Asterisk: CVE-2022-37325 fix is absent from current chan_ooh323 Q.931 party-number parser
CVSS Skor
7.5
EPSS İhtimal
—
Risk Skoru
0.8
Yayın
2 sa önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
1
Kaynak uyumu
Tam uyum
Kanıt güveni
%55
Kısa açıklama
Asterisk uygulamasındaki chan_ooh323 Q.931 parti numarası ayrıştırıcısı, CVE-2022-37325 için geliştirilen düzeltmeyi içermemektedir. Bu eksiklik, OOH323 isteklerindeki hatalı biçimlendirilmiş Q.931 öğelerinin Asterisk yazılımını çökeltmesine yol açabilir.
Bu zafiyet, uzaktaki saldırganların harici ağlardan kimlik doğrulaması gerektirmeden servis dışı bırakma (DoS) saldırısı gerçekleştirmesine ve hedef Asterisk hizmetini durdurmasına olanak tanır.
Ne yapılmalı?
- Asterisk 21.12.3, 22.10.1, 23.4.1 veya Certified Asterisk 22.8-cert3 sürümlerine yükseltme yapın
- Satıcı duyurularındaki yönergeleri takip edin
- chan_ooh323 kanal sürücüsünün dış ağlara erişimini kısıtlayın
Kanıt zinciri ve kaynaklar
chan_ooh323 Q.931 parti numarası ayrıştırıcısı CVE-2022-37325 düzeltmesini barındırmamaktadır.
Hatalı biçimlendirilmiş Q.931 öğelerine sahip OOH323 istekleri Asterisk yazılımını çökletebilir.
Zafiyet chan_ooh323 eklentisinin açık portlar üzerinden erişilebilir olmasını gerektirir.
İlgili sorun Asterisk 21.12.3, 22.10.1, 23.4.1 ve Certified Asterisk 22.8-cert3 sürümlerinde giderilmiştir.
Kaynaklardaki teknik metni göster
Asterisk is an open source private branch exchange and telephony toolkit. From 21.0.0-pre1 until Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, the `chan_ooh323` `Q.931 party-number parser` lacks the `CVE-2022-37325` fix because that fix was never forward-ported from Asterisk 20 to later versions. Malformed Q.931 elements in an `OOH323 request` can therefore crash Asterisk. This issue affects Asterisk versions greater than 20. The `chan_ooh323` addon channel driver must be explicitly compiled and installed, which is not the default, and its port must be publicly reachable. This issue is fixed in Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.
CVSS vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CWE: CWE-839
Açıklama kaynak kayıtlardan otomatik derlendi. Puanlar, aktif sömürü, yama ve exploit durumları doğrudan kaynaklardan gelir.
IMPACT — Etkilenen Ürünler ve Yazılımlar
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 7.5 | CVSS V3_1 | HIGH | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE CNA |
| 7.5 | CVSS V31 | HIGH | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-57186 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-57186 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-57186"