Asterisk›Приложениеnvd,anchore_overrides

Certified Asterisk

Уязвимости

Эксплуатируемые

Макс. CVSS

9.8

Макс. EPSS

0.04665

Распределение по критичности

Критический

Высокий

Средний

Низкий

Затронутые диапазоны версий

22.0.0–22.5.2< 16.8.0< 18.26.3< 18.26.4< 18.9-cert11< 18.9-cert12< 18.9-cert14< 23.2.2≤ 1.8.11≤ 16.8.0

Также сопоставлено как (исходные строки): certified_asterisk,asterisk

Топ уязвимостей

CVE-2022-23608PJSIP — это бесплатная библиотека мультимедийной связи с открытым исходным кодом, написанная на языке C и реализующая стандартные протоколы, такие как SIP, SDP, RTP, STUN, TURN и ICE. В версиях до 2.11.1 включительно в сценарии набора диалогов (или разветвления) ключ хеша, совместно используемый несколькими диалогами UAC, потенциально может быть преждевременно освобожден при уничтожении одного из диалогов. Проблема может привести к многократной регистрации набора диалогов в хеш-таблице (с разными ключами хеша), что приведет к неопределенному поведению, например, к коллизии списка диалогов, которая в конечном итоге приведет к бесконечному циклу. Патч доступен в коммите db3235953baa56d2fb0e276ca510fefca751643f, который будет включен в следующий выпуск. Обходных путей решения этой проблемы не существует.

CVE-2021-37706PJSIP — это бесплатная библиотека мультимедийной связи с открытым исходным кодом, написанная на языке C, реализующая стандартные протоколы, такие как SIP, SDP, RTP, STUN, TURN и ICE. В уязвимых версиях, если входящее сообщение STUN содержит атрибут ERROR-CODE, длина заголовка не проверяется перед выполнением операции вычитания, что может привести к сценарию целочисленного переполнения. Эта проблема затрагивает всех пользователей, использующих STUN. Злоумышленник, находящийся в сети жертвы, может подделать и отправить специально созданное сообщение UDP (STUN), которое может удаленно выполнить произвольный код на компьютере жертвы. Пользователям рекомендуется как можно скорее выполнить обновление. Известных обходных путей нет.

CVE-2022-21723PJSIP — это бесплатная библиотека мультимедийной связи с открытым исходным кодом, написанная на языке C, реализующая стандартные протоколы, такие как SIP, SDP, RTP, STUN, TURN и ICE. В версиях 2.11.1 и более ранних версиях синтаксический анализ входящего SIP-сообщения, содержащего неправильно сформированный multipart, потенциально может вызвать доступ чтения за пределами границ. Эта проблема затрагивает всех пользователей PJSIP, которые принимают SIP multipart. Патч доступен в виде коммита в ветке `master`. Известных обходных путей нет.

CVE-2012-2186Неполная уязвимость черного списка в main/manager.c в Asterisk Open Source 1.8.x до 1.8.15.1 и 10.x до 10.7.1, Certified Asterisk 1.8.11 до 1.8.11-cert6, Asterisk Digiumphones 10.x.x-digiumphones до 10.7.1-digiumphones и Asterisk Business Edition C.3.x до C.3.7.6 позволяет удаленным аутентифицированным пользователям выполнять произвольные команды, используя привилегии originate и предоставляя значение ExternalIVR в действии AMI Originate.

CVE-2026-23741Asterisk - это частный обмен филиалами с открытым исходным кодом и инструментарий телефонии. До версий 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 и 23.2.2, asterisk/contrib/scripts/ast_coredumper работает как корень, как отмечается в теге NOTES на строке 689 файла ast_coredumper. Сценарий будет исходить из содержимого /etc/ast_debug_tools.conf, который находится в папке, которая записывается пользователем звездочки: группа. Из-за файла /etc/ast/ast_debug_tools.conf после семантики bash и его загрузки; злоумышленник с разрешениями написание может добавлять или изменять файл таким образом, что при запуске корня ast_coredumper; он будет исходить и тем самым выполнять произвольный код bash, найденный в /etc/ast_debug_tools.conf. Эта проблема была исправлена в версиях 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 и 23.2.2.

CVE-2024-42365Asterisk — это частная телефонная станция (PBX) с открытым исходным кодом и набор инструментов телефонии. До версий asterisk 18.24.2, 20.9.2 и 21.4.2 и certified-asterisk версий 18.9-cert11 и 20.7-cert2, пользователь AMI с `write=originate` может изменять все файлы конфигурации в каталоге `/etc/asterisk/`. Это происходит потому, что они могут отправлять curl-запросы к удаленным файлам и записывать их на диск, а также добавлять данные в существующие файлы с помощью функции `FILE` внутри приложения `SET`. Эта проблема может привести к повышению привилегий, удаленному выполнению кода и/или слепой подделке запросов на стороне сервера с произвольным протоколом. Версии Asterisk 18.24.2, 20.9.2 и 21.4.2 и certified-asterisk версии 18.9-cert11 и 20.7-cert2 содержат исправление для этой проблемы.

