Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Asterisk 是一个开源专用交换机 (PBX)。在 Asterisk 的 18.26.2、 20.14.1、 21.9.1和 22.4.1 版本以及 Certified-asterisk 的 18.9-cert14 和 20.7-cert5 版本之前MESSAGE (RFC 3428) 认证类型的 SIP 请求未正确对齐。经身份验证的攻击者可欺骗任何用户身份以通过其授权标记向该用户发送垃圾消息。滥用此安全问题允许经过认证的攻击者发送可伪装成来自受信任实体的虚假聊天消息。即使是遵循安全最佳实践和安全注意事项的管理员也可能会受到影响。因此，滥用可导致发送垃圾邮件并发动社交工程、钓鱼和类似攻击。Asterisk 的 18.26.2、 20.14.1、 21.9.1和 22.4.1 版本以及 Certified-asterisk 的 18.9-cert14 和 20.7-cert5 版本修复了此问题。 (CVE-2025-47779)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4206 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4206-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 6 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 asterisk 版本 1:16.28.0~dfsg-0+deb11u7 CVE ID CVE-2025-47779 CVE-2025-47780 Debian 錯誤 1106528 1106530

    在 Open Source Private Branch Exchange Asterisk 中發現兩個安全性弱點。

    CVE-2025-47779

        MESSAGE (RFC 3428) 驗證類型的 SIP 要求未正確對齊。經驗證的攻擊者可偽造任何使用者身分傳送垃圾訊息給具有授權 token 的使用者。濫用此安全性問題可讓經驗證的攻擊者傳送可偽造為看似來自受信任實體的假聊天訊息。

    CVE-2025-47780

        嘗試透過設定 cli_permissions.conf (例如使用組態行 deny=!*) 來不允許透過 Asterisk CLI 執行 shell 命令的方式無效這可能會導致安全性風險。
        已新增 asterisk.conf 選項「disable_remote_console_shell」當設定此選項時將防止遠端主控台使用「!」前置詞。

    針對 Debian 11 Bullseye這些問題已在版本 1:16.28.0~dfsg-0+deb11u7 中修正。

    建議您升級 asterisk 套件。

    如需有關 asterisk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/asterisk

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4206 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4206-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 6 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包asterisk 版本 1:16.28.0~dfsg-0+deb11u7 CVE ID CVE-2025-47779 CVE-2025-47780 Debian 缺陷1106528 1106530

    在 Open Source Private Branch Exchange Asterisk 中发现两个安全漏洞。

    CVE-2025-47779

        MESSAGE (RFC 3428) 认证类型的 SIP 请求未获得正确对齐。经身份验证的攻击者可欺骗任何用户身份以通过其授权标记向该用户发送垃圾消息。滥用此安全问题允许经过认证的攻击者发送可伪造的聊天消息使其看起来来自于受信任的实体。

    CVE-2025-47780

        尝试通过配置 cli_permissions.conf例如使用配置行 deny=!*来禁止 shell 命令通过 Asterisk CLI 运行这不起作用还会导致安全风险。
        已添加新的 asterisk.conf 选项“disable_remote_console_shell”将其设置为使用“!”扩展符阻止远程控制台执行 shell 命令。前缀。

    对于 Debian 11 Bullseye这些问题已在版本 1:16.28.0~dfsg-0+deb11u7 中修复。

    建议您升级 asterisk 程序包。

    如需了解 asterisk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/asterisk

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Asterisk 是一種開放原始碼的 Private Branch Exchange (PBX)。在 18.26.2、 20.14.1、 21.9.1和 22.4.1 版之前的 Asterisk 版以及 Certified-asterisk 版的 18.9-cert14 和 20.7-cert5 版之前MESSAGE (RFC 3428) 驗證類型的 SIP 要求未正確對齊。經驗證的攻擊者可偽造任何使用者身分傳送垃圾訊息給具有授權 token 的使用者。濫用此安全性問題可讓經驗證的攻擊者傳送假的聊天訊息可被偽造成看似來自受信任的實體。即使是遵循「安全性」最佳做法和「安全性注意事項」的系統管理員也會受到影響。因此濫用可能會導致垃圾郵件並導致社交工程、網路釣魚和類似的攻擊。 18.26.2、 20.14.1、 21.9.1和 22.4.1 版的 Asterisk 以及 Certified-asterisk 的 18.9-cert14 和 20.7-cert5 版可修正此問題。 (CVE-2025-47779)

