2026-6273: Digium Asterisk, Digium Certified Asterisk: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2026-11-03 15:15): Neues Advisory
Version 2 (2026-11-09 09:01): Fedora hat das Paket 'asterisk-18.26.4-2' zurückgezogen und durch das Paket 'asterisk-18.26.4-3' ersetzt, das für Fedora 43 und 44 sowie EPEL 8 und 9 im Status 'testing' bereit steht, um zusätzlich neun weitere Schwachstellen zu beheben, die zum größten Teil die Komponente PJSIP betreffen. Die mit einem CVSSv3-Wert von 9.8/10 als am kritischsten bewertete Schwachstelle CVE-2026-25994 kann von einem Angreifer ausgenutzt werden, um beliebigen Programmcode auszuführen.

Betroffene Software

Office
Server
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Dateien zu manipulieren, Informationen auszuspähen, beliebigen Programmcode auszuführen, beliebigen Programmcode mit den Rechten des betroffenen Dienstes auszuführen, einen Cross-Site-Scripting (XSS)-Angriff durchzuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Zudem kann ein Angreifer eine Schwachstelle im benachbarten Netzwerk ausnutzen, um einen Cross-Site-Scripting (XSS)-Angriff durchzuführen. Zwei weitere Schwachstellen kann ein Angreifer lokal ausnutzen, um beliebigen Programmcode auszuführen und beliebigen Programmcode mit den Rechten des betroffenen Dienstes auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere Komponenten haben.

Für Fedora 43 und 44 sowie EPEL 8 und 9 steht das Paket 'asterisk-18.26.4-2' im Status 'testing' bereit, um 17 Schwachstellen zu beheben.

Schwachstellen:

CVE-2026-23738

Schwachstelle in Digium Asterisk und Digium Certified Asterisk ermöglicht Cross-Site-Scripting-Angriff

CVE-2026-23739

Schwachstelle in Digium Asterisk und Digium Certified Asterisk ermöglicht Manipulation von Daten

CVE-2026-23740

Schwachstelle in Digium Asterisk und Digium Certified Asterisk ermöglicht Ausführen beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2026-23741

Schwachstelle in Digium Asterisk und Digium Certified Asterisk ermöglicht Ausführen beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2026-25994

Schwachstelle in PJSIP ermöglicht Ausführen beliebigen Programmcodes

CVE-2026-28799

Schwachstelle in PJSIP ermöglicht Denial-of-Service-Angriff

CVE-2026-32942

Schwachstelle in PJSIP ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2026-33069

Schwachstelle in PJSIP ermöglicht Ausspähen von Informationen

CVE-2026-41415

Schwachstelle in PJSIP ermöglicht Denial-of-Service-Angriff

CVE-2026-41416

Schwachstelle in PJSIP ermöglicht Denial-of-Service-Angriff