CVE-2026-57196 in Asterisk
要約
〜によって VulDB • 2026年10月26日
Asteriskは、オープンソースのPBX（プライベートブランチ交換）およびテレフォニーツールキットです。Asterisk 20.20.1、21.12.3、22.10.1、23.4.1 および Certified Asterisk 20.7-cert11、22.8-cert3 より前では、認証されていない攻撃者が `phone provisioning HTTP error pages` における反射型クロスサイトスクリプティング（XSS）を利用して、認可済みユーザーの `AMI session cookie` を取得し、`res_phoneprov` が有効な場合にそのユーザーになりすます可能性があります。Asterisk HTTP Web サーバー、Asterisk Manager Interface (AMI)、および HTTP 経由の AMI アクセスはすべて有効である必要がありますが、デフォルトではそれぞれ無効になっています。攻撃者は HTTP サーバーに接続できる必要があり、HTTP サーバーはデフォルトで `127.0.0.1` のみにバインドします（有効化されている場合でも）。また、認可済みユーザーを悪意のあるリンクをクリックさせる必要があります。この問題は、Asterisk 20.20.1、21.12.3、22.10.1、23.4.1 および Certified Asterisk 20.7-cert11、22.8-cert3 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.