Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w centralach telefonicznych Slican i koordynował proces ujawniania informacji.

Podatność CVE-2026-35088: Centrale telefoniczne Slican wykorzystują szyfrowanie symetryczne dla komunikcaji TCP/IP. Klucz szyfrujący jest zapisany w wielu plikach binarnych. Atakujący, który zdobędzie dostęp do tych plików, może odszyfrować komunikację.

Ten problem został naprawiony w serii IPx w wersji 6.62.0100.

Problemy nadal są obecne w centralach telefonicznych, dla których producent zakończył wsparcie:

• CCT-1668 (CCT1CPU)
• MAC-6400
• CXS-0424

Te centrale przestały być produkowane w 2011 i 2012 roku i nie będą otrzymywały aktualizacji. Centrale wymagają aktualizacji sprzętowej, aby uzyskać aktualizację oprogramowania. Producent zaleca, aby użytkownicy wskazanych central skontaktowali się bezpośrednio z serwisem fabrycznym producenta w celu ustalenia możliwości ścieżki modernizacji.

Podatność CVE-2026-63314: Serwis WebCTI wykorzystywany w centralach telefonicznych Slican serii IPx jest podatny na ataki typu SQL Injection w endpoincie /webcti/admin_json.php. Niewłaściwa walidacja danych wejściowych umożliwia uwierzytelnionemu użytkownikowi przeprowadzenie ataków typu SQL Injection.

Ten problem został naprawiony w serii IPx w wersji 6.62.0100.

Podatność CVE-2026-63315: Serwis WebCTI wykorzystywany w centralach telefonicznych Slican serii IPx przechowuje tymczasowe hasła abonenta w postaci jawnego tekstu. Atakujący, który posiada dostęp do bazy danych, może pozyskać hasło użytkownika i zalogować się na jego konto.

Ten problem został naprawiony w serii IPx w wersji 6.62.0100.

Podziękowania

Za zgłoszenie podatności CVE-2026-35088 dziękujemy Grupie ŻN. Za zgłoszenie podatności CVE-2026-63314 i CVE-2026-63315 dziękujemy Damianowi Strojkowi oraz Olhie Zozulii.