Asterisk: ARI-setChannelVar umgeht live_dangerously und erlaubt FILE()-Schreibzugriffe

Zusammenfassung

Asterisk, eine Open-Source-Telefonanlage und Telefonie-Toolkit, erlaubt einem authentifizierten ARI-Benutzer mit Nur-Lese-Berechtigung, über setChannelVar schreibende Dialplan-Funktionen auszuführen. Dazu gehören FILE()-Schreibzugriffe, auch wenn live_dangerously in asterisk.conf auf no gesetzt ist. Der Angreifer benötigt gültige Nur-Lese-ARI-Zugangsdaten, und der HTTP-Server von Asterisk muss aktiviert und erreichbar sein; er ist standardmässig deaktiviert und bindet standardmässig nur an 127.0.0.1.

Betroffen

• Asterisk vor 20.20.1
• Asterisk 21.0.0-pre1 bis vor 21.12.3
• Asterisk 22.0.0-pre1 bis vor 22.10.1
• Asterisk 23.0.0-pre1 bis vor 23.4.1
• Certified Asterisk vor 20.7-cert11
• Certified Asterisk 22.8-cert1-pre1 bis vor 22.8-cert3

Behoben in

• Asterisk 20.20.1
• Asterisk 21.12.3
• Asterisk 22.10.1
• Asterisk 23.4.1
• Certified Asterisk 20.7-cert11
• Certified Asterisk 22.8-cert3

Umgehung

• HTTP-Server von Asterisk deaktivieren, falls ARI nicht benötigt wird.
• Falls ARI benötigt wird, HTTP-Server auf localhost gebunden lassen und den externen Zugriff blockieren.
• ARI-Zugangsdaten prüfen und rotieren, insbesondere Nur-Lese-Konten, und nicht benötigte Konten entfernen.

Diese Massnahmen reduzieren die Exposition, beheben die Schwachstelle jedoch nicht.

Ausnutzung

• Kein öffentlicher Proof of Concept bekannt.
• Keine Ausnutzung in freier Wildbahn bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Asterisk oder Certified Asterisk auf die oben genannten korrigierten Versionen aktualisieren.
• Prüfen, ob der HTTP-Server und ARI aus dem Internet oder aus unvertrauenswürdigen Netzen erreichbar sind, und den Zugriff einschränken.
• ARI-Konten und Zugangsdaten prüfen und nicht benötigte oder ehemalige Mitarbeiterkonten entfernen.
• Eigene ARI-Anwendungen nach dem Update testen, da gefährliche Funktionen ohne live_dangerously möglicherweise nicht mehr funktionieren.
• Aus dem Internet erreichbare Systeme mit aktiviertem ARI priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vrfp-mg3q-3959 github.com
• Asterisk 23.4.1 release github.com
• Asterisk 22.10.1 release github.com
• Asterisk 21.12.3 release github.com
• Asterisk 20.20.1 release github.com
• Certified Asterisk 20.7-cert11 release github.com
• Certified Asterisk 22.8-cert3 release github.com
• Upstream fix commit 8f8ccaf github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:53.