高 7.5

Asteriskの脆弱性、読み取り権限で任意のモジュール読み込みとRCEのおそれ

CVE-2026-57200 SecPulse初出 6:13

概要

Asteriskの ARI（REST-over-WebSocket）で、読み取り専用の権限しか持たないユーザーが書き込み操作を実行できる脆弱性です。条件がそろうと、任意のモジュールパスの読み込みを通じて遠隔からコードを実行されるおそれがあります。修正版はAsterisk 20.20.1、21.12.3、22.10.1、23.4.1およびCertified Asterisk 22.8-cert3で、利用中の版をこれらの修正版に更新してください。HTTPは既定で無効で、有効でも既定では127.0.0.1にのみ待ち受けるため、外部から届く環境かどうかも確認しておくと判断しやすくなります。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
asterisk	asterisk	—	—
certified-asterisk	certified-asterisk	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, an authenticated attacker with read-only permissions for the Asterisk REST Interface (ARI) may, under certain conditions, execute write operations through REST-over-WebSocket. The authorization bypass permits arbitrary module path loading and conditional remote code execution. The Asterisk HTTP web server must be enabled and reachable, and the attacker must already have valid read-only ARI credentials. HTTP is disabled by default and binds only to 127.0.0.1 by default even when enabled. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.

出典: CVE.org (CVE Program・cvelistV5) NVD