CVE-2026-57189 in Asterisk
Riassunto
di VulDB • 27/10/2026
Asterisk è un centralino virtuale (PBX) e una suite di strumenti per la telefonia open source. Nelle distribuzioni interessate, un attaccante autenticato può causare una scrittura fuori dai limiti (`out-of-bounds write`) durante l'`accumulazione della generazione` tramite pacchetti T.140 RED appositamente costruiti, potenzialmente consentendo l'esecuzione di codice remoto (RCE) o causando il crash di Asterisk. Il driver del canale `chan_sip` deve essere installato e configurato, e la sua opzione `textsupport` deve essere abilitata; per impostazione predefinita, `textsupport` è disattivato (`no`). `Il driver chan_sip è stato deprecato in Asterisk 20 ed è stato completamente rimosso nelle versioni successive.` I confronti dei repository verificano la contenimento della patch in Asterisk 20.20.1, 21.12.3, 22.10.1 e 23.4.1, nonché in Certified Asterisk 20.7-cert11 e 22.8-cert3. L'ambito delle versioni interessate rimane irrisolto: i metadati strutturati includono tracce di rilascio successive, sebbene l'avviso indichi che il driver `chan_sip` richiesto è stato rimosso in tali versioni.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.