Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en STIR/SHAKEN en Asterisk (CVE-2022-26499)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-918 Falsificación de solicitud en servidor (SSRF)
Fecha de publicación:
15/04/2022
Última modificación:
02/02/2023

Descripción

Se ha detectado un problema de tipo SSRF en Asterisk versiones hasta 19.x. Cuando es usado STIR/SHAKEN, es posible enviar peticiones arbitrarias (como GET) a interfaces como localhost usando el encabezado Identity. Esto ha sido corregido en versiones 16.25.2, 18.11.2 y 19.3.2

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:digium:asterisk:*:*:*:*:*:*:*:* 16.15.0 (incluyendo) 16.25.1 (incluyendo)
cpe:2.3:a:digium:asterisk:*:*:*:*:*:*:*:* 18.0 (incluyendo) 18.11.2 (excluyendo)
cpe:2.3:a:digium:asterisk:*:*:*:*:*:*:*:* 19.0.0 (incluyendo) 19.3.1 (incluyendo)
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*