CVE-2021-37624

FreeSWITCH, mülkiyyət hüquqlı telekommunikasiya kommutatorlarından istənilən standart avadanlıqda işləyən proqram təminatı tətbiqinə rəqəmsal transformasiyanı təmin edən Proqram Təyinli Telekommunikasiya Stekidir. Versiya 1.10.7-dək olan versiyalarda FreeSWITCH SIP MESSAGE sorğularını autentifikasiya etmir ki, bu da spam və mesaj saxtakarlığına (spoofing) səbəb olur. FreeSWITCH-in təsirlənmiş versiyalarında susmaya görə MESSAGE (RFC 3428) tipli SIP sorğuları autentifikasiya edilmir. MESSAGE sorğuları heç bir autentifikasiya tələb olunmadan FreeSWITCH serverində qeydiyyatdan keçmiş SIP istifadəçi agentlərinə ötürülür. Bu davranış `auth-messages` parametrini `true` olaraq təyin etməklə dəyişdirilə bilsə də, bu, standart tənzimləmə deyil. Bu təhlükəsizlik probleminin sui-istifadəsi hücumçulara autentifikasiya tələb olunmadan serverdə qeydiyyatdan keçmiş hər hansı SIP istifadəçi agentinə SIP MESSAGE mesajları göndərməyə imkan verir. Əlavə olaraq, autentifikasiya tələb olunmadığı üçün çat mesajları etibarlı qurumlardan gəlirmiş kimi saxtalaşdırıla bilər. Buna görə də, sui-istifadə spamla nəticələnə bilər və sosial mühəndislik, fişinq və oxşar hücumları mümkün edə bilər. Bu problem 1.10.7 versiyasında aradan qaldırılıb. Texniki dəstək mütəxəssisləri tövsiyə edirlər ki, FreeSWITCH administratorlarının `auth-messages` parametrini açıq şəkildə təyin etməsinə ehtiyac qalmaması üçün bu SIP mesaj tipi susmaya görə autentifikasiya edilsin. Belə bir tövsiyə izləndikdə, autentifikasiyanı açıq şəkildə deaktiv etmək üçün yeni bir parametr təqdim edilə bilər.