高 8.2

Asterisk に認証なしで SIP 機能を停止させられる脆弱性

CVE-2026-57191 SecPulse初出 6:32

概要

Asterisk の MWI NOTIFY における Message-Account の解析処理に、スタックバッファオーバーフローの脆弱性が見つかりました。細工したパケットを送られると、認証がなくても通信基盤が壊れ、SIP 機能が恒久的に止まるおそれがあります。影響は Asterisk 20.20.1 より前、21.12.3 より前、22.10.1 より前、23.4.1 より前、および Certified Asterisk 20.7-cert11 より前、22.8-cert3 より前です。修正版は Asterisk 20.20.1、21.12.3、22.10.1、23.4.1 および Certified Asterisk 20.7-cert11、22.8-cert3 で提供されています。修正版への更新と、更新後の Asterisk の再起動が必要です。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
asterisk	asterisk	—	—
asterisk	certified-asterisk	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an unbounded sscanf in res_pjsip_pubsub when parsing the MWI NOTIFY Message-Account field may allow an unauthenticated attacker to send a carefully crafted packet that causes a stack buffer overflow and corrupts the underlying transport, permanently disabling all SIP functionality. An Asterisk restart is required to restore full operation. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.

出典: CVE.org (CVE Program・cvelistV5) NVD