CVE-2026-57202 in Asterisk
Riassunto
di VulDB • 27/10/2026
Asterisk è un centralino virtuale open source e una suite di strumenti per la telefonia. Prima delle versioni Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3, un attaccante autenticato con privilegi di sola lettura dell'interfaccia REST (ARI) di Asterisk può utilizzare `setChannelVar` per eseguire funzioni dialplan in scrittura, incluse le scritture tramite `FILE()`, anche quando l'impostazione `live_dangerously` nel file `asterisk.conf` è impostata su no. Il server web HTTP di Asterisk deve essere abilitato e raggiungibile, e l'attaccante deve già disporre di credenziali ARI valide con accesso in sola lettura. L'HTTP è disabilitato per default e si lega solo all'indirizzo 127.0.0.1 anche quando viene abilitato. Questo problema è risolto nelle versioni Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.