FreeSWITCH: mensagem SIP permite executar comandos da API antes da versão 1.11.3
O FreeSWITCH, antes da 1.11.3, trata o utilizador de destino de uma mensagem SIP MESSAGE de forma a chegar à execução de comandos da API, incluindo comandos do sistema operativo. CVSS 9,8.
- Identificador: CVE-2026-116779
- Publicado em: 2026-11-05
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.8 (CRITICAL)
Descrição (texto original em inglês):
FreeSWITCH is a Software Defined Telecom Stack enabling the digital transformation from proprietary telecom switches to a software implementation that runs on any commodity hardware. Prior to 1.11.3, sofia_presence_handle_sip_i_message() split the To user of an inbound SIP MESSAGE on a plus sign and treated the left side as a chat protocol selector. (texto reduzido: os pormenores técnicos da exploração não são reproduzidos)
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1059, Interpretador de comandos e scripts (Command and Scripting Interpreter)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (github.com)github.com
- Referência (github.com)github.com
- Referência (github.com)github.com
- Técnica MITRE ATT&CK T1190attack.mitre.org
- Técnica MITRE ATT&CK T1059attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.