Asterisk 的 res_pjsip_endpoint_identifier_ip：错误匹配所有未经授权的 SIP 请求（CVE-2024-35190）

CVE编号

CVE-2024-35190

利用情况

暂无

补丁情况

N/A

披露时间

2024-05-18

漏洞描述

Asterisk是一个开源的私有分支交换和电话工具包。在升级到18.23.0版本后，所有未经授权的SIP请求被识别为本地Asterisk服务器的PJSIP端点。该漏洞在18.23.1、20.8.1和21.3.1版本中得到修复。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/asterisk/asterisk/commit/85241bd22936cc15760fd1f65d16c98be7aeaf6d
https://github.com/asterisk/asterisk/pull/600
https://github.com/asterisk/asterisk/pull/602
https://github.com/asterisk/asterisk/security/advisories/GHSA-qqxj-v78h-hrf9

CVSS3评分 5.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 已更改
• 用户交互 无
• 可用性 无
• 保密性 低
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com