FreeSWITCH: הודעת SIP אחת מספיקה כדי להריץ פקודות על השרת, והחולשה מנוצלת

מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על המקורות המפורטים בהמשך. Top-Secured אינה קשורה לחברות המוזכרות ולעולם לא תבקש מכם פרטי בנק או סיסמאות.

חולשה ב-FreeSWITCH, שרת הטלפוניה בקוד פתוח, מאפשרת לבקשת SIP MESSAGE להריץ פקודות על המכונה, כבר בתצורת ברירת המחדל. מתחזקי הפרויקט מדווחים על ניצול, וב-9 בנובמבר 2026 הוסיפה CISA את CVE-2026-116779 לקטלוג החולשות המנוצלות; גרסה 1.11.3 מתקנת אותה.

מה קרה

ב-28 באוקטובר 2026 פרסמו מתחזקי FreeSWITCH הודעת אבטחה על CVE-2026-116779, חולשה בשרת הטלפוניה בקוד פתוח שמפעיל מרכזיות IP, מוקדי שירות ושערי SIP. ההודעה מעניקה לחולשה ציון 9.8 מתוך 10 ומציינת שנצפה ניצול שלה. ב-9 בנובמבר הוסיפה הסוכנות האמריקאית CISA את החולשה לקטלוג החולשות המנוצלות באופן פעיל: לסוכנויות הפדרליות יש זמן עד 12 בנובמבר, והן נדרשות לבצע בדיקה פורנזית.

איך התוקפים נכנסים

כש-FreeSWITCH מקבל SIP MESSAGE, בקשת המסרים המיידיים של פרוטוקול SIP, הוא קורא את שם הנמען כדי לבחור את מודול הצ׳אט שימסור אותה. אחד המודולים האלה, בשם api, מעביר את התוכן ישירות למפרש הפקודות של FreeSWITCH. כך התוקף בוחר פקודה ומריץ אותה בהרשאות תהליך FreeSWITCH: פקודות מערכת, קריאת התצורה והסיסמאות, הוצאת שיחות. אם מודול Lua טעון, כמו בתצורה המקורית, אפשר להריץ גם קוד Lua שרירותי.

תצורת ברירת המחדל חשופה: הצ׳אט פעיל בפרופילים internal ו-external, ורשימת ה-ACL הנכנסת אינה מסננת את ההודעות האלה. אם נדרש אימות הודעות, מספיק חשבון SIP אחד, כמו שלוחה או טראנק. שרתים שהשאירו את משתמש הדוגמה default, ללא סיסמה, אינם דורשים חשבון כלל.

כל הגרסאות עד 1.11.2 פגיעות. גרסה 1.11.3 מוסיפה את הפרמטר enable-chat-api-proto, כבוי כברירת מחדל: הודעות כאלה נדחות אז בקוד 403 ונרשמות ביומן.

מה לעשות עכשיו

1. בדקו את הגרסה עם fs_cli -x version ועדכנו ל-1.11.3 ומעלה.
2. עד אז, הגדירו את enable-chat ל-false בכל פרופיל SIP שאינו צריך צ׳אט נכנס. אימות הודעות או disable_system_api_commands מקטינים את הסיכון אך אינם סוגרים את הפרצה.
3. מחקו משתמשים ללא סיסמה מהספרייה: תצורת vanilla כוללת שניים, default ודוגמת Skinny.
4. חפשו עקבות: בקשות SIP MESSAGE שהנמען שלהן מתחיל ב-api+ ביומנים או בהקלטות התעבורה, תהליכים לא מוכרים שהופעלו על ידי המשתמש freeswitch, קבצים ששונו לאחרונה. בכל ספק, החליפו את סיסמאות ה-SIP והטראנקים.
5. הגבילו את פורטי ה-SIP לכתובות של הספק ושל האתרים שלכם במקום לכל האינטרנט.

הדעה שלנו

שרת טלפוניה הוא שרת ככל השרתים, ולעיתים קרובות מותקן פעם אחת ונשכח. הכניסו אותו למלאי ולמחזור העדכונים, והסירו חשבונות דוגמה ותכונות שאינן בשימוש: כאן, פונקציית צ׳אט שאיש לא היה צריך הספיקה כדי למסור את המכונה.

מקורות

• FreeSWITCH (GitHub) — Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (GHSA-mg63-h38w-8p9p)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116779 (SignalWire FreeSWITCH)

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←