FreeSWITCH'te SIP mesajıyla komut çalıştırılan açık saldırılarda kullanılıyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 9 Kasım’da açık kaynaklı telekom yazılımı FreeSWITCH’teki CVE-2026-116779’u saldırılarda kullanılan açıklar listesine (KEV) ekledi. CVE kaydına göre FreeSWITCH, kapalı kaynaklı telekom santrallerinin yerine sıradan donanımda çalışan yazılım tabanlı bir telekom altyapısı. Açık 1.11.3 öncesi sürümleri etkiliyor. CISA, ABD federal kurumlarına açığı 12 Kasım’a kadar kapatmalarını söylüyor.

Açığın işleyişi

FreeSWITCH’in geliştiricisi SignalWire’ın danışma notuna göre, gelen SIP MESSAGE iletilerini işleyen sofia_presence_handle_sip_i_message() işlevi, iletinin alıcı (To) kısmındaki kullanıcı adını “+” işaretinden ikiye bölüyor ve sol tarafı bir sohbet protokolünün adı olarak kabul ediyor. İleti bu ada uyan sohbet arayüzüne yönlendiriliyor. mod_dptools modülü “api” adlı bir sohbet arayüzü kaydediyor ve bu arayüz gelen adresi FreeSWITCH API komutlarını çalıştıran switch_api_execute() işlevine veriyor. Böylece bir profile SIP MESSAGE ulaştırabilen biri, sunucunun hangi API komutunu çalıştıracağını belirleyebiliyor. Danışma notuna göre bu seçime hiçbir sınırlama getirilmiyor.

Danışma notuna göre bunun sonucu, FreeSWITCH sürecinin yetkileriyle komut çalıştırma: keyfi işletim sistemi komutları, yapılandırma ve kimlik bilgilerinin ifşası ve aramaların tamamen denetlenmesi. Varsayılan yapılandırmada olduğu gibi mod_lua modülü yüklüyse, Lua standart kütüphanesinin tamamıyla satır içi Lua kodu çalıştırmak da mümkün. Açığın CVSS 3.1 puanı 9.8.

Etkilenen yapılandırmalar

Danışma notuna göre gelen MESSAGE iletilerini kabul eden her SIP profili etkileniyor ve bu varsayılan durum. Bir profilde enable-chat=false ayarlanmadıkça sohbet işleme açık. FreeSWITCH’in örnek yapılandırması (conf/vanilla) da bunu hem internal hem external profilde açık bırakıyor. Etkilenmek için varsayılan dışı bir ayar gerekmiyor. Gelen bağlantılar için tanımlanan erişim listesi (ACL) MESSAGE iletilerini kapsamadığı için ACL’yi sıkılaştırmak da profili koruma altına almıyor.

Saldırganın tek ihtiyacı bir profile bir SIP MESSAGE iletisi kabul ettirmek. Danışma notuna göre:

• Mesaj kimlik doğrulaması zorunlu olan profillerde o profildeki herhangi bir hesap, örneğin bir dahili hat, bir telefon cihazı ya da bir hat sağlayıcısının hesabı yetiyor. Hesabın kayıt olmak dışında bir yetkisi olması gerekmiyor.
• Örnek yapılandırmadaki conf/vanilla/directory/default/default.xml dosyasını hâlâ taşıyan kurulumlarda saldırganın kendi hesabı bile gerekmiyor. Bu dosya parolası ve a1-hash değeri olmayan “default” adlı bir kullanıcı tanımlıyor ve bu kullanıcı için allow-empty-password false yapılmadıkça kimlik doğrulama başarılı oluyor.

Saldırılarda kullanım

SignalWire’ın 28 Ekim’de yayımladığı danışma notuna göre açık gerçek saldırılarda istismar edildi. Danışma notu ve CISA saldırıların kim tarafından, ne zamandan beri ve kime karşı yapıldığını açıklamadı. Açığı Örn Arnarson ve Gunnlaugur bildirdi.

Düzeltme

Düzeltme 1.11.3 sürümünde. Sürüm sayfasına göre 1.11.3 Türkiye saatiyle 29 Ağustos’ta yayımlandı ve SignalWire sürümü kritik güvenlik düzeltmeleri içeren önemli bir sürüm olarak tanımlayıp bütün kullanıcıların bir an önce yükseltmesini istedi. Danışma notu 28 Ekim’de, açığın CVE kaydı ise 5 Kasım’da yayımlandı.

Danışma notuna göre düzeltme, her profil için enable-chat-api-proto adlı yeni bir ayar ekliyor. Bu ayar açıkça etkinleştirilmedikçe kapalı, yani gelen bir MESSAGE iletisinin api sohbet protokolünü seçmesi varsayılan olarak bütün profillerde engelleniyor. Bu protokolü seçmeye çalışan bir ileti 403 yanıtı alıyor ve kaynağı ile istenen komutla birlikte kayda geçiyor. Sürüm notuna göre aynı ayar mod_verto modülüne de eklendi.

Geçici önlemler

Danışma notunda hemen güncellenemeyen sistemler için şu bilgiler veriliyor:

• Gelen SIP sohbetine ihtiyaç duymayan her profilde enable-chat=false ayarı iletiyi protokol seçimi yapılmadan durduruyor ve açığı kapatıyor. Bu ayar o profilde gelen bütün MESSAGE sohbet iletilerini de kapatıyor.
• auth-messages ayarı tek başına yeterli değil. Mesaj kimlik doğrulaması 1.10.7’den beri varsayılan olarak açık. Bu ayar, örnek yapılandırmanın getirdiği default ve Skinny örnek kullanıcıları gibi parolasız bütün kullanıcıların silinmesiyle birleştiğinde açığı yalnızca kimliği doğrulanmış kullanıcıların kullanabileceği hâle getiriyor, ancak kapatmıyor.
• disable_system_api_commands=true ayarı system API komutunu kaldırıyor, ancak modül yükleme ve arama başlatma dahil diğer bütün API komutlarına giden yolu kapatmıyor. SignalWire bu ayarın yine de yapılmasını öneriyor.