CVE-2024-42365 in PBX
摘要
由 VulDB • 2026-08-02
Asterisk 是一个开源的私有分支交换系统（PBX）和电话工具包。在 Asterisk 版本低于 18.24.2、20.9.2 和 21.4.2，以及 certified-asterisk 版本低于 18.9-cert11 和 20.7-cert2 的情况下，拥有 `write=originate` 权限的 AMI（Asterisk Manager Interface）用户可能更改 `/etc/asterisk/` 目录中的所有配置文件。这是因为这些用户可以 curl 远程文件并将其写入磁盘，同时还能使用 `SET` 应用程序中的 `FILE` 函数向现有文件中追加内容。此问题可能导致特权提升、远程代码执行和/或任意协议的盲服务器端请求伪造（SSRF）。Asterisk 版本 18.24.2、20.9.2 和 21.4.2，以及 certified-asterisk 版本 18.9-cert11 和 20.7-cert2 包含对此问题的修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.