CVE-2021-37624

Riepilogo

FreeSWITCH è uno stack di telecomunicazioni definito via software (Software Defined Telecom Stack) che consente la trasformazione digitale dai centralini telefonici proprietari a un'implementazione software che gira su qualsiasi hardware di largo consumo. Prima della versione 1.10.7, FreeSWITCH non autentica le richieste SIP MESSAGE, portando a spam e spoofing dei messaggi. Per impostazione predefinita, nelle versioni di FreeSWITCH interessate, le richieste SIP di tipo MESSAGE (RFC 3428) non sono autenticate. Le richieste MESSAGE vengono inoltrate agli user agent SIP registrati con il server FreeSWITCH senza richiedere alcuna autenticazione. Sebbene questo comportamento possa essere modificato impostando il parametro `auth-messages` su `true`, non è l'impostazione predefinita. L'abuso di questo problema di sicurezza consente agli attaccanti di inviare messaggi SIP MESSAGE a qualsiasi user agent SIP registrato con il server senza richiedere autenticazione. Inoltre, poiché non è richiesta alcuna autenticazione, i messaggi di chat possono essere falsificati per sembrare provenire da entità fidate. Pertanto, l'abuso può portare a spam e consentire attacchi di social engineering, phishing e simili. Questo problema è stato corretto nella versione 1.10.7. I manutentori raccomandano che questo tipo di messaggio SIP sia autenticato per impostazione predefinita, così che gli amministratori di FreeSWITCH non debbano impostare esplicitamente il parametro `auth-messages`. Seguendo tale raccomandazione, si può introdurre un nuovo parametro per disabilitare esplicitamente l'autenticazione.

Fonti

• PewSWITCHExploit

  Un toolkit di scansione e sfruttamento specifico per FreeSWITCH per le vulnerabilità CVE-2021-37624 e CVE-2021-41157.

• bluebox