Inyección SQL en Backends CEL de PostgreSQL y TDS en Asterisk (CVE-2026-57190)

Se ha identificado una vulnerabilidad de inyección SQL (clasificada como CWE-89) en los backends de registro de eventos de canales (Channel Event Log, CEL) cel_pgsql y cel_tds de Asterisk. Esta falla ocurre cuando se introducen datos no confiables en la columna eventtype de CEL a través de la aplicación de plan de marcación (dialplan) CELGenUserEvent. Requiere que dichos backends estén cargados/configurados y que se invoque la aplicación sin validar correctamente los datos de entrada.

Vector de Ataque: Remoto vía red; requiere requisitos de ataque presentes y procesamiento de entradas sin validar en el plan de marcación.

Impacto: Confidencialidad, integridad y disponibilidad afectadas en los componentes posteriores (subsequent system). Conduce a la ejecución de consultas SQL arbitrarias en la base de datos subyacente bajo el contexto de los backends afectados.

Parches y Actualizaciones: actualizar inmediatamente Asterisk a las versiones corregidas por el proveedor: 20.20.1, 21.12.3, 22.10.1, 23.4.1, o Certified Asterisk 20.7-cert11 / 22.8-cert3.

Mitigaciones Temporales: revisar el plan de marcación (dialplan) para asegurar que cualquier dato pasado a CELGenUserEvent esté estrictamente sanitizado y validado antes de ser procesado, deshabilitar el uso de los backends cel_pgsql o cel_tds si no son indispensables para la operación del sistema.

Buenas Prácticas: implementar el principio de mínimo privilegio en las cuentas de usuario de PostgreSQL y MS SQL Server utilizadas por Asterisk para limitar el impacto ante potenciales inyecciones de código SQL.

https://nvd.nist.gov/vuln/detail/cve-2026-57190