Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22
  • CWE-863

CVE-2026-57200

Asterisk ARI REST-over-WebSocket salt okunur yetki atlatma ve uzaktan kod çalıştırma

asteriskcertified-asterisk

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, telefon santrali sisteminizin tamamen ele geçirilmesine yol açabilecek ciddi bir risk taşımaktadır. Saldırının gerçekleşmesi için geçerli bir kimlik bilgisi ve etkinleştirilmiş bir web erişimi gerekir, bu da riski bir ölçüde sınırlar. Yine de işletmenizin iletişim altyapısını korumak için güncellemeleri öncelikli olarak uygulamanız önerilir.

ÖzetTürkçe

Asterisk, açık kaynaklı bir özel santral ve telefoni araç takımıdır. Asterisk'in 20.20.1, 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 22.8-cert3 sürümlerinden önceki sürümlerinde, Asterisk REST Interface (ARI) için yalnızca okuma yetkisine sahip kimliği doğrulanmış bir saldırgan, REST-over-WebSocket üzerinden bazı koşullarda yazma işlemleri gerçekleştirebilmektedir. Bu yetki atlatma, keyfi modül yolu yüklenmesine ve koşullu uzaktan kod çalıştırmaya olanak tanır. HTTP varsayılan olarak kapalıdır ve etkinleştirildiğinde bile varsayılan olarak yalnızca 127.0.0.1 adresine bağlanır.

Saldırgan ne yapabilir?

Geçerli salt okunur ARI kimlik bilgilerine sahip bir saldırgan, koşullar uygun olduğunda sistemde kod çalıştırabilir ve sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini ciddi biçimde etkileyebilir.

Kaynaktaki açıklama (İngilizce)

Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, an authenticated attacker with read-only permissions for the Asterisk REST Interface (ARI) may, under certain conditions, execute write operations through REST-over-WebSocket. The authorization bypass permits arbitrary module path loading and conditional remote code execution. The Asterisk HTTP web server must be enabled and reachable, and the attacker must already have valid read-only ARI credentials. HTTP is disabled by default and binds only to 127.0.0.1 by default even when enabled. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.

Ne yapmalı?

  1. Asterisk'i 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümüne, Certified Asterisk kullanıyorsanız 22.8-cert3 sürümüne yükseltin. Üretici
  2. Yükseltme yapılana kadar Asterisk HTTP sunucusunu devre dışı bırakın; HTTP sunucusu gerekliyse yalnızca güvenilir ağlardan erişime izin verin. Genel öneri
  3. ARI kullanıcılarının kimlik bilgilerini gözden geçirin ve kullanılmayan veya gereksiz yetkiye sahip hesapları kaldırın. Genel öneri

Ek önlemler

  • HTTP sunucusunun yalnızca 127.0.0.1 gibi yerel adreslere bağlandığından ve dış ağlara açık olmadığından emin olun. Genel öneri
  • ARI kimlik bilgilerini düzenli olarak değiştirin ve en az ayrıcalık ilkesine uygun yetki verin. Genel öneri
  • Asterisk günlüklerinde beklenmeyen modül yükleme girişimlerini ve olağandışı WebSocket bağlantılarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
asterisk < 20.20.1 20.20.1
certified-asterisk Sürüm belirtilmemiş –

Kaynaklar15 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.