Apa yang terjadi
sofia_presence_handle_sip_i_message() FreeSWITCH membagi To-user dari SIP MESSAGE masuk pada '+', memperlakukan sisi kiri sebagai pemilih protokol obrolan tanpa daftar izin; memilih 'api' mencapai switch_api_execute() dan memungkinkan menjalankan perintah OS sebagai daemon. Eksploitasi diamati di lapangan; ditambahkan ke CISA KEV pada 2026-11-09 dengan batas waktu federal 2026-11-12.
Mengapa penting
FreeSWITCH adalah softswitch open-source yang mendasari sebagian besar VoIP dunia dan fondasi teleponi untuk agen suara AI percakapan dan AI pusat kontak. Penyerang mendapatkan eksekusi perintah tingkat daemon, pengungkapan kredensial SIP/trunk, dan kontrol panggilan sewenang-wenang (penipuan tol, intersepsi panggilan) pada platform yang dilalui agen suara AI — jalur yang relevan untuk penerapan AI ke lapisan suara.
Vektor serangan
Pesan SIP MESSAGE masuk tanpa autentikasi (atau akun terdaftar mana pun) yang To-user-nya terbagi pada '+' untuk memilih protokol obrolan 'api' mencapai switch_api_execute(), memungkinkan peer menjalankan perintah API FreeSWITCH termasuk titik akhir perintah OS dengan hak istimewa daemon — pengungkapan konfigurasi/kredensial, kontrol panggilan sewenang-wenang, dan eksekusi perintah
Sistem yang terdampak
SignalWire FreeSWITCH sebelum 1.11.3 (jalur obrolan SIP MESSAGE masuk diaktifkan pada profil internal/eksternal standar)
Mitigasi
Tingkatkan ke FreeSWITCH 1.11.3 (menambahkan gerbang enable-chat-api-proto, default nonaktif, mengembalikan 403 untuk pemilih yang tidak diizinkan); pertahankan autentikasi MESSAGE aktif dan bersihkan kredensial direktori default; atur enable-chat=false jika obrolan masuk tidak digunakan; batasi port 5060 ke peer tepercaya/ACL/SBC; jangan menjalankan FreeSWITCH sebagai root (https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p)