Vulnerabilidad en Asterisk (CVE-2026-23739)
Gravedad CVSS v3.1:
BAJA
Tipo:
CWE-611
Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
06/02/2026
Última modificación:
18/02/2026
Descripción
Asterisk es una centralita privada de código abierto y un kit de herramientas de telefonía. Antes de las versiones 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 y 23.2.2, la función ast_xml_open() en xml.c analiza documentos XML usando libxml con opciones de análisis inseguras que permiten la expansión de entidades y el procesamiento de XInclude. Específicamente, invoca xmlReadFile() con la bandera XML_PARSE_NOENT y posteriormente procesa XIncludes a través de xmlXIncludeProcess(). Si cualquier archivo XML no confiable o proporcionado por el usuario se pasa a esta función, puede permitir a un atacante activar una Entidad Externa XML (XXE) o una divulgación de archivos locales basada en XInclude, exponiendo potencialmente archivos sensibles del sistema anfitrión. Esto también puede ser activado en otros casos en los que el usuario puede proporcionar entrada en formato XML que activa el proceso de Asterisk para analizarla. Este problema ha sido parcheado en las versiones 20.7-cert9, 20.18.2, 21.12.1, 22.8.2 y 23.2.2.
Impacto
Puntuación base 3.x
2.00
Gravedad 3.x
BAJA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:sangoma:asterisk:*:*:*:*:*:*:*:* | 20.18.2 (excluyendo) | |
| cpe:2.3:a:sangoma:asterisk:*:*:*:*:*:*:*:* | 21.0.0 (incluyendo) | 21.12.1 (excluyendo) |
| cpe:2.3:a:sangoma:asterisk:*:*:*:*:*:*:*:* | 22.0.0 (incluyendo) | 22.8.2 (excluyendo) |
| cpe:2.3:a:sangoma:asterisk:*:*:*:*:*:*:*:* | 23.0.0 (incluyendo) | 23.2.2 (excluyendo) |
| cpe:2.3:a:sangoma:certified_asterisk:*:*:*:*:*:*:*:* | 18.9 (incluyendo) | |
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert1:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert1-rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert1-rc2:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert2:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert3:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert4:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert5:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert6:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert7:*:*:*:*:*:* | ||
| cpe:2.3:a:sangoma:certified_asterisk:20.7:cert8:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página