🇰🇷 한글 설명
Asterisk는 오픈소스 사설 교환기(PBX) 및 전화 통신 툴킷입니다. 21.0.0-pre1부터 Asterisk 21.12.3, 22.10.1, 23.4.1 및 Certified Asterisk 22.8-cert3 이전 버전까지, chan_ooh323 모듈의 Q.931 party-number 파서에는 CVE-2022-37325 수정이 적용되지 않았습니다. 이로 인해 조작된 Q.931 요소를 포함한 OOH323 요청으로 Asterisk가 충돌할 수 있습니다.
💡 쉬운 설명
인터넷에 공개된 특정 전화 기능(H.323 채널)을 사용하는 Asterisk 전화 서버는 악의적인 요청을 받으면 멈춰버릴 수 있습니다. 이 기능은 기본 설정이 아니며 별도로 설치한 경우에만 문제가 됩니다.
🇺🇸 원문 (English)
Asterisk is an open source private branch exchange and telephony toolkit. From 21.0.0-pre1 until Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, the `chan_ooh323` `Q.931 party-number parser` lacks the `CVE-2022-37325` fix because that fix was never forward-ported from Asterisk 20 to later versions. Malformed Q.931 elements in an `OOH323 request` can therefore crash Asterisk. This issue affects Asterisk versions greater than 20. The `chan_ooh323` addon channel driver must be explicitly compiled and installed, which is not the default, and its port must be publicly reachable. This issue is fixed in Asterisk 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.
📍 영향받는 시스템
Asterisk 21.0.0-pre1~21.12.3 미만, 22.x 22.10.1 미만, 23.x 23.4.1 미만, Certified Asterisk 22.8-cert3 미만 (chan_ooh323 애드온 설치 시)
⚔️ 공격 벡터
외부에서 공개된 chan_ooh323 포트로 조작된 Q.931 요소를 포함한 OOH323 요청을 전송하여 서비스 충돌(DoS)을 유발합니다.
🛡️ 대응 방법
Asterisk를 21.12.3, 22.10.1, 23.4.1 또는 Certified Asterisk 22.8-cert3 이상으로 업데이트하거나, chan_ooh323 모듈을 제거하고 해당 포트를 외부에서 차단합니다.
🔧 검증 코드
버전이 취약 범위(예: 21.12.3 미만, 22.10.1 미만, 23.4.1 미만)에 해당하고 chan_ooh323.so 파일이 존재하면 취약한 상태이며, 파일이 없으면 이 모듈 기반 공격 대상이 아닙니다.
asterisk -V 2>/dev/null; ls /usr/lib*/asterisk/modules/chan_ooh323.so 2>/dev/null