高 7.5

Asteriskのchan_ooh323に不正なQ.931要素でクラッシュする脆弱性

CVE-2026-57186 SecPulse初出 6:21

概要

Asteriskのchan_ooh323で、不正な形式のQ.931要素を含むOOH323リクエストを受けるとAsteriskが異常終了するおそれがあります。影響するのは21.0.0-pre1から21.12.3・22.10.1・23.4.1、Certified Asterisk 22.8-cert3より前の版で、21.12.3・22.10.1・23.4.1およびCertified Asterisk 22.8-cert3で修正されています。chan_ooh323は標準では組み込まれておらず、ポートが外部から到達できる場合に限られるため、該当する構成かどうかを先に確認してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
asterisk	asterisk	—	—
asterisk	certified-asterisk	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Asterisk is an open source private branch exchange and telephony toolkit. From 21.0.0-pre1 until Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, the chan_ooh323 Q.931 party-number parser lacks the CVE-2022-37325 fix because that fix was never forward-ported from Asterisk 20 to later versions. Malformed Q.931 elements in an OOH323 request can therefore crash Asterisk. This issue affects Asterisk versions greater than 20. The chan_ooh323 addon channel driver must be explicitly compiled and installed, which is not the default, and its port must be publicly reachable. This issue is fixed in Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.

出典: CVE.org (CVE Program・cvelistV5) NVD