CVE-2026-57196 in Asterisk
Zusammenfassung
von VulDB • 27.10.2026
Asterisk ist ein Open-Source-PBX (Private Branch Exchange) und Telekommunikations-Werkzeugkasten. Vor den Versionen Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 sowie Certified Asterisk 20.7-cert11, 22.8-cert3 kann ein nicht authentifizierter Angreifer durch reflektiertes Cross-Site-Scripting (XSS) in den `phone provisioning HTTP-Fehlerseiten` einen `AMI-Sitzungs-Cookie` eines autorisierten Benutzers abgreifen und diesen Benutzer imitieren, wenn `res_phoneprov` aktiviert ist. Der Asterisk-HTTP-Webserver, die Asterisk Manager Interface (AMI) sowie der AMI-Zugriff über HTTP müssen alle aktiviert sein; jede dieser Komponenten ist standardmäßig deaktiviert. Der Angreifer muss in der Lage sein, sich mit dem HTTP-Server zu verbinden, der standardmäßig auch bei Aktivierung nur an `127.0.0.1` bindet, und er muss den autorisierten Benutzer dazu bringen, auf einen bösartigen Link zu klicken. Dieses Problem wurde in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 sowie Certified Asterisk 20.7-cert11, 22.8-cert3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.