- Yama var
- Son 7 gün
- CWE-267
- CWE-1220
CVE-2026-57202
Asterisk ARI setChannelVar ile FILE yazma kısıtının aşılması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, santral yönetim arayüzüne geçerli bir hesabı olan kişilerin sistem dosyalarını değiştirmesine olanak tanıyabilir. Görüşme kayıtları ve iletişim verileri gibi iş bilgileri risk altında olabilir. Etkilenen sürümlerin hızlı biçimde güncellenmesi önerilir.
ÖzetTürkçe
Asterisk'in REST arayüzü (ARI) üzerindeki setChannelVar işlemi, live_dangerously ayarı 'no' olsa bile yazma yetkili dialplan fonksiyonlarının, özellikle FILE ile dosya yazmanın çalıştırılmasına izin veriyor. Sorun, Asterisk 20.20.1 öncesi sürümleri ve Certified Asterisk 20.7-cert11 öncesi sürümleri etkiliyor. Saldırganın geçerli salt okunur ARI kimlik bilgilerine sahip olması ve HTTP sunucusunun etkin ve erişilebilir olması gerekiyor.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmış bir saldırgan, sunucuda dosya yazabilir; bu da yapılandırmanın değiştirilmesine, kayıtların bozulmasına veya hassas verilere erişilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an authenticated Asterisk REST Interface (ARI) attacker with read-only privileges may use setChannelVar to execute write dialplan functions, including FILE() writes, even when live_dangerously in asterisk.conf is set to no. The Asterisk HTTP web server must be enabled and reachable, and the attacker must already have valid read-only ARI credentials. HTTP is disabled by default and binds only to 127.0.0.1 by default even when enabled. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
Ne yapmalı?
- Asterisk sürümünü 20.20.1, 21.12.3, 22.10.1 veya 23.4.1 sürümlerinden birine; Certified Asterisk sürümünü 20.7-cert11 veya 22.8-cert3 sürümüne yükseltin. Üretici
- Güncelleme yapılana kadar ARI ve HTTP sunucusunu kapatın; kullanılmıyorsa bu hizmetleri hiç etkinleştirmeyin. Genel öneri
- ARI için kullanılan salt okunur kimlik bilgilerini değiştirin ve kullanılmayan veya güvenilmeyen hesapları kaldırın. Genel öneri
Ek önlemler
- HTTP sunucusunun yalnızca yerel arayüzde (127.0.0.1) kaldığını ve internete ya da güvenilmeyen ağlara açık olmadığını doğrulayın. Genel öneri
- ARI erişimini yalnızca güvenilir ağ adresleriyle sınırlandırın. Genel öneri
- Beklenmeyen dosya değişikliklerini ve dialplan üzerinden yapılan yazma işlemlerini izlemek için günlük kayıtlarını düzenli olarak inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| asterisk | < 20.20.1 | 20.20.1 |
| certified-asterisk | < 20.7-cert11 | 20.7-cert11 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…terisk/security/advisories/GHSA-vrfp-mg3q-3959 Diğer
- github.com/…ommit/8f8ccaf70a80e518147b0c35c0c252de4735446f Diğer
- github.com/…ommit/92a5dd1003b737ae1cd2df4e60b73beb8d5e42bb Diğer
- github.com/…ommit/ba04e7f1f98887c3c6e0dc4ddce663021f7e948a Diğer
- github.com/…ommit/bf9354267557ef6d6b75f5304faa243f595a5a66 Diğer
- github.com/…ommit/caa4d50d9c3bf04fc979b5b2cdc5dc425772d845 Diğer
- github.com/…ommit/d47b0b6e5a384746db194f751b53d559aba8dba9 Diğer
- github.com/…ommit/d8614505b27688dec3a1d14554f52fda94712928 Diğer
- github.com/asterisk/asterisk/releases/tag/20.20.1 Diğer
- github.com/asterisk/asterisk/releases/tag/21.12.3 Diğer
- github.com/asterisk/asterisk/releases/tag/22.10.1 Diğer
- github.com/asterisk/asterisk/releases/tag/23.4.1 Diğer
- github.com/…sk/asterisk/releases/tag/certified-20.7-cert11 Diğer
- github.com/…isk/asterisk/releases/tag/certified-22.8-cert3 Diğer
- github.com/asterisk/asterisk/tree/24.0.0-pre1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.