🇰🇷 한글 설명
Asterisk는 오픈소스 사설 교환기(PBX) 및 텔레포니 툴킷입니다. 20.20.1, 21.12.3, 22.10.1, 23.4.1 이전 버전 및 Certified Asterisk 20.7-cert11, 22.8-cert3 이전 버전에서 res_phoneprov가 활성화된 경우, 전화기 프로비저닝 HTTP 오류 페이지의 반사형 XSS 취약점으로 인해 미인증 공격자가 인증된 사용자의 AMI 세션 쿠키를 탈취하고 해당 사용자를 가장할 수 있습니다. 공격에는 HTTP 서버와 AMI-HTTP 접근이 모두 활성화되어야 하며, 공격자는 HTTP 서버에 연결할 수 있어야 하고 인증된 사용자가 악성 링크를 클릭하도록 유도해야 합니다.
💡 쉬운 설명
전화 시스템 관리 웹페이지의 오류 화면에 악성 코드를 심을 수 있는 취약점입니다. 관리자가 악성 링크를 클릭하면 관리자 권한이 공격자에게 넘어갈 수 있습니다.
🇺🇸 원문 (English)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, an unauthenticated attacker may use reflected cross-site scripting in `phone provisioning HTTP error pages` to retrieve an authorized user's `AMI session cookie` and impersonate that user when `res_phoneprov` is enabled. The Asterisk HTTP web server, Asterisk Manager Interface (AMI), and AMI access via HTTP must all be enabled; each is disabled by default. The attacker must be able to connect to the HTTP server, which binds only to `127.0.0.1` by default even when enabled, and must convince the authorized user to click a malicious link. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
📍 영향받는 시스템
Asterisk 20.20.1 미만, 21.12.3 미만, 22.10.1 미만, 23.4.1 미만 및 Certified Asterisk 20.7-cert11 미만, 22.8-cert3 미만 (res_phoneprov 및 HTTP/AMI-HTTP 활성화 시)
⚔️ 공격 벡터
미인증 공격자가 악성 링크를 만들어 인증된 관리자가 클릭하도록 유도하여 AMI 세션 쿠키를 탈취하고 세션을 가장
🛡️ 대응 방법
Asterisk를 20.20.1, 21.12.3, 22.10.1, 23.4.1 또는 Certified Asterisk 20.7-cert11, 22.8-cert3 이상으로 업데이트하고, 불필요한 경우 res_phoneprov 및 HTTP/AMI-HTTP 기능을 비활성화
🔧 검증 코드
출력된 버전이 20.20.1 이상(20.x 라인), 21.12.3 이상, 22.10.1 이상, 23.4.1 이상이면 패치된 것이며, Certified Asterisk의 경우 20.7-cert11 또는 22.8-cert3 이상이어야 안전합니다