CVE-2026-9754

FreeSWITCH przed wersją 1.11.1 zawiera podatność przepełnienia sterty w module mod_verto. Atakujący może wysłać żądanie HTTP POST z dużym ciałem, co prowadzi do przepełnienia bufora przed uwierzytelnieniem.

W FreeSWITCH przed wersją 1.11.1 funkcja esl_recv_event() nieprawidłowo obsługuje Content-Length, co pozwala złośliwemu peerowi ESL na wysłanie ramki z ujemną wartością, powodując uszkodzenie sterty lub awarię procesu przed uwierzytelnieniem.

Podatność w FreeSWITCH przed wersją 1.11.1 w module mod_verto w gałęzi check_auth userauth powoduje, że zmienne użytkownika dostarczone w żądaniu są zapisywane do stanu połączenia przed weryfikacją hasła. Zapisy są tylko dołączane, a połączenie nie jest zamykane po nieudanym porównaniu, więc wartości z nieudanych prób logowania utrzymują się na tym samym WebSocket i są przenoszone do kolejnego udanego logowania.

Podatność na przepełnienie stosu w FreeSWITCH przed wersją 1.11.1. Pojedyncza ramka WebSocket z głęboko zagnieżdżonym dokumentem JSON powoduje awarię procesu FreeSWITCH, przerywając wszystkie połączenia i sesje na hoście. Atak nie wymaga uwierzytelnienia.

FreeSWITCH przed wersją 1.11.1 zawiera podatność w module mod_verto. Procedura obsługi JSON-RPC wiąże połączenie z sessid dostarczonym przez klienta przed bramą uwierzytelniania. Nieuwierzytelniony atakujący znający UUID docelowej sesji może usunąć prawowitego klienta, wysyłając mu verto.punt i zamykając jego gniazdo.

Podatność w FreeSWITCH przed wersją 1.11.1. Pętla ramek WebSocket w module mod_verto przechwytuje protokół testowania prędkości z prefiksem # (#SPU / #SPB / #SPE) przed jakimkolwiek sprawdzeniem uwierzytelnienia. Zadeklarowany rozmiar ładunku w #SPU jest parsowany za pomocą atoi() i odrzucane są tylko wartości nie-dodatnie, więc nieuwierzytelniony peer może zażądać do INT_MAX bajtów. Serwer następnie zapisuje około size * 10 bajtów podczas fazy pobierania, co daje około 20 GB na żądanie, co prowadzi do silnej amplifikacji przepustowości wychodzącej z krótkiego żądania.

FreeSWITCH przed wersją 1.11.0 zawiera lukę w obsłudze pakietów STUN, gdzie zadeklarowana długość atrybutu jest krótsza niż struktura, do której parser rzutuje, co powoduje odczyt i zapis poza granicami atrybutu, prowadząc do dostępu do pamięci poza buforem mediów.

FreeSWITCH przed wersją 1.11.0 zawiera podatną funkcję PREFIX(prologTok)() w pliku libs/xmlrpc-c/lib/expat/xmltok/xmltok_impl.c, która została sklonowana z przestarzałej i podatnej wersji libexpat/libexpat. Funkcja nie otrzymała odpowiedniej łatki bezpieczeństwa. Problem został naprawiony w wersji 1.11.0.

FreeSWITCH przed wersją 1.11.0 zawiera podatność w parserze XML, który rozwijając zagnieżdżone encje <!ENTITY> bez ograniczeń głębokości lub liczby, umożliwia atak "billion laughs". Nieuwierzytelniony atakujący sieciowo może wysłać pojedyncze żądanie SIP PUBLISH z treścią PIDF, która przed weryfikacją sumy kontrolnej powoduje nieograniczone zużycie CPU i pamięci.