Asterisk: Stack-Pufferüberlauf beim Parsen von MWI NOTIFY

Zusammenfassung

Asterisk, eine Open-Source-Telefonanlage und Telefonie-Toolkit, ist im Modul res_pjsip_pubsub von einem Stack-Pufferüberlauf betroffen. Er tritt beim Parsen des Feldes Message-Account einer MWI NOTIFY-Nachricht auf, weil ein unbegrenzter sscanf-Aufruf über den Zielpuffer hinaus schreibt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ein präpariertes SIP-Paket senden, das den Transport beschädigt und alle SIP-Funktionen dauerhaft ausser Betrieb setzt, bis Asterisk neu gestartet wird.

Betroffen

• Asterisk vor 20.20.1
• Asterisk 21.0.0-pre1 bis vor 21.12.3
• Asterisk 22.0.0-pre1 bis vor 22.10.1
• Asterisk 23.0.0-pre1 bis vor 23.4.1
• Certified Asterisk vor 20.7-cert11
• Certified Asterisk 22.8-cert1-pre1 bis vor 22.8-cert3
• Unbekannt: ob der Entwicklungszweig 24.0.0-pre1 betroffen ist

Behoben in

• Asterisk 20.20.1
• Asterisk 21.12.3
• Asterisk 22.10.1
• Asterisk 23.4.1
• Certified Asterisk 20.7-cert11
• Certified Asterisk 22.8-cert3

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround gefunden. Die Beschränkung der SIP-Signalisierung auf bekannte Trunk- und Telefonadressen an der Firewall kann die Exponierung verringern.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn in den geprüften Quellen.
• Kein öffentlicher Proof of Concept gefunden.
• Der gepatchte Code ist vermutlich seit der Veröffentlichung des Advisory am 25. Juni 2026 öffentlich, daher ist die Entwicklung eines Exploits für bekannte Schwachstellen plausibel.

Unsere Empfehlung

• Auf eine oben aufgeführte, korrigierte Version aktualisieren und ein Wartungsfenster einplanen, da ein Neustart erforderlich ist.
• SIP-Ports so absichern, dass sie nicht aus dem gesamten Internet erreichbar sind.
• Prüfen, ob die eingesetzte Asterisk- oder Certified-Asterisk-Version betroffen ist und ob das Distributionspaket korrigiert wurde.
• SIP-Verkehr und Dienstverfügbarkeit auf ungewöhnliche Ausfälle überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-589g-qgf8-m6mx github.com
• Fix commit 7a1ffcdf38cc76d1c4eae51651667f3fd4548ab0 github.com
• Asterisk 20.20.1 release github.com
• Asterisk 21.12.3 release github.com
• Asterisk 22.10.1 release github.com
• Asterisk 23.4.1 release github.com
• Certified Asterisk 20.7-cert11 release github.com
• Certified Asterisk 22.8-cert3 release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:51.