyı kötü amaçlı bir bağlantıya tıklamaya ikna etmesi gerekir. Bu sorun Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 20.7-cert11, 22.8-cert3 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an unauthenticated attacker may use reflected cross-site scripting in phone provisioning HTTP error pages to retrieve an authorized user's AMI session cookie and impersonate that user when res_phoneprov is enabled. The Asterisk HTTP web server, Asterisk Manager Interface (AMI), and AMI access via HTTP must all be enabled; each is disabled by default. The attacker must be able to connect to the HTTP server, which binds only to 127.0.0.1 by default even when enabled, and must convince the authorized user to click a malicious link. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-4pgv-j3mr-3rcp Diğer
- github.com/…ommit/4373f8174bf71c467fc9db96036126d30425b9e8 Diğer
- github.com/…ommit/4b360a61d649a7c12b1021aa554642322ee28c10 Diğer
- github.com/…ommit/60c23d8b56b2cf93caceb527e07654b16f388343 Diğer
- github.com/…ommit/87399593cda601ae3670bf890bdb32f78e881bf3 Diğer
- github.com/…ommit/9cff8e62fbd9e7db87c233de3335047df88877d0 Diğer
- github.com/…ommit/dc43c5b32a3a216da4c9e95388fbadaca3e78bc8 Diğer
- github.com/…ommit/e6998409f73f49959d0062c695bb9a2f611af5ac Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.