FreeSWITCH bejövő SIP MESSAGE hibája távoli kódfuttatást tesz lehetővé a chat API-n keresztül (CVE-2026-116779)

Mi történt

A FreeSWITCH 1.11.3 előtti verziói hibásan kezelik a bejövő SIP MESSAGE üzenet To felhasználóját. A kezelő ezt az értéket a pluszjel mentén kettéválasztja, a bal oldali részt pedig chatprotokoll-választóként értelmezi. Ha a választó értéke api, az üzenet a switch_api_execute() függvényhez kerül. Az a fél, akinek a MESSAGE üzenetét elfogadták, így a démon jogosultságaival FreeSWITCH API-parancsokat, köztük operációs rendszer parancsok futtatására alkalmas parancsokat is végrehajthat.

A sérülékeny útvonal hálózaton keresztül érhető el. A bejövő chat az alapértelmezett belső és külső profilokon engedélyezett, és bármely hitelesített profilfiók elegendő. Az érintett konfigurációkban a jelszóval nem rendelkező alapértelmezett címtárfelhasználók is megszüntethetik ezt az akadályt. Ennek eredménye konfigurációk és hitelesítő adatok kiszivárgása, tetszőleges hívásvezérlés és parancsvégrehajtás.

A kihasználás aktív. A CISA felvette a CVE-2026-116779 azonosítót a Known Exploited Vulnerabilities katalógusába, a CISA SSVC-értékelése a kihasználást aktívként tünteti fel, az ENISA EUVD nyilvántartása pedig 2026. november 9. óta rögzíti a kihasználást.

Kit érint

Az 1.11.3 előtti FreeSWITCH-telepítések érintettek. Ide tartoznak az alapértelmezett belső és külső profilok, amelyeken a bejövő chat engedélyezett. A FreeSWITCH egy szoftveresen definiált távközlési rendszer, amely gyakran az internetről vagy szolgáltatói partnerektől érkező SIP-forgalmat fogadja; az érintett szervezeteknek ezért minden olyan profilt ellenőrizniük kell, amely SIP MESSAGE kéréseket fogad.

Mit kell most tenni

1. Frissítsen a FreeSWITCH 1.11.3 verzióra. A karbantartók ebben a kiadásban javították a CVE-2026-116779 sérülékenységet.
2. Ha nem tud azonnal frissíteni, korlátozza a SIP-profilok hálózati elérését megbízható partnerekre, és vizsgálja felül, hogy a belső és külső profilokon szükséges-e a bejövő chat.
3. Kezeljen minden olyan érintett FreeSWITCH-példányt, amely nem megbízható hálózatok felől elérhető volt, potenciálisan kompromittáltként, amíg át nem vizsgálja a naplókat, hogy nem történt-e váratlan API- vagy operációsrendszer-parancs-végrehajtás.
4. Kövesse a CISA KEV katalógusában előírt intézkedést: alkalmazza a kockázatcsökkentő intézkedéseket a gyártói utasításoknak megfelelően, és kövesse a vonatkozó BOD 26-04 útmutatást. A CISA által megadott határidő 2026. november 12.

Hogyan észlelhető

Vizsgálja át a SIP-üzenetnaplókat olyan bejövő MESSAGE kérések után, amelyeknél a To felhasználó pluszjelet tartalmaz, és a bal oldali rész az api chat protokollt választja ki. Keressen váratlan FreeSWITCH API-parancsok végrehajtását, különösen olyan parancsokat, amelyek operációsrendszer-folyamatokat indítanak. Mivel a kihasználás aktív, az 1.11.3 előtti verziókon minden ilyen tevékenységet gyanúsként kezeljen.

A javításon túl

A FreeSWITCH-példányok kialakításukból adódóan gyakran elérhetők kívülről, ez a hiba pedig egy elfogadott SIP-üzenetet érdemi hitelesítési lépés nélkül parancsvégrehajtássá alakít. Ezért több, mint egy javítandó tétel: ok arra, hogy ellenőrizze, a távközlési infrastruktúra látható-e a biztonsági monitorozás számára. A Menedzselt kiberbiztonsági felügyelet (MDR) figyelni tudja a kezdeti hozzáférést követő parancsvégrehajtást és oldalirányú terjeszkedést. A Virtuális CISO szolgáltatás (vCISO) segíthet újraértékelni, hogyan kezeli a SIP-et és más, kívülről elérhető szolgáltatásokat a kitettségkezelési programjában.