リモートの Fedora 43 ホストには、FEDORA-2026-80b21debe7 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Asterisk 18.26.4のアップデートで、長らく古くなった 18.12.1 パッケージ以降蓄積された多数のセキュリティ脆弱性に対応します。今回のアップデートで以下の CVE が修正されました:

    - CVE-2022-26498 ( 18.13.0で固定):chan_ooh323では使用後無料
    - CVE-2022-42705 ( 18.15.0で固定):res_pjsip_pubsubでは使用後無料
    - CVE-2022-37325 ( 18.15.1年に修正):歪んだIEによるチャネル H323 クラッシュ
    - CVE-2023-37457 ( 18.20.0に固定):PJSIP_HEADER機能のバッファオーバーフロー
    - CVE-2023-49294 ( 18.20.1年に修正):AMI GetConfigによる任意のファイル読み取り
    - CVE-2023-49786 ( 18.20.1年に修正):DTLSレースコンディションによるDoSの発生
    - CVE-2024-35190 ( 18.23.1年に修正):不正なSIPリクエストがエンドポイントとしてマッチングされる
    - CVE-2024-42365 ( 18.24.2で固定):Write=originate はコード実行を可能にします
    - CVE-2024-42491 ( 18.25.0年に修正):誤ったContact/Record-Route URIによるクラッシュ
    - CVE-2025-49832 ( 18.26.3年固定):DoS/RCE res_stir_shaken
    - CVE-2025-47779 ( 18.26.2で固定):フォームドしたフロムヘッダーによるアイデンティティフォージング
    - CVE-2025-1131 ( 18.26.3年に固定):safe_asteriskによるローカル特権のエスカレーション
    - CVE-2025-54995 ( 18.26.4年に固定):RTPポートリークによるリソース枯渇

    また、asterisk-snmp(BZ#2433748)のF44FailsToInstallも修正しています。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4326アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4326-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 10 月 10 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージasteriskバージョン 1:16.28.0~dfsg-0+deb11u8 CVE ID CVE-2025-1131 CVE-2025-54995

    オープンソースプライベートブランチ交換である Asterisk に 2 つのセキュリティの脆弱性が発見されました。

    CVE-2025-1131

        Asterisk ツールキットパッケージに含まれる safe_asterisk スクリプトに、ローカル権限昇格の脆弱性が存在します。このスクリプトでAsteriskが起動されると、所有権や権限を検証せずに、rootとして/etc/asterisk/startup.d/にあるすべての.shファイルをソースします。/etc/asterisk への正当な書き込みアクセス権を持つ非 root ユーザーが、悪意あるスクリプトを startup.d ディレクトリに配置することでこの挙動を悪用し、サービスの再起動時に root 権限で実行される可能性があります。デフォルトの Debian インストールは、この問題の影響を受けません。

    CVE-2025-54995

        このバージョンより前では、セッション終端が不足しているために RTP UDP ポートと内部リソースが漏洩する可能性があります。これにより、リソースの枯渇が発生する可能性があります。


    Debian 11 Bullseyeでは、これらの問題はバージョン 1:16.28.0~dfsg-0+deb11u8で修正されました。

    お使いの asterisk パッケージをアップグレードすることを推奨します。

    asterisk の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/asterisk

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-98decbde87 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Asterisk 18.26.4のアップデートで、長らく古くなった 18.12.1 パッケージ以降蓄積された多数のセキュリティ脆弱性に対応します。今回のアップデートで以下の CVE が修正されました:

