CVE-2026-57196 in Asterisk
요약
\~에 의해 VulDB • 2026. 10. 26.
Asterisk는 오픈 소스 사설 교환기(PBX) 및 전화 툴킷입니다. Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 및 Certified Asterisk 20.7-cert11, 22.8-cert3 이전 버전에서는 인증되지 않은 공격자가 `phone provisioning HTTP error pages`에서 반사형 크로스 사이트 스크립팅(XSS)을 사용하여 승인된 사용자의 `AMI session cookie`를 탈취하고, `res_phoneprov`가 활성화되어 있을 경우 해당 사용자를 사칭할 수 있습니다. Asterisk HTTP 웹 서버, Asterisk Manager Interface(AMI), 그리고 HTTP를 통한 AMI 접근 모두 활성화되어야 하며, 각각 기본적으로 비활성화됩니다. 공격자는 HTTP 서버에 연결할 수 있어야 하는데, 이는 기본 설정 시 `127.0.0.1`에만 바인딩되며, 승인된 사용자가 악의적인 링크를 클릭하도록 설득해야 합니다. 이 문제는 Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 및 Certified Asterisk 20.7-cert11, 22.8-cert3에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.