🇰🇷 한글 설명
Asterisk는 오픈소스 사설 교환기(PBX) 및 텔레포니 툴킷입니다. 20.20.1, 21.12.3, 22.10.1, 23.4.1 이전 버전 및 Certified Asterisk 20.7-cert11, 22.8-cert3 이전 버전의 app_sms.c에서 외부에서 제어되는 SMS 길이 값을 충분한 경계 검사 없이 고정 크기 구조체 버퍼에 복사하여 메모리 손상 또는 서비스 중단이 발생할 수 있습니다. 관리자가 아날로그 장치 연동을 위해 SMS 다이얼플랜 애플리케이션을 명시적으로 사용하고 입력 데이터를 검증하지 않은 경우에만 영향을 받습니다.
💡 쉬운 설명
전화 시스템 소프트웨어인 Asterisk의 SMS 처리 기능에 결함이 있어, 공격자가 특정 문자 메시지를 보내 시스템을 멈추게 하거나 조작할 수 있습니다. 이 기능을 실제로 사용하는 환경에서만 문제가 됩니다.
🇺🇸 원문 (English)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3, `app_sms.c` copies externally controlled `SMS` lengths into `fixed in-struct buffers` without sufficient bounds checks, allowing an attacker to corrupt memory or crash Asterisk. The administrator must explicitly use the `SMS` dialplan application, which is useful when routing calls to or from `analog devices`, and must not have ensured that data passed to the application is valid. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 20.7-cert11, 22.8-cert3.
📍 영향받는 시스템
Asterisk 20.20.1 / 21.12.3 / 22.10.1 / 23.4.1 미만 및 Certified Asterisk 20.7-cert11 / 22.8-cert3 미만이며, SMS 다이얼플랜 애플리케이션을 사용하는 환경
⚔️ 공격 벡터
외부에서 조작된 길이 값이 포함된 SMS 데이터를 전송하여 버퍼 오버플로를 유발하고 메모리 손상 또는 크래시를 일으킴
🛡️ 대응 방법
Asterisk를 20.20.1, 21.12.3, 22.10.1, 23.4.1 이상 또는 Certified Asterisk 20.7-cert11, 22.8-cert3 이상으로 업데이트하고, SMS 다이얼플랜 사용 여부를 점검하여 불필요하면 비활성화
🔧 검증 코드
출력된 버전이 패치된 버전(20.20.1, 21.12.3, 22.10.1, 23.4.1 또는 cert 버전) 이상이면 안전하며, 미만이면 취약하므로 업데이트가 필요합니다.