CVE-2022-26499

SSRF w Asterisk przez nagłówek Identity w mechanizmie STIR/SHAKEN

CVSS 9.1v3.1pub. 2022-04-15upd. 2024-11-21

W systemie Asterisk (do wersji 19.x włącznie) odkryto podatność typu SSRF (Server-Side Request Forgery) związaną z obsługą mechanizmu STIR/SHAKEN. Atakujący może bez uwierzytelnienia wysyłać dowolne żądania HTTP do wewnętrznych interfejsów serwera, co stwarza poważne ryzyko dla bezpieczeństwa infrastruktury.

▸ Pokaż oryginał (EN)

An SSRF issue was discovered in Asterisk through 19.x. When using STIR/SHAKEN, it's possible to send arbitrary requests (such as GET) to interfaces such as localhost by using the Identity header. This is fixed in 16.25.2, 18.11.2, and 19.3.2.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji wartości nagłówka Identity używanego w protokole STIR/SHAKEN. Poprzez odpowiednio spreparowany nagłówek Identity atakujący może zmusić serwer Asterisk do wysyłania żądań (np. GET) do dowolnych adresów, w tym do interfejsów lokalnych takich jak localhost. Mechanizm STIR/SHAKEN służy do weryfikacji tożsamości rozmówcy w sieciach VoIP, jednak jego wadliwa implementacja w tym przypadku otwiera kanał do nadużyć po stronie serwera.

Skutki

Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych niedostępnych bezpośrednio z zewnątrz oraz potencjalnie odczytać lub zmodyfikować wrażliwe dane eksponowane przez lokalne usługi, omijając mechanizmy kontroli dostępu.

Mitygacja

Należy zaktualizować Asterisk do wersji 16.25.2, 18.11.2 lub 19.3.2, w których podatność została naprawiona. Użytkownicy dystrybucji Debian powinni zastosować patche udostępnione w ramach DSA-5285 oraz aktualizacji debian-lts.

Kogo dotyczy

Digium Asterisk w wersjach do 19.x włącznie (gałęzie 16.x, 18.x oraz 19.x); dotknięte są również pakiety dostępne w dystrybucjach Debian Linux.

Uwagi

Podatność opisana w oficjalnym biuletynie bezpieczeństwa projektu Asterisk jako AST-2022-002. Szczegóły techniczne zostały opublikowane w serwisie Packet Storm Security.