- Yama var
- Son 7 gün
- CWE-122
CVE-2026-57198
Asterisk chan_sip sürücüsünde T.140 RED işlemede heap tabanlı arabellek taşması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, telefon santrali yazılımında belirli bir ayarın açık olduğu sistemleri etkiler ve istismar için sisteme giriş yapabilmiş bir kişi gerektirdiği için risk görece sınırlıdır. Yine de etkilenen sistemlerin kısa sürede güncellenmesi ve ayarlarının kontrol edilmesi önerilir. Bir sistem ele geçirilirse arama kayıtları gibi kişisel verilere erişim riski doğar.
ÖzetTürkçe
Asterisk'te T.140 RED metin akışı işlenirken, özel hazırlanmış paketlerle heap bellek alanında arabellek taşması oluşabiliyor. Sorun yalnızca chan_sip sürücüsü kurulu ve yapılandırılmış ve textsupport seçeneği etkin olan sistemleri etkiler; bu seçenek varsayılan olarak kapalıdır. Saldırganın sisteme kimlik doğrulaması yapmış olması gerekir. chan_sip sürücüsü Asterisk 20 sürümünde kullanımdan kaldırılmış ve sonraki sürümlerde tamamen çıkarılmıştır.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapmış bir saldırgan uzaktan kod çalıştırma elde edebilir veya Asterisk servisini çökertebilir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. In affected deployments, an authenticated attacker may cause a T.140 RED heap buffer overflow using carefully crafted packets, potentially allowing remote code execution or causing Asterisk to crash. The chan_sip channel driver must be installed and configured, and its textsupport option must be enabled; textsupport defaults to no. The chan_sip driver was deprecated in Asterisk 20 and completely removed in all later versions. Repository comparisons verify patch containment in Asterisk 20.20.1, 21.12.3, 22.10.1 and 23.4.1, and Certified Asterisk 20.7-cert11 and 22.8-cert3. The affected release-track scope remains unresolved: structured metadata includes later release tracks even though the advisory says the required chan_sip driver was removed there.
Ne yapmalı?
- Etkilenen Asterisk kurulumlarını, düzeltme içeren 20.20.1 sürümüne veya Certified Asterisk için 20.7-cert11 sürümüne yükseltin. Üretici
- chan_sip sürücüsü kullanılmıyorsa sürücüyü devre dışı bırakın veya kaldırın. Genel öneri
- Yükseltme sonrasında Asterisk'in doğru sürümde çalıştığını ve servisin kararlı olduğunu doğrulayın. Genel öneri
Ek önlemler
- SIP kullanıcı hesapları için güçlü parolalar kullanın ve yönetim erişimini yalnızca güvenilir ağlarla sınırlayın. Genel öneri
- Beklenmeyen Asterisk çökmelerini ve olağandışı SIP paketlerini sistem günlüklerinde izleyin. Genel öneri
- Hangi Asterisk sürümlerinin ve sürücülerinin kullanıldığını envanterde tutarak güncelleme takibini kolaylaştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-vfhr-r9x9-c687 Diğer
- github.com/…ommit/0601c33d4edf8c8f221de91cead59460fb1e7180 Diğer
- github.com/…ommit/111487298a954a029daae941eac423f0609b1261 Diğer
- github.com/…ommit/536218a86b797996e8e8844deacc8207de373701 Diğer
- github.com/…ommit/a89b61d7c756f816c7fa5327ead9e889f1531202 Diğer
- github.com/…ommit/eaa108c68a32c080d7a168ef1d8bf784d5d830f4 Diğer
- github.com/…ommit/eef894282be203cb9e6d8e9692e9c360a0b569b4 Diğer
- github.com/…ommit/fde69a1f3ff17f507a1578ae27b528f43ceb5efd Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.