セキュリティ研究者らは、Sangoma Switchvoxに存在する重大な脆弱性を標的とした実際の悪用試行を報告しました。この脆弱性を悪用すると、未認証の攻撃者がSQLインジェクションを通じてリモートでコードを実行できてしまいます。
この脆弱性はCVE-2026-9586として追跡されており、インターネットに公開されたSwitchvoxのエンタープライズVoIPシステムに影響します。Switchvoxバージョン8.4.0.2で修正済みです。
Vulnerabilityassessment tool
Sangoma Switchvox RCE脆弱性
Horizon3.aiの研究者Zach Hanley氏が明らかにしたところによると、この脆弱性は、以前報告されたFreePBXの欠陥の悪用を受けて同社がベンダーのエコシステムを調査した結果、Sangoma Switchvoxで報告された12件の脆弱性のうちの1つです。
他の脆弱性とは異なり、CVE-2026-9586はすでに同社のDefused Cyberハニーポットインフラに対する悪用の試みが検出されています。
Switchvoxは、通話、ボイスメール、転送、モニタリング、分析、対応電話機器を管理するオンプレミス型のエンタープライズ電話プラットフォームです。
脆弱性の存在する機能は、Perlベースのコンポーネントである PhoneAppsHandler.pm が処理する、未認証の /pa HTTPエンドポイントを通じて公開されています。
このエンドポイントはXML形式の電話通知リクエストを受け付けます。研究者らの調査によると、送信されたコンテンツが期待されるXML構造である`<PolycomIPPhone>`で始まっているかどうかという最小限の検証しか行っておらず、XML文書内に埋め込まれた値については十分な検証を行っていないことが分かりました。
この脆弱なデータフローは、アプリケーションがリクエストボディを読み取り、XML::Simple::XMLin()を使用してそれを解析するところから始まります。アプリケーションはPhoneIPフィールドを抽出し、ユーザーが制御可能なその値を、パラメータ化やサニタイズを行わないままSQLクエリに挿入します。
注入された値がシングルクォートで囲まれたSQLコンテキスト内で使用されるため、攻撃者は本来のクエリを終端させ、任意のPostgreSQLコマンドを追加できてしまいます。
Horizon3.aiは、このデータベースクエリがPostgreSQLのスーパーユーザー権限で実行されると指摘しており、攻撃者はデータベースの機能を悪用して、基盤となるSwitchvoxアプライアンス上でコマンドを実行できる状態にあります。
この問題が特に危険なのは、悪用に有効なSwitchvoxアカウントもユーザーの操作も、内部の電話管理インターフェースへのアクセスも一切必要としない点です。
Horizon3.aiのハニーポットから得られたテレメトリデータによると、攻撃者はこの脆弱性を悪用し、脆弱なシステム上でシェルコマンドを実行しようと試みていました。観測されたペイロードの一つは、Netcatを介してコマンドチャネルを確立しようとした後、侵害されたデバイスからプロセス情報を収集する偵察行為に及んでいました。
研究者らはまた、同じ攻撃者のインフラが複数のハニーポットを短時間のうちに標的にしていたことも指摘しており、これは特定の標的を狙った侵入キャンペーンというよりも、インターネット全体を対象とした日和見的なスキャンであることを示唆しています。
今回観測された活動に関連する送信元IPアドレスの一つは176.65.148.184でした。組織は、ログ、ファイアウォールデータ、プロキシのテレメトリ、Switchvox関連のネットワーク接続について、このIPアドレスが絡む通信がないか確認する必要があります。ただし、攻撃者はインフラを迅速にローテーションできるため、防御側は単一の指標のみに頼るべきではありません。
Horizon3.aiの推定によると、約4,000台のSwitchvoxデバイスがインターネットに露出しており、その多くが米国に所在しています。したがって、公開されているインスタンスは今後も繰り返し悪用が試みられる可能性が高いと考えられます。
SwitchvoxアプライアンスへのSSHアクセス権を持つ管理者は、`/var/log/switchvox/db-quirks.log`を確認し、不審なSQL文がないかチェックする必要があります。特に、予期しないクエリ区切り文字、`COPY … TO PROGRAM`のようなコマンド、シェルユーティリティ、Netcat、curlコマンド、Base64デコード、プロセス列挙行為を含むエントリには注意が必要です。
組織は、CVE-2026-9586の修正が含まれるSwitchvoxバージョン8.4.0.2以降へ直ちにアップグレードする必要があります。また、管理プレーンの露出を制限し、SwitchvoxインターフェースをVPNや信頼できるネットワーク制御の背後に配置し、電話サーバーからの送信トラフィックに不審なコマンド&コントロール接続がないか監視することも求められます。
悪用活動が確認されていることを踏まえると、組織は未パッチでインターネットに公開されたSwitchvoxの導入環境を、すでに侵害されている可能性があるものとして扱い、それに応じたインシデント対応レビューを実施すべきです。
SOCを常に最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングを検知しましょう。 ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/sangoma-switchvox-rce-flaw/
