🇰🇷 한글 설명
Asterisk의 LDAP 실시간 드라이버인 res_config_ldap 모듈이 SIP 사용자명을 통해 LDAP 필터 인젝션을 허용할 수 있습니다. 이로 인해 인증되지 않은 공격자가 조작된 SIP 패킷으로 임의의 LDAP 쿼리를 수행하고 정보를 유출할 수 있습니다. 해당 모듈은 LDAP 서버에 접근하도록 로드 및 설정되어야 하며 기본 설정이 아닙니다.
💡 쉬운 설명
전화 시스템 소프트웨어(Asterisk)가 사용자 이름을 제대로 검사하지 않아, 외부인이 특수하게 만든 전화 신호로 회사 사용자 디렉터리 정보를 몰래 빼낼 수 있습니다. 이 문제는 LDAP 연동을 사용하는 경우에만 해당합니다.
🇺🇸 원문 (English)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, the LDAP realtime driver `res_config_ldap` may permit `LDAP filter injection` through a `SIP username`, allowing an unauthenticated attacker to make arbitrary LDAP queries using carefully crafted SIP packets and disclose information. The `res_config_ldap` module must be loaded and configured to access an LDAP server, which is not the default. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
📍 영향받는 시스템
Asterisk 20.20.1 미만, 21.12.3 미만, 22.10.1 미만, 23.4.1 미만 및 Certified Asterisk 20.7-cert11 미만, 22.8-cert3 미만 (res_config_ldap 모듈 사용 시)
⚔️ 공격 벡터
공격자가 조작된 SIP 패킷의 사용자명 필드에 LDAP 필터 구문을 삽입하여 인증 없이 LDAP 쿼리를 실행하고 디렉터리 정보를 조회합니다.
🛡️ 대응 방법
Asterisk를 20.20.1, 21.12.3, 22.10.1, 23.4.1 또는 Certified Asterisk 20.7-cert11, 22.8-cert3 이상으로 업데이트하고, 불필요하면 res_config_ldap 모듈을 비활성화합니다.
🔧 검증 코드
출력된 버전이 해당 수정 버전(예: 20.20.1 이상 등) 이상이면 패치된 것이며, 그보다 낮으면 취약합니다. res_config_ldap 사용 여부도 함께 확인하세요.
asterisk -rx 'core show version' 2>/dev/null | head -1