CVE-2026-49841: FreeSWITCH: estouro de buffer no heap antes da autenticação no tratamento de POST HTTP do mod_verto
As versões do FreeSWITCH anteriores à 1.11.1 contêm um estouro de buffer no heap no manipulador de requisições HTTP do mod_verto, em que a leitura do corpo POST é limitada pelo Content-Length e não pelo tamanho do buffer de 2 MiB. A falha é alcançável antes da verificação de autenticação basic HTTP, e o registro a classifica com CVSS 9.8 (crítica). O registro informa que a correção está na versão 1.11.1, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-49841 é um estouro de buffer baseado em heap (CWE-122) no manipulador de requisições HTTP do módulo mod_verto do FreeSWITCH. Segundo o registro, o manipulador aloca um buffer fixo de 2 MiB para um corpo POST em formato form-urlencoded, mas lê até o valor de Content-Length, que pode chegar a pouco menos de 10 MiB. O aviso descreve que a leitura ocorre antes da verificação de autenticação basic HTTP.
Impacto
- O registro descreve um estouro de heap controlado pelo atacante de até cerca de 8 MiB.
- O vetor CVSS 3.1 de origem do GitHub é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação 9.8 (crítica). Isso indica que não são exigidos privilégios nem interação do usuário pela rede, com alto impacto em confidencialidade, integridade e disponibilidade.
- Os dados SSVC do registro indicam impacto técnico total e automatizável como sim.
Produtos e versões afetadas
O registro lista duas entradas de produto afetadas, ambas limitadas a versões anteriores à 1.11.1:
- Freeswitch Freeswitch: anteriores à 1.11.1
- Signalwire Freeswitch: anteriores à 1.11.1
A lista de correções do registro está vazia, mas a descrição e a referência de lançamento apontam a 1.11.1 como versão corrigida. Versões de outras ramificações não são descritas nos dados disponíveis.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, portanto essa fonte não confirma exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS no registro é 0.00605 (percentil 0.48307), e o campo de exploração SSVC está como none. Esses valores são estimativas de probabilidade e não confirmam ataques.
Correção e mitigação
- Atualize o FreeSWITCH para a versão 1.11.1 ou posterior, conforme indicado na referência de lançamento do fornecedor.
- Enquanto a atualização não for concluída, restrinja o acesso à interface HTTP do mod_verto a redes confiáveis, por exemplo com regras de firewall ou segmentação de rede, já que a falha é descrita como alcançável antes da autenticação.
- Avalie se o mod_verto é necessário em cada implantação e desative-o onde não for utilizado.
Orientações de detecção
- Inventarie todas as instâncias do FreeSWITCH e suas versões, sinalizando as que estiverem em versão anterior à 1.11.1.
- Monitore o tráfego HTTP para a interface mod_verto em busca de corpos POST incomumente grandes, bem como falhas ou reinicializações do serviço no host, como indicadores que merecem investigação.
- Mantenha registros das requisições HTTP recebidas pela plataforma de telefonia para correlação durante a análise de incidentes.
Limitações das informações disponíveis
O registro não traz detalhes técnicos além da descrição e não informa, para todas as configurações, as condições exatas necessárias para a exploração. A lista de correções está vazia, então a versão corrigida foi obtida da descrição e da referência de lançamento. Não é possível saber, pelas fontes consultadas, se existem backports do fornecedor para ramificações mais antigas.
Perguntas frequentes
O que é a CVE-2026-49841?
É um estouro de buffer baseado em heap no manipulador de requisições HTTP do mod_verto do FreeSWITCH, em que a leitura do corpo POST é limitada pelo Content-Length e não pelo buffer de 2 MiB.
Quais versões são afetadas?
O registro lista Freeswitch Freeswitch e Signalwire Freeswitch como afetados, em versões anteriores à 1.11.1.
A falha é explorável antes da autenticação?
A descrição afirma que o estouro ocorre antes da verificação de autenticação basic HTTP, portanto o registro indica que a falha é alcançável sem autenticação.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que administradores devem fazer?
Atualizar para a versão 1.11.1 ou posterior, restringir o acesso à interface HTTP do mod_verto e inventariar as instâncias do FreeSWITCH em versões anteriores à 1.11.1.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.