CVE-2025-57767Asterisk, открытый открытый PBX и телекоммуникационный toolkit, содержит уязвимость, которая может привести к краху Asterisk при получении SIP-запроса с заголовком Authorization, содержащим realm, не указанный в предыдущем заголовке WWW-Authenticate ответа 401, или с неверным realm. Проблема исправлена в версиях 20.15.2, 21.10.2 и 22.5.2. Других обходных путей нет [1]. Источники: - [1] https://github.com/asterisk/asterisk/security/advisories/GHSA-64qc-9x89-rx5j

CVE-2017-9358Уязвимость, связанная с нехваткой памяти, существует в Asterisk Open Source 13.x до 13.15.1 и 14.x до 14.4.1 и Certified Asterisk 13.13 до 13.13-cert4, которая может быть вызвана отправкой специально созданных пакетов SCCP, вызывающих бесконечный цикл и приводящих к нехватке памяти (из-за ведения журнала сообщений в этом цикле).

CVE-2026-23739Asterisk - это частный обмен филиалами с открытым исходным кодом и инструментарий телефонии. До версий 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 и 23.2.2 функция ast_xml_open() в xml.c анализирует XML-документы с использованием libxml с небезопасными параметрами разбора, которые позволяют расширяться по объекту и обрабатывать XInclude. В частности, он ссылается xmlReadFile() с флагом XML_PARSE_NOENT и более поздних обработки XIncludes через xmlXIncludeProcess().Если в эту функцию передается какой-либо ненадежным или поставляемым пользователем XML-файлов, он может позволить злоумышленнику запускать XML External Entity (XXE) или XInclude. Это также может быть вызвано в других случаях, когда пользователь может поставлять вход в формате xml, который запускает процесс звездочки для его разбора. Эта проблема была исправлена в версиях 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 и 23.2.2.

CVE-2025-54995Asterisk — это открытая система IP-телефонии и библиотека телефонии. В версиях до 18.26.4 и 18.9-cert17 существует уязвимость, связанная с утечкой портов RTP UDP и внутренних ресурсов из-за отсутствия завершения сессии. Это может привести к утечкам и истощению ресурсов. Проблема решена в версиях 18.26.4 и 18.9-cert17 [1]. Уязвимость позволяет удаленному злоумышленнику исчерпать ресурсы сервера, вызывая отказ в обслуживании [1]. Источники: - [1] https://github.com/asterisk/asterisk/security/advisories/GHSA-557q-795j-wfx2

CVE-2025-49832В Asterisk версий до 18.26.3, 20.15.1, 21.10.1 и 22.5.1 существует уязвимость, связанная с возможностью удаленного отказа в обслуживании и потенциальным выполнением кода. Злоумышленник может эксплуатировать эту уязвимость, отправив специально сформированный заголовок Identity [1]. ## Детали: Уязвимость возникает в коде, ответственном за проверку STIR/SHAKEN, где неправильная обработка заголовка Identity может привести к NULL pointer dereference. ## Рекомендуемое исправление: - Обновите Asterisk до версий 18.26.3, 20.15.1, 21.10.1 или 22.5.1. Источники: - [1] https://github.com/asterisk/asterisk/security/advisories/GHSA-mrq5-74j5-f5cr

CVE-2025-47779Asterisk - это открытая система частной телефонной станции (PBX). В версиях Asterisk до 18.26.2, 20.14.1, 21.9.1 и 22.4.1, а также в версиях certified-asterisk до 18.9-cert14 и 20.7-cert5, запросы SIP типа MESSAGE (RFC 3428) не проходят должную аутентификацию. Аутентифицированный злоумышленник может подделать любую идентичность пользователя, чтобы отправить спам-сообщения пользователю с его токеном авторизации [1]. Это может привести к спаму и создать условия для социальной инженерии, фишинга и других атак. В версиях 18.26.2, 20.14.1, 21.9.1 и 22.4.1 Asterisk и версиях 18.9-cert14 и 20.7-cert5 certified-asterisk проблема исправлена. Источники: - [1] https://github.com/asterisk/asterisk/security/advisories/GHSA-2grh-7mhv-fcfw - [2] https://github.com/asterisk/asterisk/blob/master/configs/samples/pjsip.conf.sample

CVE-2021-46837res_pjsip_t38 в Sangoma Asterisk 16.x до 16.16.2, 17.x до 17.9.3 и 18.x до 18.2.2, а также Certified Asterisk до 16.8-cert7, позволяет злоумышленнику вызвать сбой, отправив строку m=image и нулевой порт в ответ на повторное приглашение T.38, инициированное Asterisk. Это повторное возникновение симптомов CVE-2019-15297, но не по той же причине. Сбой происходит из-за операции добавления относительно активной топологии, но вместо этого должна быть операция замены.

