PT-2022-17902 · Asterisk · Asterisk

Ben Ford · Publicado 2022-04-15 · Atualizado 2023-05-04 · CVE-2022-26498

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Asterisk anteriores à 16.25.2

Versões do Asterisk anteriores à 18.11.2

Versões do Asterisk anteriores à 19.3.2

Descrição

Foi descoberta uma falha no Asterisk ao usar STIR/SHAKEN, permitindo o download de arquivos que não são certificados. Esses arquivos podem ser muito maiores do que o esperado, levando ao esgotamento de recursos.

Recomendações

Para versões anteriores à 16.25.2, atualize para a versão 16.25.2 ou posterior para resolver o problema.

Para versões anteriores à 18.11.2, atualize para a versão 18.11.2 ou posterior para resolver o problema.

Para versões anteriores à 19.3.2, atualize para a versão 19.3.2 ou posterior para resolver o problema.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2022-26498

DLA-3194-1

DSA-5285-1

Produtos afetados

Asterisk

Referências · 23

• https://lists.debian.org/debian-lts-announce/2022/11/msg00021.html · Nota
• https://downloads.asterisk.org/pub/security/AST-2022-001.html · Aviso do Fabricante
• https://downloads.asterisk.org/pub/security · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-26498 · Nota de Segurança
• https://t.me/cibsecurity/40847 · Publicação no Telegram
• https://osv.dev/vulnerability/ALPINE-CVE-2022-26498 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-26498 · Aviso do Fabricante
• http://packetstormsecurity.com/files/172139/Shannon-Baseband-chatroom-SDP-Attribute-Memory-Corruption.html · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-26498 · Aviso do Fabricante
• https://t.me/cvenotify/38054 · Publicação no Telegram
• http://packetstormsecurity.com/files/166744/Asterisk-Project-Security-Advisory-AST-2022-001.html · Correção
• https://osv.dev/vulnerability/DSA-5285-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-26498 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3194-1 · Aviso do Fabricante
• https://issues.asterisk.org/jira/browse/ASTERISK-29872 · Nota