請注意，Nessus 依賴供應商報告的套件存在。

リモートのDebian 11ホストには、dla-4206アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4206-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 6 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ asterisk バージョン 1:16.28.0~dfsg-0+deb11u7 CVE ID CVE-2025-47779 CVE-2025-47780 Debian バグ 1106528 1106530

    オープンソースプライベートブランチ交換である Asterisk に 2 つのセキュリティの脆弱性が発見されました。

    CVE-2025-47779

        MESSAGERFC 3428認証の タイプの SIP リクエストは、適切なアライメントを取得しません。認証された攻撃者が、任意のユーザー ID を偽装して、承認トークンを使ってユーザーにスパムメッセージを送信する可能性があります。このセキュリティ問題を悪用すると、認証された攻撃者が偽のチャットメッセージを送信し、信頼できるエンティティから送信されたように偽装する可能性があります。

    CVE-2025-47780

        cli_permissions.conf を構成して例えば構成行 deny=!*を構成することにより、Asterisk CLI 経由でシェルコマンドの実行を許可しないようにしようとしても、機能しないため、セキュリティリスクが発生する可能性があります。
        新しい asterisk.conf オプション「disable_remote_console_shell」が追加され、これが設定されたとき、リモートコンソールが「!」を使用してシェルコマンドを実行しないようにします。プレフィックス 。

    Debian 11 Bullseyeでは、これらの問題はバージョン 1:16.28.0~dfsg-0+deb11u7で修正されました。

    お使いの asterisk パッケージをアップグレードすることを推奨します。

    asterisk の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/asterisk

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Asterisk は、オープンソースのプライベートブランチ交換 (PBX) です。Asterisk のバージョン 18.26.2、 20.14.1、 21.9.1、 22.4.1 より前、ならびにCertified-asterisk のバージョン 18.9-cert14 および 20.7-cert5 より前では、MESSAGERFC 3428認証のタイプの SIP リクエストで適切なアライメントが取得されません。認証された攻撃者が、任意のユーザー ID を偽装して、承認トークンを使ってユーザーにスパムメッセージを送信する可能性があります。このセキュリティ問題を悪用して、認証された攻撃者が偽のチャットメッセージを送信し、信頼できるエンティティから送信されたように偽装することが可能です。セキュリティのベストプラクティスやセキュリティの考慮事項に従う管理者も影響を受ける可能性があります。したがって、悪用されると、スパムが発生し、ソーシャルエンジニアリングやフィッシングなどの攻撃が引き起こされる可能性があります。Asterisk のバージョン 18.26.2、 20.14.1、 21.9.1、 22.4.1 、ならびにCertified-asterisk のバージョン 18.9-cert14 および 20.7-cert5 では、この問題が修正されます。CVE-2025-47779

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4206 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4206-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     June 02, 2025                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : asterisk     Version        : 1:16.28.0~dfsg-0+deb11u7     CVE ID         : CVE-2025-47779 CVE-2025-47780     Debian Bug     : 1106528 1106530

    Two security vulnerabilities have been discovered in Asterisk, an Open     Source Private Branch Exchange.

    CVE-2025-47779

        SIP requests of the type MESSAGE (RFC 3428) authentication do not get         proper alignment. An authenticated attacker can spoof any user identity to         send spam messages to the user with their authorization token. Abuse of         this security issue allows authenticated attackers to send fake chat         messages that can be spoofed to appear to come from trusted entities.

