🇰🇷 한글 설명
Asterisk는 오픈소스 사설 교환기(PBX) 및 텔레포니 툴킷입니다. Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 및 Certified Asterisk 20.7-cert11, 22.8-cert3 이전 버전에서는 인증된 공격자가 조작된 패킷을 통해 res_xmpp 모듈의 XMPP 네임스페이스 접두사 처리 과정에서 스택 버퍼 오버플로우를 유발할 수 있습니다. 해당 취약점은 위 수정 버전에서 해결되었습니다.
💡 쉬운 설명
Asterisk 전화 시스템의 XMPP 메시징 기능에 결함이 있어, 공격자가 특수하게 만든 메시지로 시스템을 불안정하게 만들거나 악성 코드를 실행할 수 있습니다. XMPP 기능을 사용하지 않거나 최신 버전으로 업데이트하면 위험을 줄일 수 있습니다.
🇺🇸 원문 (English)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an authenticated attacker may cause a stack buffer overflow in `res_xmpp` `XMPP namespace prefix` handling using carefully crafted packets. The `res_xmpp` module must be loaded, an XMPP connection must be configured in `xmpp.conf`, and the attacker must have an XMPP account on the same or a federated server. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
📍 영향받는 시스템
Asterisk 20.20.1 미만, 21.12.3 미만, 22.10.1 미만, 23.4.1 미만 및 Certified Asterisk 20.7-cert11 미만, 22.8-cert3 미만 (res_xmpp 모듈 로드 및 XMPP 설정 시)
⚔️ 공격 벡터
XMPP 계정을 가진 인증된 공격자가 동일 또는 연합 XMPP 서버를 통해 조작된 패킷을 전송하여 버퍼 오버플로우를 유발
🛡️ 대응 방법
Asterisk를 20.20.1, 21.12.3, 22.10.1, 23.4.1 또는 Certified Asterisk 20.7-cert11, 22.8-cert3 이상으로 업데이트하거나, res_xmpp 모듈을 비활성화
🔧 검증 코드
출력된 버전이 수정된 버전(20.20.1 이상, 21.12.3 이상, 22.10.1 이상, 23.4.1 이상 등 해당 브랜치 기준)보다 낮으면 취약하며, 같거나 높으면 패치된 상태입니다.