    - CVE-2022-26498 ( 18.13.0で固定):chan_ooh323では使用後無料
    - CVE-2022-42705 ( 18.15.0で固定):res_pjsip_pubsubでは使用後無料
    - CVE-2022-37325 ( 18.15.1年に修正):歪んだIEによるチャネル H323 クラッシュ
    - CVE-2023-37457 ( 18.20.0に固定):PJSIP_HEADER機能のバッファオーバーフロー
    - CVE-2023-49294 ( 18.20.1年に修正):AMI GetConfigによる任意のファイル読み取り
    - CVE-2023-49786 ( 18.20.1年に修正):DTLSレースコンディションによるDoSの発生
    - CVE-2024-35190 ( 18.23.1年に修正):不正なSIPリクエストがエンドポイントとしてマッチングされる
    - CVE-2024-42365 ( 18.24.2で固定):Write=originate はコード実行を可能にします
    - CVE-2024-42491 ( 18.25.0年に修正):誤ったContact/Record-Route URIによるクラッシュ
    - CVE-2025-49832 ( 18.26.3年固定):DoS/RCE res_stir_shaken
    - CVE-2025-47779 ( 18.26.2で固定):フォームドしたフロムヘッダーによるアイデンティティフォージング
    - CVE-2025-1131 ( 18.26.3年に固定):safe_asteriskによるローカル特権のエスカレーション
    - CVE-2025-54995 ( 18.26.4年に固定):RTPポートリークによるリソース枯渇

    また、asterisk-snmp(BZ#2433748)のF44FailsToInstallも修正しています。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-38d71393c1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Asterisk 18.26.4のアップデートで、長らく古くなった 18.12.1 パッケージ以降蓄積された多数のセキュリティ脆弱性に対応します。今回のアップデートで以下の CVE が修正されました:

    - CVE-2022-26498 ( 18.13.0で固定):chan_ooh323では使用後無料
    - CVE-2022-42705 ( 18.15.0で固定):res_pjsip_pubsubでは使用後無料
    - CVE-2022-37325 ( 18.15.1年に修正):歪んだIEによるチャネル H323 クラッシュ
    - CVE-2023-37457 ( 18.20.0に固定):PJSIP_HEADER機能のバッファオーバーフロー
    - CVE-2023-49294 ( 18.20.1年に修正):AMI GetConfigによる任意のファイル読み取り
    - CVE-2023-49786 ( 18.20.1年に修正):DTLSレースコンディションによるDoSの発生
    - CVE-2024-35190 ( 18.23.1年に修正):不正なSIPリクエストがエンドポイントとしてマッチングされる
    - CVE-2024-42365 ( 18.24.2で固定):Write=originate はコード実行を可能にします
    - CVE-2024-42491 ( 18.25.0年に修正):誤ったContact/Record-Route URIによるクラッシュ
    - CVE-2025-49832 ( 18.26.3年固定):DoS/RCE res_stir_shaken
    - CVE-2025-47779 ( 18.26.2で固定):フォームドしたフロムヘッダーによるアイデンティティフォージング
    - CVE-2025-1131 ( 18.26.3年に固定):safe_asteriskによるローカル特権のエスカレーション
    - CVE-2025-54995 ( 18.26.4年に固定):RTPポートリークによるリソース枯渇

    また、asterisk-snmp(BZ#2433748)のF44FailsToInstallも修正しています。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Asterisk ツールキットパッケージに含まれる safe_asterisk スクリプトに、ローカル権限昇格の脆弱性が存在します。このスクリプトSysV initまたはFreePBX環境で一般的なAsteriskが起動されると、所有権や権限を検証せずに、/etc/asterisk/startup.d/にあるすべての.shファイルをrootとしてソースします。/etc/asterisk への正当な書き込みアクセス権を持つ非 root ユーザーが、悪意あるスクリプトを startup.d ディレクトリに配置することでこの挙動を悪用し、サービスの再起動時に root 権限で実行される可能性があります。CVE-2025-1131

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
311157	Fedora 43 : asterisk (2026-80b21debe7)	Nessus	Fedora Local Security Checks	2026/4/30	2026/5/1	high
269985	Debian dla-4326asterisk - セキュリティ更新	Nessus	Debian Local Security Checks	2025/10/10	2025/10/10	high
311158	Fedora 42 : asterisk (2026-98decbde87)	Nessus	Fedora Local Security Checks	2026/4/30	2026/5/1	high
311100	フェドラ44:アスタリスク(2026-38d71393c1)	Nessus	Fedora Local Security Checks	2026/4/30	2026/5/1	high
266045	Linux Distros のパッチ未適用の脆弱性: CVE-2025-1131	Nessus	Misc.	2025/9/29	2026/7/21	high

検出

プラグインの検索

high

high

high

high

high