高 7.5

Asteriskの認証処理に脆弱性、細工した通信でサービスが停止するおそれ

CVE-2026-57195 SecPulse初出 6:04

概要

Asteriskの管理インターフェース（AMI）でHTTP経由のダイジェスト認証を使うと、認証されていない攻撃者がNULLポインタ参照を引き起こし、Asteriskを停止させるおそれがあります。影響を受けるのはAsterisk 20.20.1、21.12.3、22.10.1、23.4.1より前の版と、Certified Asterisk 20.7-cert11、22.8-cert3より前の版です。修正版は、Asterisk 20.20.1、21.12.3、22.10.1、23.4.1とCertified Asterisk 20.7-cert11、22.8-cert3で提供されています。HTTPサーバーとAMIのHTTP接続は既定で無効で、既定では127.0.0.1にしか接続できないため、影響範囲は限られますが、利用しているなら修正版への更新を急いでください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
asterisk	asterisk	—	—
asterisk	certified-asterisk	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, a NULL pointer dereference in the Asterisk Manager Interface (AMI) may allow an unauthenticated attacker to crash Asterisk when Digest Authentication is used via HTTP. The Asterisk HTTP web server, AMI, and AMI access via HTTP must all be enabled; each is disabled by default. The attacker must be able to connect to the HTTP server, which binds only to 127.0.0.1 by default even when enabled. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.

出典: CVE.org (CVE Program・cvelistV5) NVD