Explotación de Subida de Archivos Peligrosos sin Autenticación en PuMuKIT (CVE-2026-4337)

Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en montículo (heap-based buffer overflow, clasificada como CWE-122 y CWE-787) en el módulo format_ogg_speex de Asterisk. Esta falla se origina por una operación memcpy sin acotar (unbounded memcpy) al procesar paquetes de datos de audio OGG/Speex, lo que provoca la corrupción de la memoria y el bloqueo repentino (crash) del servicio al leer archivos maliciosos o corruptos.

Vector de Ataque: Remoto vía red; requiere que un atacante con privilegios bajos cree o suministre un archivo de audio OGG/Speex manipulado y logre que Asterisk esté configurado y lo reproduzca (o convencer a un administrador de hacerlo).

Impacto: Confidencialidad, integridad y disponibilidad altas en el sistema vulnerable. Puede provocar denegación de servicio (DoS) y ejecución potencial de código arbitrario bajo el contexto del proceso afectado.

Parches y Actualizaciones: actualizar de inmediato Asterisk a las versiones corregidas por el fabricante: 20.20.1, 21.12.3, 22.10.1, 23.4.1 o Certified Asterisk 20.7-cert11 / 22.8-cert3 (según corresponda).

Mitigaciones Temporales: restringir estrictamente la subida y colocación de archivos de audio multimedia en el servidor únicamente a usuarios de confianza con control de permisos exhaustivo, deshabilitar el uso o la carga del formato Speex (format_ogg_speex) si no es estrictamente necesario para la operación de la centralita.

Buenas Prácticas: auditar periódicamente los directorios de almacenamiento de audios y buzones de voz del sistema PBX en busca de archivos extraños o no autorizados.

https://nvd.nist.gov/vuln/detail/cve-2026-57197