Высокий

Опубликована

CVE-2025-47779

Using malformed From header can forge identity with ";" or NULL in name portion

Публикация: 22.05.2025·Обновлена: 03.11.2025, 23:04·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Asterisk is an open-source private branch exchange (PBX). Prior to versions 18.26.2, 20.14.1, 21.9.1, and 22.4.1 of Asterisk and versions 18.9-cert14 and 20.7-cert5 of certified-asterisk, SIP requests of the type MESSAGE (RFC 3428) authentication do not get proper alignment. An authenticated attacker can spoof any user identity to send spam messages to the user with their authorization token. Abuse of this security issue allows authenticated attackers to send fake chat messages can be spoofed to appear to come from trusted entities. Even administrators who follow Security best practices and Security Considerations can be impacted. Therefore, abuse can lead to spam and enable social engineering, phishing and similar attacks. Versions 18.26.2, 20.14.1, 21.9.1, and 22.4.1 of Asterisk and versions 18.9-cert14 and 20.7-cert5 of certified-asterisk fix the issue.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

asterisk / asterisk

{
  "status": "affected",
  "version": "< 18.9-cert14"
}

{
  "status": "affected",
  "version": ">= 18.10, < 18.26.2"
}

{
  "status": "affected",
  "version": ">= 20.0, < 20.7-cert5"
}

{
  "status": "affected",
  "version": ">= 20.8, < 20.14.1"
}

{
  "status": "affected",
  "version": ">= 21.0, < 21.9.1"
}

{
  "status": "affected",
  "version": ">= 22.0, < 22.4.1"
}

CVSS: оценки и векторы

CVSS 3.1 · cve7.7

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьнет

I · Целостностьвысокое

A · Доступностьнет

Классы CWE

CWE-140 · Неправильная нейтрализация делимитеров CWE-792 · Неполная фильтрация одного или нескольких отдельных элементов

Источники и ссылки

Материал · github.com · cve Материал · github.com · cve Материал · lists.debian.org · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:11:49.662902+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T16:13:39.248893+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T16:13:39.248893+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T16:13:39.248893+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:11:49.662902+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T16:13:39.248893+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:11
Данные обновлены04.11.2026, 00:10
Данные обновлены03.11.2026, 00:09
Данные обновлены02.11.2026, 00:08
Данные обновлены31.10.2026, 11:55
Данные обновлены30.10.2026, 14:46
Данные обновлены29.10.2026, 10:59
Опубликована28.10.2026, 19:13

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-57199 Asterisk: Asterisk app_sms.c copies externally controlled SMS lengths into fixed in-struct buffers asterisk / asterisk · asterisk / certified-asterisk	Низкий	2.3	0,48 %	28.10.2026
CVE-2026-57192 Asterisk: Out-of-Bounds Write in Codec2 Decoder Due to Floor/Ceil Sample Count Mismatch asterisk / asterisk · asterisk / certified-asterisk	Средний	6.0	0,65 %	28.10.2026
CVE-2026-57198 Asterisk: Possible RED T.140 Heap Buffer Overflow asterisk / asterisk · asterisk / certified-asterisk	Низкий	2.3	0,83 %	27.10.2026
CVE-2026-57197 Asterisk: Heap Buffer Overflow in OGG/Speex File Playback (format_ogg_speex) asterisk / asterisk · asterisk / certified-asterisk	Высокий	7.7	0,53 %	27.10.2026
CVE-2026-57195 Asterisk: NULL Pointer Dereference in HTTP AMI Digest Authentication asterisk / asterisk · asterisk / certified-asterisk	Высокий	7.5	0,57 %	28.10.2026