JVNDB-2026-004117

SangomaのAsterisk等の複数製品におけるクロスサイトスクリプティングの脆弱性

Asteriskはオープンソースのプライベート交換機および電話ツールキットです。バージョン20.7-cert9、20.18.2、21.12.1、22.8.2、および23.2.2より前のバージョンでは、ユーザーが提供するCookieおよび任意のGET変数のクエリパラメータの値が、ast_str_appendを使用してページのHTMLに直接挿入されていました。GET /httpstatusのエンドポイントは、asterisk/main/http.cに関連する潜在的に脆弱なエンドポイントです。この問題はバージョン20.7-cert9、20.18.2、21.12.1、22.8.2、および23.2.2で修正されています。

Sangoma

• Asterisk 20.18.2 およびそれ以前
• Asterisk 21.0.0 から 21.12.1
• Asterisk 22.0.0 から 22.8.2
• Asterisk 23.0.0 以上 23.2.2 未満
• certified asterisk 18.9 およびそれ以前
• certified asterisk 20.7

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : The Asterisk embedded web server's /httpstatus page echos user supplied values(cookie and query string) without sanitization  Advisory  asterisk/asterisk  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-23738

1. National Vulnerability Database (NVD) : CVE-2026-23738

• [2026年02月20日]
    掲載