Falla crítica en la central telefónica FreeSWITCH se explota con un solo mensaje

FreeSWITCH, la plataforma de código abiertoSoftware cuyo código fuente se publica con una licencia que permite a cualquiera leerlo, usarlo, modificarlo y redistribuirlo, según las condiciones de esa licencia. con la que se arman centrales telefónicas, centros de llamadas y servicios de voz sobre IP (VoIP)Tecnología que transmite llamadas telefónicas por internet o por una red de datos en lugar de la red telefónica tradicional. La usan centrales de empresas, centros de llamadas y muchos proveedores de telefonía., tiene una falla que permite tomar el servidor con un solo mensaje de chat del protocolo SIPProtocolo de inicio de sesión (SIP, por su sigla en inglés), el lenguaje que usan los teléfonos y las centrales de telefonía por internet para iniciar, controlar y cortar llamadas, y también para enviar mensajes de texto.. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la sumó el 9 de noviembre a su catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de vulnerabilidades explotadas, en la versión publicada a las 16:16 UTC (13:16 en Buenos Aires, Santiago y São Paulo, 11:16 en Bogotá y Lima, 10:16 en Ciudad de México), con plazo hasta el 12 de noviembre para las agencias federales civiles de ese país.

El ataque funciona con la configuración de fábrica, y SignalWire, la empresa que mantiene FreeSWITCH, confirmó en su aviso del 28 de octubre que ya se explota. El arreglo llegó antes que el aviso. La versión 1.11.3, que cierra el camino, salió el 28 de agosto, según la página de la versión en GitHub, así que quien actualizó en estos dos meses ya está protegido. Daily Security Review informó que los arreglos salieron el mismo día del aviso, pero el registro del proyecto muestra que se publicaron dos meses antes.

Qué es la falla

En simple, FreeSWITCH lee una parte de la dirección de destino de un mensaje de chat como el nombre del canal que debe entregarlo. Uno de esos canales, llamado api, no entrega nada a nadie y pasa el texto directo a la consola de órdenes del servidor. Quien manda un mensaje a una dirección que empieza con api+ elige qué orden ejecuta FreeSWITCH.

En lo técnico es una inyección de códigoDebilidad en la que un programa arma instrucciones con datos que llegan de afuera sin filtrarlos bien, lo que permite a un atacante alterar su comportamiento o hacerle ejecutar código propio. que se dispara por la red con un mensaje SIP MESSAGE, sin interacción del usuario. Según el aviso, el atacante ejecuta órdenes del sistema operativo con los permisos del proceso de FreeSWITCH, lee la configuración y las credenciales y controla las llamadas. Si el perfil exige autenticar los mensajes, alcanza con cualquier cuenta registrada, y las instalaciones que conservan el usuario default del ejemplo conf/vanilla, sin contraseña, ni siquiera necesitan eso.

A quién afecta

• FreeSWITCH 1.11.2 y anteriores. La 1.11.3 está corregida.
• Todo perfil SIP que acepte mensajes entrantes, que es lo predeterminado. El ejemplo conf/vanilla deja el chat activo en los perfiles interno y externo, y las listas de acceso de entrada no filtran estos mensajes.
• Las centrales armadas sobre FreeSWITCH, como FusionPBX, según Enable Security.

Estado de explotación

Explotada, según SignalWire y CISA. Ninguno de los dos informó cuántos servidores fueron atacados, cuántos están expuestos en internet ni quién está detrás.

Enable Security, una firma especializada en seguridad de telefonía por internet, escribió el 31 de agosto que había servidores FreeSWITCH tomados por este camino y que lo comprobó en una central FusionPBX que le pidieron revisar, con una puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales. instalada y el control total del equipo. La misma firma contó que el comportamiento estaba descrito en un reporte público en GitHub desde el 14 de julio. SecurityOnline informó el 29 de octubre que el aviso salió junto con otras dos fallas críticas, de 9,1 puntos, corregidas en la versión 1.11.2.

Antecedentes

No es la primera vez que el chat de FreeSWITCH abre una puerta. En 2021, Enable Security reportó CVE-2021-37624, por la que el programa aceptaba esos mensajes sin autenticar, y que se cerró con la autenticación activada por defecto desde la versión 1.10.7. Sin esa correcciónCaída de al menos 10 % de un índice o una acción desde su último máximo. Es más que un mal día, pero menos que un mercado bajista, que empieza con una caída de 20 %., las dos fallas juntas permiten ejecutar órdenes sin ninguna cuenta, según la firma.

Qué hacer

• Actualizar FreeSWITCH a la versión 1.11.3 o posterior. El canal api queda cerrado por defecto con el nuevo parámetro enable-chat-api-proto, que viene apagado.
• Si no se puede actualizar ya, poner enable-chat=false en cada perfil SIP que no use chat. Exigir autenticación con auth-messages no alcanza por sí solo.
• Borrar los usuarios de directorio sin password ni a1-hash, como default y el ejemplo de Skinny de conf/vanilla, y poner disable_system_api_commands=true, que quita la orden system aunque no cierra el camino.
• Revisar los registros en busca de mensajes SIP MESSAGE inesperados y de órdenes de la APISigla en inglés de interfaz de programación de aplicaciones: conjunto de reglas que permite que un programa le pida datos o funciones a otro de manera estandarizada. que nadie pidió. Si las hay, tratar el servidor como comprometido y cambiar las credenciales de internos y troncales.

Ficha técnica

• Producto: SignalWire FreeSWITCH.
• CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla.: CVE-2026-116779, en el registro de NVD desde el 5 de noviembre de 2026.
• CVSS: 9,8 (crítica), vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CWE: CWE-77, CWE-78 y CWE-749, inyección de órdenes.
• Versiones afectadas: 1.11.2 y anteriores, corregidas en la 1.11.3, del 28 de agosto de 2026.
• Aviso del fabricante: GHSA-mg63-h38w-8p9p, del 28 de octubre de 2026.
• Alta en el catálogo KEV de CISA: 9 de noviembre de 2026, con plazo para las agencias federales civiles de Estados Unidos hasta el 12 de noviembre.