🇰🇷 한글 설명
Asterisk는 오픈소스 PBX 및 텔레포니 툴킷입니다. Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 및 Certified Asterisk 22.8-cert3 이전 버전에서는, 읽기 전용 권한을 가진 인증된 공격자가 특정 조건에서 REST-over-WebSocket을 통해 쓰기 작업을 수행할 수 있습니다. 이 권한 우회로 임의의 모듈 경로 로딩과 조건부 원격 코드 실행이 가능해집니다.
💡 쉬운 설명
전화 시스템(Asterisk)의 관리 인터페이스에서 읽기 전용 계정을 가진 사람이 권한을 우회해 시스템을 조작할 수 있는 취약점입니다. 악용되면 공격자가 서버에서 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Asterisk is an open source private branch exchange and telephony toolkit. Prior to Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3, an authenticated attacker with read-only permissions for the `Asterisk REST Interface (ARI)` may, under certain conditions, execute write operations through `REST-over-WebSocket`. The authorization bypass permits `arbitrary module path` loading and conditional remote code execution. The Asterisk HTTP web server must be enabled and reachable, and the attacker must already have valid `read-only ARI credentials`. HTTP is disabled by default and binds only to 127.0.0.1 by default even when enabled. This issue is fixed in Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 and Certified Asterisk 22.8-cert3.
📍 영향받는 시스템
Asterisk 20.20.1 미만, 21.12.3 미만, 22.10.1 미만, 23.4.1 미만 및 Certified Asterisk 22.8-cert3 미만 버전
⚔️ 공격 벡터
HTTP 서버가 활성화되고 접근 가능한 상태에서, 유효한 읽기 전용 ARI 자격증명을 가진 공격자가 WebSocket을 통해 쓰기 작업을 수행하여 모듈 로딩 및 원격 코드 실행
🛡️ 대응 방법
Asterisk를 20.20.1, 21.12.3, 22.10.1, 23.4.1 또는 Certified Asterisk 22.8-cert3 이상으로 업데이트하고, 불필요하면 HTTP 서버를 비활성화하며, ARI 자격증명 관리를 강화
🔧 검증 코드
출력된 버전이 20.20.1, 21.12.3, 22.10.1, 23.4.1 또는 22.8-cert3 이상이면 패치된 것이고, 그보다 낮으면 취약한 버전입니다.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Microsoft Exchange Server