CVE-2020-28242Проблема обнаружена в Asterisk Open Source 13.x до 13.37.1, 16.x до 16.14.1, 17.x до 17.8.1 и 18.x до 18.0.1 и Certified Asterisk до 16.8-cert5. Если Asterisk оспаривается в исходящем INVITE и одноразовый номер изменяется в каждом ответе, Asterisk будет непрерывно отправлять INVITE в цикле. Это приводит к тому, что Asterisk потребляет все больше и больше памяти, поскольку транзакция никогда не завершится (даже если вызов будет прерван), что в конечном итоге приведет к перезапуску или завершению работы Asterisk. Для этого необходимо настроить исходящую аутентификацию на конечной точке.

CVE-2026-23738Asterisk - это частный обмен филиалами с открытым исходным кодом и инструментарий телефонии. До версий 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 и 23.2.2, поставляемые пользователем значения/контроль для файлов cookie и любой параметр переменного запроса GET непосредственно интерполируются в HTML страницы с помощью ast_str_append. Конечная точка в GET /httpstatus - это потенциальная уязвимая конечная точка, относящаяся к звездию / основной /http.c. Эта проблема была исправлена в версиях 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 и 23.2.2.

CVE-2024-42491Asterisk - это частная телефонная станция (PBX) с открытым исходным кодом. До версий 18.24.3, 20.9.3 и 21.4.3 Asterisk и версий 18.9-cert12 и 20.7-cert2 сертифицированного Asterisk, если Asterisk пытается отправить SIP-запрос на URI, хост-часть которого начинается с `.1` или `[.1]`, и res_resolver_unbound загружен, Asterisk аварийно завершит работу с SEGV. Чтобы получить исправление, пользователям следует обновиться до одной из следующих версий: 18.24.3, 20.9.3, 21.4.3, certified-18.9-cert12, certified-20.7-cert2. Доступны два обходных пути. Отключите res_resolver_unbound, установив `noload = res_resolver_unbound.so` в modules.conf, или установите `rewrite_contact = yes` на всех конечных точках PJSIP. ПРИМЕЧАНИЕ: Это может быть неприменимо для всех конфигураций Asterisk.

CVE-2013-2686main/http.c в HTTP-сервере в Asterisk Open Source 1.8.x до версии 1.8.20.2, 10.x до версии 10.12.2 и 11.x до версии 11.2.2; Certified Asterisk 1.8.15 до версии 1.8.15-cert2; и Asterisk Digiumphones 10.x-digiumphones до версии 10.12.2-digiumphones неправильно ограничивает значения Content-Length, что позволяет удаленным злоумышленникам проводить атаки с потреблением стека и вызывать отказ в обслуживании (сбой демона) через специально созданный HTTP POST-запрос. ПРИМЕЧАНИЕ: эта уязвимость существует из-за неправильного исправления CVE-2012-5976.

CVE-2013-2264Драйвер SIP-канала в Asterisk Open Source 1.8.x до 1.8.20.2, 10.x до 10.12.2 и 11.x до 11.2.2; Certified Asterisk 1.8.15 до 1.8.15-cert2; Asterisk Business Edition (BE) C.3.x до C.3.8.1; и Asterisk Digiumphones 10.x-digiumphones до 10.12.2-digiumphones демонстрирует различное поведение для недопустимых транзакций INVITE, SUBSCRIBE и REGISTER в зависимости от того, существует ли учетная запись пользователя, что позволяет удаленным злоумышленникам перечислять имена учетных записей путем (1) чтения кодов состояния HTTP, (2) чтения дополнительного текста в ответе 403 (aka Forbidden) или (3) наблюдения за тем, происходят ли определенные повторные передачи.

CVE-2025-47780Asterisk - это открытая система частной телефонной станции (PBX). В версиях Asterisk до 18.26.2, 20.14.1, 21.9.1 и 22.4.1, а также в версиях certified-asterisk до 18.9-cert14 и 20.7-cert5, попытки запретить выполнение команд оболочки через интерфейс командной строки Asterisk (CLI) путем настройки `cli_permissions.conf` (например, с помощью строки конфигурации `deny=!*`) не работают, что может привести к риску безопасности [1]. Если администратор, управляющий экземпляром Asterisk, полагается на файл `cli_permissions.conf` и ожидает, что он запретит все попытки выполнения команд оболочки, то это может привести к уязвимости безопасности. Проблема заключается в том, что в main/asterisk.c:remoteconsolehandler() (и в consolehandler()) ast_safe_system выполняется немедленно, а вызов cli.c:cli_has_permissions() полностью пропускается. В версиях 18.26.2, 20.14.1, 21.9.1 и 22.4.1 Asterisk и версиях 18.9-cert14 и 20.7-cert5 certified-asterisk проблема исправлена. Источники: - [1] https://github.com/asterisk/asterisk/security/advisories/GHSA-c7p6-7mvq-8jq2

CVE-2012-2948chan_skinny.c в драйвере канала Skinny (aka SCCP) в Certified Asterisk 1.8.11-cert до 1.8.11-cert2 и Asterisk Open Source 1.8.x до 1.8.12.1 и 10.x до 10.4.1 позволяет удаленным аутентифицированным пользователям вызывать отказ в обслуживании (разыменование нулевого указателя и аварийное завершение демона), закрывая соединение в режиме снятой трубки.

Перейти к вендору →Открыть в каталоге с фильтром по продукту →