Skip to content
Sign in Sign up
JA EN FR
SecPulse
High 7.5

Asteriskのchan_ooh323に不正なQ.931要素でクラッシュする脆弱性

CVE-2026-57186 First seen on SecPulse

Summary

Asteriskのchan_ooh323で、不正な形式のQ.931要素を含むOOH323リクエストを受けるとAsteriskが異常終了するおそれがあります。影響するのは21.0.0-pre1から21.12.3・22.10.1・23.4.1、Certified Asterisk 22.8-cert3より前の版で、21.12.3・22.10.1・23.4.1およびCertified Asterisk 22.8-cert3で修正されています。chan_ooh323は標準では組み込まれておらず、ポートが外部から到達できる場合に限られるため、該当する構成かどうかを先に確認してください。

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

Asteriskのchan_ooh323で、不正な形式のQ.931要素を含むOOH323リクエストを受けるとAsteriskが異常終了するおそれがあります。影響するのは21.0.0-pre1から21.12.3・22.10.1・23.4.1、Certified Asterisk 22.8-cert3より前の版で、21.12.3・22.10.1・23.4.1およびCertified Asterisk 22.8-cert3で修正されています。chan_ooh323は標準では組み込まれておらず、ポートが外部から到達できる場合に限られるため、該当する構成かどうかを先に確認してください。

Affected packages

EcosystemPackageAffectedFixed
asterisk asterisk — —
asterisk certified-asterisk — —
Original description The description as published by the source.

Asterisk is an open source private branch exchange and telephony toolkit. From 21.0.0-pre1 until Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, the chan_ooh323 Q.931 party-number parser lacks the CVE-2022-37325 fix because that fix was never forward-ported from Asterisk 20 to later versions. Malformed Q.931 elements in an OOH323 request can therefore crash Asterisk. This issue affects Asterisk versions greater than 20. The chan_ooh323 addon channel driver must be explicitly compiled and installed, which is not the default, and its port must be publicly reachable. This issue is fixed in Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.

Source: CVE.org (CVE Program・cvelistV5) NVD

References

We use cookies for analytics and ad measurement. This setting applies to all Game co., Ltd. sites. Details