CVE-2026-49848
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność w FreeSWITCH przed wersją 1.11.1 w module mod_verto w gałęzi check_auth userauth powoduje, że zmienne użytkownika dostarczone w żądaniu są zapisywane do stanu połączenia przed weryfikacją hasła. Zapisy są tylko dołączane, a połączenie nie jest zamykane po nieudanym porównaniu, więc wartości z nieudanych prób logowania utrzymują się na tym samym WebSocket i są przenoszone do kolejnego udanego logowania.
Ocena ryzyka
Atakujący może wykorzystać utrzymujące się zmienne użytkownika z nieudanych prób logowania do eskalacji uprawnień lub nieautoryzowanego dostępu po udanym logowaniu.
Rekomendacja
Zaktualizuj FreeSWITCH do wersji 1.11.1 lub nowszej.
Inne podatności w FreeSWITCH
Zobacz wszystkie- CVE-2026-49841Krytyczne
FreeSWITCH przed wersją 1.11.1 zawiera podatność przepełnienia sterty w module mod_verto. Atakujący może wysłać żądanie HTTP POST z dużym ciałem, co prowadzi do przepełnienia bufora przed uwierzytelnieniem.
- CVE-2026-49840Krytyczne
W FreeSWITCH przed wersją 1.11.1 funkcja esl_recv_event() nieprawidłowo obsługuje Content-Length, co pozwala złośliwemu peerowi ESL na wysłanie ramki z ujemną wartością, powodując uszkodzenie sterty lub awarię procesu przed uwierzytelnieniem.
- CVE-2026-9754Średnie
Uwierzytelniony użytkownik z rolą odczytu może odczytać ograniczone ilości niezainicjalizowanej pamięci stosu poprzez specjalnie spreparowane wydania polecenia filemd5.
- CVE-2026-49847Wysokie
Podatność na przepełnienie stosu w FreeSWITCH przed wersją 1.11.1. Pojedyncza ramka WebSocket z głęboko zagnieżdżonym dokumentem JSON powoduje awarię procesu FreeSWITCH, przerywając wszystkie połączenia i sesje na hoście. Atak nie wymaga uwierzytelnienia.
- CVE-2026-49843Średnie
FreeSWITCH przed wersją 1.11.1 zawiera podatność w module mod_verto. Procedura obsługi JSON-RPC wiąże połączenie z sessid dostarczonym przez klienta przed bramą uwierzytelniania. Nieuwierzytelniony atakujący znający UUID docelowej sesji może usunąć prawowitego klienta, wysyłając mu verto.punt i zamykając jego gniazdo.
- CVE-2026-49842Wysokie
Podatność w FreeSWITCH przed wersją 1.11.1. Pętla ramek WebSocket w module mod_verto przechwytuje protokół testowania prędkości z prefiksem # (#SPU / #SPB / #SPE) przed jakimkolwiek sprawdzeniem uwierzytelnienia. Zadeklarowany rozmiar ładunku w #SPU jest parsowany za pomocą atoi() i odrzucane są tylko wartości nie-dodatnie, więc nieuwierzytelniony peer może zażądać do INT_MAX bajtów. Serwer następnie zapisuje około size * 10 bajtów podczas fazy pobierania, co daje około 20 GB na żądanie, co prowadzi do silnej amplifikacji przepustowości wychodzącej z krótkiego żądania.
- CVE-2026-49475Wysokie
FreeSWITCH przed wersją 1.11.0 zawiera lukę w obsłudze pakietów STUN, gdzie zadeklarowana długość atrybutu jest krótsza niż struktura, do której parser rzutuje, co powoduje odczyt i zapis poza granicami atrybutu, prowadząc do dostępu do pamięci poza buforem mediów.
- CVE-2026-49472Średnie
FreeSWITCH przed wersją 1.11.0 zawiera podatną funkcję PREFIX(prologTok)() w pliku libs/xmlrpc-c/lib/expat/xmltok/xmltok_impl.c, która została sklonowana z przestarzałej i podatnej wersji libexpat/libexpat. Funkcja nie otrzymała odpowiedniej łatki bezpieczeństwa. Problem został naprawiony w wersji 1.11.0.
- CVE-2026-45771Wysokie
FreeSWITCH przed wersją 1.11.0 zawiera podatność w parserze XML, który rozwijając zagnieżdżone encje <!ENTITY> bez ograniczeń głębokości lub liczby, umożliwia atak "billion laughs". Nieuwierzytelniony atakujący sieciowo może wysłać pojedyncze żądanie SIP PUBLISH z treścią PIDF, która przed weryfikacją sumy kontrolnej powoduje nieograniczone zużycie CPU i pamięci.
Oryginalny opis (angielski, źródło NVD)
FreeSWITCH is a Software Defined Telecom Stack enabling the digital transformation from proprietary telecom switches to a software implementation that runs on any commodity hardware. Prior to version 1.11.1, mod_verto's check_auth userauth branch wrote request-supplied userVariables into the connection state before comparing the supplied password. The writes are append-only and the connection is not closed on a failed compare, so values declared on bad-password attempts persisted on the same WebSocket and carried into a subsequent successful login on that connection. This issue has been patched in version 1.11.1.