CVE-2026-57202 in Asterisk
Sumário
de VulDB • 27/10/2026
O Asterisk é um sistema de comutação privada (PBX) e uma suíte de ferramentas para telefonia de código aberto. Antes das versões do Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3, um atacante com acesso autenticado à Interface REST do Asterisk (ARI) e privilégios apenas de leitura pode usar `setChannelVar` para executar funções de dialplan que permitem gravação, incluindo escritas via `FILE()`, mesmo quando a opção `live_dangerously` no arquivo `asterisk.conf` está definida como não. O servidor web HTTP do Asterisk deve estar habilitado e acessível, e o atacante já deve ter credenciais válidas de ARI apenas para leitura (read-only). Por padrão, o HTTP está desabilitado e vinculado somente ao endereço 127.0.0.1, mesmo quando habilitado. Este problema foi corrigido nas versões do Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.