- Yama var
- Son 7 gün
- CWE-122
- CWE-787
CVE-2026-57197
Asterisk'te OGG/Speex dosya oynatımında heap tampon taşması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, telefon santralinin çökmesine ve iletişimin kesilmesine yol açabilir. Santral iş iletişiminin merkezindeyse kesinti doğrudan gelir ve müşteri kaybına dönüşebilir. Saldırının belirli koşullar gerektirmesi riski azaltır, ancak yamanın planlı biçimde kısa sürede uygulanması önerilir.
ÖzetTürkçe
Asterisk açık kaynaklı bir telefon santrali ve telekomünikasyon araç setidir. format_ogg_speex modülü, bozuk Speex ses verisi içeren OGG dosyalarını okurken sınırsız bir memcpy işlemi yaptığı için heap tampon taşmasına açıktır. Etkilenen sürümler Asterisk 20.20.1, 21.12.3, 22.10.1 ve 23.4.1 öncesi ile Certified Asterisk 20.7-cert11 ve 22.8-cert3 öncesi sürümlerdir. Saldırganın dosyayı oluşturup Asterisk'in erişebileceği bir yere koyması ve Asterisk'in bu dosyayı oynatacak şekilde yapılandırılmış olması gerekir.
Saldırgan ne yapabilir?
Başarılı bir saldırı Asterisk sürecinin çökmesine ve hizmet kesintisine yol açabilir. CVSS değerlendirmesi, bellek bozulması yoluyla gizlilik ve bütünlük üzerinde de yüksek etki olasılığını işaretlemektedir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an unbounded memcpy of OGG/Speex packet data in format_ogg_speex can cause a heap buffer overflow and crash Asterisk when reading a file containing corrupted Speex audio. The attacker must create the file and make it available to Asterisk either through sufficiently elevated privileges or by convincing an Asterisk administrator to make it available. Asterisk must also be configured to play that file. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Ne yapmalı?
- Asterisk kullanıyorsanız, kullandığınız dal için düzeltilmiş sürüm olan 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümlerinden birine yükseltin. Üretici
- Certified Asterisk kullanıyorsanız 20.7-cert11 veya 22.8-cert3 sürümüne yükseltin. Üretici
- Yükseltme yapılana kadar, güvenilmeyen kaynaklardan gelen veya yetkisiz kullanıcıların yazabildiği ses dosyalarının Asterisk tarafından oynatılmasını engelleyin. Genel öneri
Ek önlemler
- Asterisk'in ses dosyalarını tuttuğu dizinlere yazma erişimini yalnızca yetkili yöneticilerle sınırlandırın. Genel öneri
- Dış kaynaklardan alınan ses dosyalarını oynatmadan önce inceleyin ve doğrulayın. Genel öneri
- Asterisk kayıtlarında beklenmeyen çökme ve yeniden başlatma olaylarını düzenli olarak izleyin. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-8jhw-m2hg-vp3h Diğer
- github.com/…ommit/0a2c1d9e910f7c4dfffa05e328accb8a96990df8 Diğer
- github.com/…ommit/0e6d761ed83f1671632c91805252767eae85e1a2 Diğer
- github.com/…ommit/1cf189549994e0898954c814ce5a023cd969f1db Diğer
- github.com/…ommit/29026ece6fdd1834bb8f49c013ef163745ff2bbd Diğer
- github.com/…ommit/336ebe762bf6dfaf279796700de8ab51f7acd2f3 Diğer
- github.com/…ommit/ccec146953b5e13043a36663af84e5a50ca633a6 Diğer
- github.com/…ommit/dbcf38933866f0ddd023bc1814a78d4c750b0809 Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.