ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Asterisk هو نظام تبادل فرعي خاص وأدوات هاتفية مفتوحة المصدر. قبل الإصدارات Asterisk 20.20.1 و 21.12.3 و 22.10.1 و 23.4.1 و Certified Asterisk 22.8-cert3، قد يقوم مهاجم يملك حسابًا مصادق عليه ولديه أذونات القراءة فقط لواجهة `Asterisk REST Interface (ARI)`، في ظل ظروف معينة، بتنفيذ عمليات كتابة عبر `REST-over-WebSocket`. يتيح تجاوز المصادقة هذا تحميل `arbitrary module path` وتنفيذ أوامر عن بُعد مشروط. يجب تمكين خادم الويب HTTP الخاص بـ Asterisk وإمكانية الوصول إليه، ويجب أن يمتلك المهاجم بالفعل `read-only ARI credentials` صالحة. يتم تعطيل HTTP افتراضيًا ولا يرتبط إلا بـ 127.0.0.1 افتراضيًا حتى عند تمكينه. تم إصلاح هذه المشكلة في الإصدارات Asterisk 20.20.1 و 21.12.3 و 22.10.1 و 23.4.1 و Certified Asterisk 22.8-cert3.
المعالجة
المراجع
- مرجعhttps://github.com/asterisk/asterisk/commit/051d29a0d35559e9165bab346de9422e25415533
- مرجعhttps://github.com/asterisk/asterisk/commit/205c301a0a0b0d013d4ebdf12856ebbc30405350
- مرجعhttps://github.com/asterisk/asterisk/commit/762b4c9c39b28fa5564112b0f484012298469a6c
- مرجعhttps://github.com/asterisk/asterisk/commit/87641e9b2cd62c998c5283400ba77b61b5b07dd4
- مرجعhttps://github.com/asterisk/asterisk/commit/9d198a7d16ccba51507dfea6c1ecc511e89d698a
- مرجعhttps://github.com/asterisk/asterisk/commit/c10cdbce072a708060cd38a89d6850808fe6bf46
- مرجعhttps://github.com/asterisk/asterisk/releases/tag/20.20.1
- مرجعhttps://github.com/asterisk/asterisk/releases/tag/21.12.3
- مرجعhttps://github.com/asterisk/asterisk/releases/tag/22.10.1
- مرجعhttps://github.com/asterisk/asterisk/releases/tag/23.4.1
- مرجعhttps://github.com/asterisk/asterisk/releases/tag/certified-22.8-cert3
- مرجعhttps://github.com/asterisk/asterisk/security/advisories/GHSA-wcvv-g26m-wx5c