Atacuri cibernetice active pe platformele VoIP Sangoma Switchvox

Siguranta infrastructurii de comunicatii dintr-o companie este adesea trecuta cu vederea pana in momentul in care apare un incident major. Multe organizatii investesc in securizarea statiilor de lucru si a serverelor de e-mail, dar neglijeaza echipamentele de telefonie sau gateway-urile VoIP conectate direct la internet. La Activ.NET, in discutiile noastre cu administratorii din Arad, observam frecvent ca sistemele de voce over IP sunt tratate ca simple electrocasnice, ignorandu-se faptul ca ele ruleaza sisteme de operare complexe si servicii web expuse public.

#Ce s-a intamplat

Cercetatorii in securitate au semnalat exploatarea activa a unei vulnerabilitati critice, cunoscuta drept CVE-2026-9586, care afecteaza platforma de management VoIP Sangoma Switchvox. Aceasta problema este o bresa de tip SQL injection neautentificata, localizata in endpoint-ul HTTP /pa al aplicatiei. Practic, un atacator poate trimite un mesaj XML special craftat care contine comenzi rau intentionate, fara a avea nevoie de credite de acces anterioare.

Prin exploatarea acestei vulnerabilitati, atacatorii reusesc sa execute comenzi la nivelul sistemului de operare si sa creeze asa-numitele shell-uri inverse. Honeypot-urile din retea au inregistrat deja valuri de atacuri rapide venite de la o singura adresa IP, vizand direct serverele expuse pe internet. Desi vendorul a pus la dispozitie o corectie inca din vara, numarul echipamentelor care raman vulnerabile pe internet este semnificativ, majoritatea scanarilor automate identificand mii de dispozitive potential expuse.

#Impact pentru firme

Pentru o companie mica sau mijlocie, compromiterea unui sistem de telefonie VoIP poate insemna mult mai mult decat intreruperea convorbirilor telefonice. Un server VoIP compromis devine o poarta de intrare in reteaua interna a firmei. De acolo, atacatorii pot colecta informatii despre topul proceselor rulate, pot monitoriza traficul sau se pot folosi de pozitia privilegiata pentru a lansa atacuri laterale asupra altor echipamente critice.

Din experienta noastra in teren cu infrastructurile companiilor din Romania, orice echipament conectat la WAN care prezinta o bresa necorectata reprezinta un risc iminent. Costul financiar si de imagine al unei brese de securitate depaseste cu mult efortul periodic de mentenanta si aplicare a patch-urilor. Timpul pierdut cu investigarea unui incident si recuperarea datelor poate bloca activitatea comerciala zile in sir.

#Recomandari concrete

Pentru a va proteja afacerea de astfel de incidente, va recomandam sa luati masuri imediate. Daca aveti nevoie de suport specializat, echipa Activ.NET va poate ajuta cu solutii de Service IT pentru firme si audit de securitate.

1. Actualizati imediat platforma Sangoma Switchvox la versiunea 8.4.0.2 sau mai noua, unde producatorul a remediat aceasta bresa.
2. Verificati jurnalele de sistem, in special fisierul de loguri /var/log/switchvox/db-quirks.log, pentru a identifica eventuale interogari SQL suspecte sau conexiuni neautorizate pe portul 39323.
3. Restrictionati accesul la interfata de management a sistemului VoIP astfel incat sa nu fie expusa direct pe internet. Folositi reguli stricte de firewall sau o conexiune securizata prin VPN pentru administrare.

#Concluziile noastre

Incidentele de acest tip confirma inca o data ca securitatea cibernetica nu este un proiect pe care il bifezi o singura data, ci un proces continuu. Perimetrul companiei s-a extins, iar orice dispozitiv smart sau solutie de comunicatii conectata la retea devine o tinta daca este ignorata. Prin monitorizarea constanta a jurnalelor si aplicarea la timp a actualizarilor de securitate, riscurile pot fi tinute sub control eficient.

Inspirat din: BleepingComputer