CVE-2022-37325
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W Sangoma Asterisk do wersji 16.28.0, 17.x do 18.14.0 oraz 19.x do 19.6.0, wiadomość Setup przychodząca do addons/ooh323c/src/ooq931.c z nieprawidłowym elementem informacyjnym Calling lub Called Party może spowodować awarię.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię serwera Asterisk, co prowadzi do przerwania usług telefonicznych i potencjalnej utraty dostępności.
Rekomendacja
Zaleca się natychmiastową aktualizację Asteriska do wersji 16.28.1, 18.14.1, 19.6.1 lub nowszej, która zawiera poprawkę dla tej podatności.
Inne podatności w Asterisk
Zobacz wszystkie- CVE-2017-17850Wysokie
W Asterisk w wersjach 13.18.4 i starszych, 14.7.4 i starszych, 15.1.4 i starszych oraz 13.18-cert1 i starszych odkryto problem, który powoduje awarię systemu przy przetwarzaniu określonych wiadomości SIP bez nagłówka kontaktu. Problem występuje tylko, gdy używany jest sterownik kanału PJSIP.
- CVE-2017-14603Wysokie
W Asterisk 11.x przed wersją 11.25.3, 13.x przed wersją 13.17.2 oraz 14.x przed wersją 14.6.2 występuje niewystarczająca walidacja pakietów RTCP, co może prowadzić do odczytu przestarzałych zawartości bufora. W połączeniu z opcjami 'nat' i 'symmetric_rtp' może to umożliwić przekierowanie, gdzie Asterisk wysyła następny raport RTCP.
Oryginalny opis (angielski, źródło NVD)
In Sangoma Asterisk through 16.28.0, 17.x and 18.x through 18.14.0, and 19.x through 19.6.0, an incoming Setup message to addons/ooh323c/src/ooq931.c with a malformed Calling or Called Party IE can cause a crash.