    CVE-2025-47780

        Trying to disallow shell commands to be run via the Asterisk CLI by         configuring cli_permissions.conf (e.g. with the config line deny=!*) does         not work which could lead to a security risk.
        A new asterisk.conf option 'disable_remote_console_shell' has been added         that, when set, will prevent remote consoles from executing shell commands         using the '!' prefix.

    For Debian 11 bullseye, these problems have been fixed in version     1:16.28.0~dfsg-0+deb11u7.

    We recommend that you upgrade your asterisk packages.

    For the detailed security status of asterisk please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/asterisk

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-38d71393c1 advisory.

    Update to Asterisk 18.26.4, addressing numerous security vulnerabilities     accumulated since the long-stale 18.12.1 package. The following CVEs are fixed     in this update:

    - CVE-2022-26498 (fixed in 18.13.0): use-after-free in chan_ooh323
    - CVE-2022-42705 (fixed in 18.15.0): use-after-free in res_pjsip_pubsub
    - CVE-2022-37325 (fixed in 18.15.1): crash in H323 channel via malformed IE
    - CVE-2023-37457 (fixed in 18.20.0): buffer overflow in PJSIP_HEADER function
    - CVE-2023-49294 (fixed in 18.20.1): arbitrary file read via AMI GetConfig
    - CVE-2023-49786 (fixed in 18.20.1): DTLS race condition causing DoS
    - CVE-2024-35190 (fixed in 18.23.1): unauthorized SIP requests matched as endpoint
    - CVE-2024-42365 (fixed in 18.24.2): Write=originate allows code execution
    - CVE-2024-42491 (fixed in 18.25.0): crash via malformed Contact/Record-Route URI
    - CVE-2025-49832 (fixed in 18.26.3): DoS/RCE in res_stir_shaken
    - CVE-2025-47779 (fixed in 18.26.2): identity forging via malformed From header
    - CVE-2025-1131  (fixed in 18.26.3): local privilege escalation via safe_asterisk
    - CVE-2025-54995 (fixed in 18.26.4): resource exhaustion via RTP port leak

    Also fixes F44FailsToInstall for asterisk-snmp (BZ#2433748).

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Asterisk is an open-source private branch exchange (PBX). Prior to versions 18.26.2, 20.14.1, 21.9.1, and     22.4.1 of Asterisk and versions 18.9-cert14 and 20.7-cert5 of certified-asterisk, SIP requests of the type     MESSAGE (RFC 3428) authentication do not get proper alignment. An authenticated attacker can spoof any     user identity to send spam messages to the user with their authorization token. Abuse of this security     issue allows authenticated attackers to send fake chat messages can be spoofed to appear to come from     trusted entities. Even administrators who follow Security best practices and Security Considerations can     be impacted. Therefore, abuse can lead to spam and enable social engineering, phishing and similar     attacks. Versions 18.26.2, 20.14.1, 21.9.1, and 22.4.1 of Asterisk and versions 18.9-cert14 and 20.7-cert5     of certified-asterisk fix the issue. (CVE-2025-47779)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 42 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-98decbde87 advisory.

    Update to Asterisk 18.26.4, addressing numerous security vulnerabilities     accumulated since the long-stale 18.12.1 package. The following CVEs are fixed     in this update:

    - CVE-2022-26498 (fixed in 18.13.0): use-after-free in chan_ooh323
    - CVE-2022-42705 (fixed in 18.15.0): use-after-free in res_pjsip_pubsub
    - CVE-2022-37325 (fixed in 18.15.1): crash in H323 channel via malformed IE
    - CVE-2023-37457 (fixed in 18.20.0): buffer overflow in PJSIP_HEADER function
    - CVE-2023-49294 (fixed in 18.20.1): arbitrary file read via AMI GetConfig
    - CVE-2023-49786 (fixed in 18.20.1): DTLS race condition causing DoS
    - CVE-2024-35190 (fixed in 18.23.1): unauthorized SIP requests matched as endpoint
    - CVE-2024-42365 (fixed in 18.24.2): Write=originate allows code execution
    - CVE-2024-42491 (fixed in 18.25.0): crash via malformed Contact/Record-Route URI
    - CVE-2025-49832 (fixed in 18.26.3): DoS/RCE in res_stir_shaken
    - CVE-2025-47779 (fixed in 18.26.2): identity forging via malformed From header
    - CVE-2025-1131  (fixed in 18.26.3): local privilege escalation via safe_asterisk
    - CVE-2025-54995 (fixed in 18.26.4): resource exhaustion via RTP port leak

