Sistemas Afectados
El conjunto de versiones vulnerables de Asterisk incluye: versiones de la rama 20.x anteriores a la 20.20.1, versiones de la rama 21.x anteriores a la 21.12.3, versiones de la rama 22.x anteriores a la 22.10.1, versiones de la rama 23.x anteriores a la 23.4.1 y certified Asterisk: versiones anteriores a 20.7-cert11 y 22.8-cert3
Descripción
Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en pila (stack-based buffer overflow, clasificada como CWE-787 / escritura fuera de límites) en el módulo res_xmpp de Asterisk. Esta falla se produce durante el manejo de los prefijos de espacio de nombres (XMPP namespace prefix) al procesar paquetes meticulosamente manipulados. Requiere que el módulo res_xmpp esté cargado, que se haya configurado una conexión XMPP en xmpp.conf y que el atacante disponga de una cuenta XMPP en el mismo servidor o en uno federado.
Vector de Ataque: Remoto vía red; requiere autenticación previa (cuenta XMPP válida) y que el atacante envíe paquetes especialmente diseñados.
Impacto: Confidencialidad, integridad y disponibilidad afectadas. Conduce a la denegación de servicio (DoS) por caída repentina del servicio o a la ejecución potencial de código arbitrario bajo los privilegios del proceso.
Recomendaciones
Parches y Actualizaciones: actualizar inmediatamente Asterisk a las versiones corregidas por el proveedor: 20.20.1, 21.12.3, 22.10.1, 23.4.1, o Certified Asterisk 20.7-cert11 / 22.8-cert3.
Mitigaciones Temporales: deshabilitar la carga del módulo res_xmpp o la conexión XMPP en xmpp.conf si no se utiliza activamente en la infraestructura.
Buenas Prácticas: restringir la federación de cuentas XMPP y aplicar controles estrictos sobre el acceso de usuarios al servidor de mensajería integrado.
Referencias
Información de la Alerta
VENCERT-2026-108
🟠 Alta
Activa
CVE-2026-57188
Oct. 27, 2026