CVE-2025-49832 [中] | Denial of Service（Asterisk）

Asterisk is an open source private branch exchange and telephony toolkit. In versions up to and including 18.26.2, between 20.00.0 and 20.15.0, 20.7-cert6, 21.00.0, 22.00.0 through 22.5.0, there is a remote DoS and possible RCE condition in `asterisk/res/res_stir_shaken /verification.c` that can be exploited when an attacker can set an arbitrary Identity header, or STIR/SHAKEN is enabled, with verification set in the SIP profile associated with the endpoint to be attacked. This is fixed in versions 18.26.3, 20.7-cert6, 20.15.1, 21.10.1 and 22.5.1.

EDB-ID	ソース	種別	公開	リンク
—	nvd_ref	exploit_tag		Exploit-DB ↗

EDB-ID

ソース

種別

公開

リンク

—

nvd_ref

exploit_tag

Exploit-DB ↗

#	日付	旧 EPSS スコア	新 EPSS スコア	Δ（新 − 旧）
1	2026-06-15	1.06%	0.43%	-0.63%
2	2026-05-28	0.38%	1.06%	+0.68%
3	2026-05-18	—	0.38%	—

日付

旧 EPSS スコア

新 EPSS スコア

Δ（新 − 旧）

2026-06-15

1.06%

0.43%

-0.63%

2026-05-28

0.38%

1.06%

+0.68%

2026-05-18

—

0.38%

—

ベーススコア	バージョン	深刻度	ベクトル	悪用しやすさ	影響	スコアの出典
6.5	3.1	MEDIUM	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:L) 一般ユーザー権限があれば足り、管理者（root 相当）は不要。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:N) 機微情報の漏えいは想定しにくい。完全性への影響 (I:N) 改ざん・なりすましによる信頼毀損は軽微か、想定されない。可用性への影響 (A:H) 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。	2.8	3.6	[email protected]
6.5	3.1	MEDIUM	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:L) 一般ユーザー権限があれば足り、管理者（root 相当）は不要。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:N) 機微情報の漏えいは想定しにくい。完全性への影響 (I:N) 改ざん・なりすましによる信頼毀損は軽微か、想定されない。可用性への影響 (A:H) 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。	2.8	3.6	[email protected]

ベーススコア

バージョン

深刻度

ベクトル

悪用しやすさ

影響

スコアの出典

6.5

3.1

MEDIUM

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:L): 一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:N): メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:N): 機微情報の漏えいは想定しにくい。
完全性への影響 (I:N): 改ざん・なりすましによる信頼毀損は軽微か、想定されない。
可用性への影響 (A:H): 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。

2.8

3.6

[email protected]

6.5

3.1

MEDIUM

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:L): 一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:N): メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:N): 機微情報の漏えいは想定しにくい。
完全性への影響 (I:N): 改ざん・なりすましによる信頼毀損は軽微か、想定されない。
可用性への影響 (A:H): 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。

2.8

3.6

[email protected]

CVE-2025-49832 の OS トラッカー

vendor	priority	summary	link
`alpine`	—	CVE-2025-49832: 1 source package rows (asterisk); 97 state rows across 5 repos (3.19-main, 3.20-main, 3.21-main, 3.22-main, edge-main); fixed 0, open 97.	https://security.alpinelinux.org/vuln/CVE-2025-49832
`debian`	unimportant	CVE-2025-49832 unimportant priority: Debian including 1 source packages (asterisk), 2 status rows across 2 suites (bullseye, sid): resolved 2.	https://security-tracker.debian.org/tracker/CVE-2025-49832
`gentoo`	high	CVE-2025-49832: 1 GLSA(s) (202601-04), 1 atom(s) (net-misc/asterisk); latest impact high.	https://bugs.gentoo.org/buglist.cgi?quicksearch=CVE-2025-49832
`ubuntu`	medium	CVE-2025-49832 medium priority: Ubuntu including 1 source packages (asterisk), 8 status rows across 8 suites (bionic, focal, jammy, noble, plucky, questing, upstream, xenial): needs-triage 6, ignored 1, released 1.	https://ubuntu.com/security/CVE-2025-49832

CVE-2025-49832 の影響を受けるソフトウェア／構成

ベンダー	製品	バージョン	生の CPE
sangoma	asterisk	< 18.26.3	cpe:2.3:a:sangoma:asterisk::::::::
sangoma	asterisk	>= 20.0.0, < 20.15.1	cpe:2.3:a:sangoma:asterisk::::::::
sangoma	asterisk	>= 21.0.0, < 21.10.1	cpe:2.3:a:sangoma:asterisk::::::::
sangoma	asterisk	>= 22.0.0, < 22.5.1	cpe:2.3:a:sangoma:asterisk::::::::
sangoma	certified_asterisk	<= 18.9	cpe:2.3:a:sangoma:certified_asterisk::::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert1::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert1-rc1::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert1-rc2::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert2::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert3::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert4::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert5::::::
sangoma	certified_asterisk	20.7	cpe:2.3:a:sangoma:certified_asterisk:20.7:cert6::::::

CVE-2025-49832 の参考情報

URL	タグ
https://github.com/asterisk/asterisk/security/advisories/GHSA-mrq5-74j5-f5cr	Exploit Vendor Advisory

URL

タグ

https://github.com/asterisk/asterisk/security/advisories/GHSA-mrq5-74j5-f5cr

Exploit Vendor Advisory

CVE-2025-49832 | Asterisk is Vulnerable to Remote DoS and possible RCE Attacks During Memory Allocation

CVE-2025-49832 に関する公開 exploit 参照（Exploit-DB）

CVE-2025-49832 の EPSS（Exploit Prediction Scoring System）スコア

CVE-2025-49832 の CVSS（Common Vulnerability Scoring System）指標

CVE-2025-49832 の弱点分類（列挙）

CVE-2025-49832 の OS トラッカー

CVE-2025-49832 の影響を受けるソフトウェア／構成

CVE-2025-49832 の参考情報