Saldırganlar, uzaktan kod çalıştırmaya yol açabilen, kimlik doğrulama gerektirmeyen bir SQL injection açığı olan CVE-2026-9586'yı Sangoma Switchvox'a karşı aktif olarak kullanıyor.
Switchvox, işletme telefon sistemlerini yapılandırmak ve izlemek için kullanılan kurumsal bir VoIP yönetim platformudur. Güvenlik araştırmacıları Horizon3, CVE-2026-9586'yı 10 Nisan'da Sangoma'ya bildirdikleri 12 açıktaki en ciddi sorun olarak belirledi. Sangoma, açıkları 14 Temmuz'da yayımlanan Switchvox 8.4.0.2 sürümünde düzeltti.
Açık, /pa HTTP endpoint'ini etkiliyor. Endpoint, anahtar-değer çiftleri içeren bir XML mesajını işliyor ve PhoneIP değerini parametrelenmemiş bir SQL sorgusuna doğrudan ekliyor. Horizon3, curl komutuyla gönderilen hazırlanmış bir XML isteğinin SQL injection açığını kullanarak işletim sistemi komutlarını uzaktan çalıştırabildiğini gösterdi.
Horizon3, 30 Ağustos'ta birden fazla honeypot üzerinde 176.65.148.184 kaynak IP adresinden gelen aktif saldırılar gözlemledi. Saldırgan ters kabuk kurmayı denedi, Switchvox sistemindeki en yoğun süreçler hakkında bilgi topladı ve verileri base64 kodlamasıyla uzak bir sunucuya gönderdi.
Horizon3, Shodan'da internete açık yaklaşık 4.000 Switchvox cihazı görüldüğünü ve bunların çoğunun Amerika Birleşik Devletleri'nde bulunduğunu söyledi. Araştırmacılar, kalan 11 açığın aktif olarak kullanıldığını görmediklerini belirtti.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.