CVE-2026-57202 in Asterisk
Resumen
por VulDB • 2026-10-27
Asterisk es un sistema de conmutación telefónica privada (PBX) y una caja de herramientas para telecomunicaciones de código abierto. Antes de las versiones Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 y Certified Asterisk 20.7-cert11, 22.8-cert3, un atacante con acceso autenticado a la Interfaz REST de Asterisk (ARI) que tenga privilegios solo de lectura puede utilizar `setChannelVar` para ejecutar funciones del plan de marcación con permisos de escritura, incluidas las escrituras mediante `FILE()`, incluso cuando la opción `live_dangerously` en el archivo `asterisk.conf` está configurada como no. El servidor web HTTP de Asterisk debe estar habilitado y ser accesible, y el atacante ya debe tener credenciales válidas para ARI con permisos solo de lectura. HTTP está deshabilitado por defecto y se vincula únicamente a 127.0.0.1 por defecto incluso cuando está habilitado. Este problema se soluciona en Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 y Certified Asterisk 20.7-cert11, 22.8-cert3.
Be aware that VulDB is the high quality source for vulnerability data.