    Also fixes F44FailsToInstall for asterisk-snmp (BZ#2433748).

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-80b21debe7 advisory.

    Update to Asterisk 18.26.4, addressing numerous security vulnerabilities     accumulated since the long-stale 18.12.1 package. The following CVEs are fixed     in this update:

    - CVE-2022-26498 (fixed in 18.13.0): use-after-free in chan_ooh323
    - CVE-2022-42705 (fixed in 18.15.0): use-after-free in res_pjsip_pubsub
    - CVE-2022-37325 (fixed in 18.15.1): crash in H323 channel via malformed IE
    - CVE-2023-37457 (fixed in 18.20.0): buffer overflow in PJSIP_HEADER function
    - CVE-2023-49294 (fixed in 18.20.1): arbitrary file read via AMI GetConfig
    - CVE-2023-49786 (fixed in 18.20.1): DTLS race condition causing DoS
    - CVE-2024-35190 (fixed in 18.23.1): unauthorized SIP requests matched as endpoint
    - CVE-2024-42365 (fixed in 18.24.2): Write=originate allows code execution
    - CVE-2024-42491 (fixed in 18.25.0): crash via malformed Contact/Record-Route URI
    - CVE-2025-49832 (fixed in 18.26.3): DoS/RCE in res_stir_shaken
    - CVE-2025-47779 (fixed in 18.26.2): identity forging via malformed From header
    - CVE-2025-1131  (fixed in 18.26.3): local privilege escalation via safe_asterisk
    - CVE-2025-54995 (fixed in 18.26.4): resource exhaustion via RTP port leak

    Also fixes F44FailsToInstall for asterisk-snmp (BZ#2433748).

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
243592	Linux Distros 未修补的漏洞：CVE-2025-47779	Nessus	Misc.	2025/8/5	2026/4/29	medium
237665	Debian dla-4206asterisk - 安全性更新	Nessus	Debian Local Security Checks	2025/6/2	2025/6/2	medium
237665	Debian dla-4206asterisk - 安全更新	Nessus	Debian Local Security Checks	2025/6/2	2025/6/2	medium
243592	Linux Distros 未修補的弱點：CVE-2025-47779	Nessus	Misc.	2025/8/5	2026/4/29	medium
237665	Debian dla-4206asterisk - セキュリティ更新	Nessus	Debian Local Security Checks	2025/6/2	2025/6/2	medium
243592	Linux Distros のパッチ未適用の脆弱性: CVE-2025-47779	Nessus	Misc.	2025/8/5	2026/4/29	medium
237665	Debian dla-4206 : asterisk - security update	Nessus	Debian Local Security Checks	2025/6/2	2025/6/2	medium
311100	Fedora 44 : asterisk (2026-38d71393c1)	Nessus	Fedora Local Security Checks	2026/4/30	2026/5/1	high
243592	Linux Distros Unpatched Vulnerability : CVE-2025-47779	Nessus	Misc.	2025/8/5	2026/4/29	medium
311158	Fedora 42 : asterisk (2026-98decbde87)	Nessus	Fedora Local Security Checks	2026/4/30	2026/5/1	high
311157	Fedora 43 : asterisk (2026-80b21debe7)	Nessus	Fedora Local Security Checks	2026/4/30	2026/5/1	high

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

high

medium

high

high