CVE-2026-57189 in Asterisk
Zusammenfassung
von VulDB • 27.10.2026
Asterisk ist eine Open-Source-PBX (Private Branch Exchange) und ein Telekommunikations-Toolkit. In betroffenen Bereitstellungen kann ein authentifizierter Angreifer durch sorgfältig gestaltete Pakete während der `generation accumulation` einen out-of-bounds write im Bereich von `T.140 RED` verursachen, was potenziell die Remote Code Execution (RCE) ermöglicht oder dazu führen kann, dass Asterisk abstürzt. Der Kanal-Treiber `chan_sip` muss installiert und konfiguriert sein, und seine Option `textsupport` muss aktiviert sein; standardmäßig ist `textsupport` auf „no“ gesetzt. `Der Treiber chan_sip wurde in Asterisk 20 als veraltet markiert (deprecated) und in allen späteren Versionen vollständig entfernt.` Repository-Vergleiche bestätigen die Patch-Containment-Wirkung in den Versionen Asterisk 20.20.1, 21.12.3, 22.10.1 und 23.4.1 sowie Certified Asterisk 20.7-cert11 und 22.8-cert3. Der betroffene Release-Track-Bereich bleibt ungelöst: Die strukturierten Metadaten enthalten spätere Release-Tracks, obwohl die Advisory besagt, dass der erforderliche Treiber `chan_sip` dort entfernt wurde.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.