Aanvallers misbruiken lek in FreeSWITCH-chat om opdrachten uit te voeren op telecomservers

Wat is er gebeurd

Aanvallers maken actief misbruik van een bug in FreeSWITCH, de softwarematige telecomswitch die wordt onderhouden door SignalWire, om opdrachten uit te voeren op de servers waarop deze draait. Het probleem zit in de manier waarop FreeSWITCH binnenkomende SIP-chatberichten verwerkt. Een deel van het adres van de ontvanger wordt gelezen als keuze voor een chatprotocol. Een van die keuzes geeft het bericht rechtstreeks door aan de interne opdrachtinterface van FreeSWITCH.

Hierdoor kan een peer van wie het bericht wordt geaccepteerd FreeSWITCH API-opdrachten geven, waaronder opdrachten die het besturingssysteem bereiken, met dezelfde rechten als de FreeSWITCH-service. Dat maakt het mogelijk om configuratie en inloggegevens uit te lezen, de afhandeling van gesprekken over te nemen en willekeurige opdrachten uit te voeren. Inkomende chat staat aan in de standaardprofielen internal en external. Elk geauthenticeerd account op een profiel is genoeg, en in sommige opstellingen nemen de standaard directorygebruikers zonder wachtwoord zelfs die drempel weg.

Wie is getroffen

Alle releases van SignalWire FreeSWITCH vóór 1.11.3 zijn getroffen. Systemen met de standaardprofielen internal of external hebben inkomende chat ingeschakeld. Installaties die nog de standaard directorygebruikers zonder wachtwoord bevatten, lopen een groter risico, omdat een aanvaller mogelijk helemaal geen geldige inloggegevens nodig heeft.

Hoe ernstig is het

Het lek heeft een CVSS-score van 9.8, in het kritieke bereik. Een aanvaller op het netwerk kan het met weinig moeite en zonder tussenkomst van een gebruiker bereiken, en een geslaagde aanval geeft volledige controle over de FreeSWITCH-service. CISA heeft het op 9 november 2026 toegevoegd aan de Known Exploited Vulnerabilities-catalogus en heeft federale instanties tot 12 november 2026 gegeven om actie te ondernemen.

Wat moet u doen

1. 1Werk FreeSWITCH bij naar versie 1.11.3.
2. 2Als u niet direct kunt updaten, pas dan de door SignalWire gepubliceerde mitigaties toe, of stop met het gebruik van het product totdat dit kan, in lijn met de door CISA vereiste actie.
3. 3Controleer vanaf internet bereikbare FreeSWITCH-servers op tekenen van compromittering, aangezien de richtlijnen van CISA forensische triage op getroffen systemen voorschrijven.

Kerngegevens