Kurz zusammengefasst
- Betroffen: ASTPP 6.0 Community Edition, alle Releases bis V6.0.6 und der Branch V6.0 bis Commit 9479778d. Ältere Versionen haben wir nicht geprüft.
- Behoben in: ASTPP 6.2, veröffentlicht am 6. November 2026 (Release v6.2).
- Umfang: 61 Sicherheitsprobleme und 15 funktionale Fehler.
| Schweregrad | Anzahl |
|---|---|
| Kritisch | 7 |
| Hoch | 23 |
| Mittel | 19 |
| Niedrig / betrieblich | 12 |
| Total | 61 |
Ablauf
Wir haben die Probleme im Oktober 2026 an iNextrix gemeldet, zusammen mit Korrekturen für alle Befunde. iNextrix hat die Korrekturen übernommen und am 6. November 2026 als ASTPP 6.2 veröffentlicht. Wir danken dem Team von iNextrix für die schnelle Reaktion und die gute Zusammenarbeit.
Technische Details und Angriffswege veröffentlichen wir nicht.
Die wichtigsten Probleme
- Ohne Anmeldung: SQL-Injection über SIP-Registrierungen und Anrufe, FreeSWITCH-Befehle und Wartungsfunktionen über das Web erreichbar, Gesprächsaufzeichnungen ohne Anmeldung abrufbar, Anrufe über manipulierte SIP-Header auf fremde Konten abgerechnet.
- Schlüssel und Zugangsdaten: dieselben öffentlich bekannten Schlüssel auf jeder Installation, ein Demo-Konto mit veröffentlichten Passwörtern sowie vorhersagbare Passwörter, PINs und Einmalcodes.
- Datenschutz: Daten der Installation und ihrer Kunden wurden ohne Hinweis und ohne Einwilligung an den Hersteller übertragen. Die Übertragung ist aus dem Code entfernt; iNextrix hat dazu einen eigenen Hinweis veröffentlicht.
- Portal für Reseller und Kunden: fehlende Berechtigungsprüfungen ermöglichten Zugriff auf Daten anderer Konten und Mandanten sowie Rollenwechsel.
- Geldflüsse: Preise, Gutscheine, Guthabenübertragungen, Rechnungen und PayPal-Zahlungsmeldungen liessen sich manipulieren.
- Angemeldete Benutzer (je nach Rolle): Datei-Upload mit Codeausführung, Command Injection und SQL-Injection in mehreren Funktionen.
Was Betreiber jetzt tun sollten
- Auf ASTPP 6.2 aktualisieren und den Upgrade-Hinweisen von iNextrix folgen. Dazu gehört der Import von
database/astpp-6.2.sql, den der neue Code voraussetzt. - Schlüssel ersetzen: Enthält
astpp-config.confnoch die mitgelieferten Werte fürPRIVATE_KEYundENCRYPTION_KEY, diese durch Zufallswerte ersetzen. Mit dem altenPRIVATE_KEYverschlüsselte Werte lassen sich danach nicht mehr lesen; den Wechsel deshalb zusammen mit den Upgrade-Hinweisen planen. - Passwörter und PINs ersetzen, die ASTPP 6.0 erzeugt hat (Portal, SIP-Geräte, Calling Cards). Sie sind vorhersagbar.
- API-Add-on deinstallieren (
addons/Community/api), falls installiert. Es ist in 6.2 nicht korrigiert; iNextrix rät ebenfalls davon ab. - Bis zum Update: Zugriff auf Weboberfläche und SIP-Ports auf bekannte Adressen beschränken, öffentliche Selbstregistrierung und PayPal deaktiviert lassen und Portalzugänge nur an Reseller und Kunden vergeben, denen Sie voll vertrauen.
CVE-Kennungen
Die Befunde sind als Security Advisories bei iNextrix auf GitHub eingereicht. iNextrix beantragt die CVE-Kennungen und veröffentlicht die Advisories unter github.com/inextrix/ASTPP/security/advisories. Wir ergänzen die Kennungen hier, sobald sie vergeben sind.
PHP 8.5
ASTPP 6.2 setzt weiterhin PHP 7.4 voraus, das seit November 2022 keine Sicherheitsupdates mehr erhält. iNextrix plant die Unterstützung von PHP 8.5 für ein späteres Release; unsere Anpassungen dafür haben wir als Pull Request eingereicht. Wir betreiben ASTPP selbst auf Debian 13 mit PHP 8.5. Unser gehärteter Fork ist unter github.com/infrahost/astpp-hardened öffentlich verfügbar (AGPL-3.0).
Credits
Gefunden und gemeldet von infrahost und Raphael Schneeberger (github.com/ScIT-Raphael). Fragen zum Update beantworten wir gerne unter info@infrahost.ch.
White-Label Cloud- und Managed-Service-Infrastruktur für Schweizer IT-Unternehmen. Ein Angebot der ScIT Informatik GmbH.