Kundenportal
Kundenportal

Security Alert · Schwachstelle

FreeSWITCH: Kritische Lücke wird aktiv ausgenutzt

!Risiko hochVeröffentlicht Aktualisiert
Risikostufe
Hoch
Kategorie
Schwachstelle
Betroffene Systeme
FreeSWITCH (SignalWire) bis einschließlich Version 1.11.2, in der Standardkonfiguration
Abhilfe verfügbar
Ja: FreeSWITCH 1.11.3 oder neuer
Quelle
SignalWire FreeSWITCH Security Advisory GHSA-mg63-h38w-8p9p, CERT-Bund WID-SEC-2026-4364

Was ist passiert?

In FreeSWITCH (SignalWire) können Angreifer über eine eingehende SIP-Nachricht (SIP MESSAGE) beliebige FreeSWITCH-API-Befehle ausführen. Daraus folgt Befehlsausführung mit den Rechten des FreeSWITCH-Prozesses, einschließlich beliebiger Betriebssystembefehle (CVE-2026-116779, CVSS 9.8). Der Hersteller schreibt im Advisory vom 28.10.2026, die Ausnutzung sei in der Praxis beobachtet worden. Das CERT-Bund hat die Lücke am 05.11.2026 als kritisch eingestuft (WID-SEC-2026-4364). Betroffen sind Versionen bis einschließlich 1.11.2, Abhilfe schafft 1.11.3 oder neuer.

Eingehende Chat-Nachrichten wählen über den Empfängernamen ein „Chat-Protokoll“. Darunter ist auch die Schnittstelle `api` erreichbar, die FreeSWITCH-Befehle ausführt. Nichts schränkt diese Auswahl ein. Chat ist standardmäßig aktiv, auch in den Profilen „internal“ und „external“ der Vanilla-Konfiguration, und die Zugriffsliste für eingehende Anfragen gilt für MESSAGE nicht. Es genügt eine akzeptierte Nachricht. Wird MESSAGE-Authentifizierung erzwungen, reicht ein beliebiges Konto auf dem Profil. Wer noch die Beispieldatei `default.xml` der Vanilla-Konfiguration einsetzt, hat einen Benutzer ohne Passwort, der sich ohne eigenes Konto anmelden lässt.

Wer ist betroffen?

Alle Installationen mit FreeSWITCH bis einschließlich 1.11.2, deren SIP-Profile MESSAGE-Nachrichten annehmen. Das ist die Standardeinstellung. Besonders gefährdet sind Server, deren SIP-Profile aus dem Internet oder aus Partnernetzen erreichbar sind.

Wie hoch ist das Risiko?

Hoch. Der Hersteller meldet Ausnutzung in der Praxis, die Lücke hat CVSS 9.8, eine Standardkonfiguration genügt, und das CERT-Bund stuft sie als kritisch ein. Ein übernommener Server erlaubt Befehlsausführung auf dem System, Zugriff auf Konfiguration und Zugangsdaten sowie volle Kontrolle über Anrufe.

So schützen Sie sich

  1. FreeSWITCH auf Version 1.11.3 oder neuer aktualisieren.
  2. Bis dahin auf allen SIP-Profilen ohne Chat-Bedarf enable-chat=false setzen. Das schaltet den Empfang von SIP-MESSAGE-Chatnachrichten auf diesem Profil ab.
  3. Verzeichnisbenutzer ohne password und ohne a1-hash entfernen, auch die Beispielbenutzer der Vanilla-Konfiguration (default und Skinny-Beispiel).
  4. Nicht allein auf auth-messages oder eine engere ACL verlassen: Beides schließt den Weg laut Hersteller nicht.
  5. Zugänge, SIP-Profile und Aufrufe von API-Befehlen auf Auffälligkeiten prüfen. Bei Verdacht Zugangsdaten und Trunk-Zugänge ersetzen, denn über die Lücke lassen sich auch Konfiguration und Zugangsdaten auslesen.

Quellen

Mehr zum Thema

Akuter Verdacht oder Fragen zu Ihren Systemen?

Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.

support@blured.deZum Kundenportal

Absicherung neu planen? beratung@blured.de

Stand: 09.11.2026

© 2026 BDT Group GmbH · blured.de