SecBoard
Zurück zur CVE-Übersicht

CVE-2025-34328

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

EPSS-Score

0.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2025-34328 betrifft AudioCodes Fax Server und Auto-Attendant IVR Appliances bis Version 2.6.23. Sie ermöglicht einem nicht authentifizierten Angreifer, über einen Web-Administrations-Endpunkt beliebige Dateien in das Dateisystem des Servers zu schreiben und diese anschließend auszuführen. Dies führt zu einer () mit NT AUTHORITY\SYSTEM-Berechtigungen auf Windows-Systemen. Die Schwachstelle ist mit einem CVSS-Score von 9.8 als kritisch eingestuft, was auf ein extrem hohes Risiko hinweist. Obwohl die EPSS-Rate mit 1% eine geringe Ausnutzungswahrscheinlichkeit anzeigt und die Schwachstelle nicht in gelistet ist, ist das Potenzial für schwerwiegende Auswirkungen erheblich. Security-Teams sollten umgehend prüfen, ob betroffene AudioCodes Fax Server oder IVR Appliances im Einsatz sind. Eine schnelle Aktualisierung auf eine nicht anfällige Version oder die Implementierung geeigneter Gegenmaßnahmen zur Beschränkung des Zugriffs auf den betroffenen Endpunkt ist dringend erforderlich, um das Risiko einer vollständigen Systemkompromittierung zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

AudioCodes Fax Server and Auto-Attendant IVR appliances versions up to and including 2.6.23 include a web administration component (F2MAdmin) that exposes an unauthenticated script-management endpoint at AudioCodes_files/utils/IVR/diagram/ajaxScript.php. The saveScript action writes attacker-supplied data directly to a server-side file path under the privileges of the web service account, which runs as NT AUTHORITY\\SYSTEM on Windows deployments. A remote, unauthenticated attacker can write arbitrary files into the product’s web-accessible directory structure and subsequently execute them.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Detects attempts to write arbitrary files via the vulnerable ajaxScript.php endpoint, which can lead to remote code execution. This query looks for web server access logs showing POST requests to the specific vulnerable path and potentially large or unusual script content being uploaded.

Sentinel/Defender KQL

W3CIISLog
| where csUriStem == "/AudioCodes_files/utils/IVR/diagram/ajaxScript.php"
| where csMethod == "POST"
| where csUriQuery contains "action=saveScript"
| project TimeGenerated, cIP, csMethod, csUriStem, csUriQuery, scStatus, scBytes, csUserAgent
| sort by TimeGenerated desc

Splunk SPL

sourcetype=iis_access_log cs_uri_stem="/AudioCodes_files/utils/IVR/diagram/ajaxScript.php" cs_method="POST" cs_uri_query="*action=saveScript*"
| table _time, c_ip, cs_method, cs_uri_stem, cs_uri_query, sc_status, sc_bytes, cs_user_agent
| sort -_time

Sigma

title: AudioCodes Fax/IVR Appliance RCE Attempt
id: 7a8b9c0d-1e2f-3a4b-5c6d-7e8f9a0b1c2d
status: experimental
description: Detects attempts to exploit CVE-2025-34328 in AudioCodes Fax/IVR Appliance via unauthenticated file upload.
references:
  - https://pierrekim.github.io/advisories/2025-audiocodes-fax-ivr.txt
logsource:
  category: webserver
  service: iis
detection:
  selection:
    cs_uri_stem: '/AudioCodes_files/utils/IVR/diagram/ajaxScript.php'
    cs_method: 'POST'
    cs_uri_query: '*action=saveScript*'
  condition: selection
fields:
  - c_ip
  - cs_uri_stem
  - cs_uri_query
  - sc_status
  - sc_bytes
  - cs_user_agent
tags:
  - attack.initial_access
  - attack.t1190
  - cve.2025.34328
level: critical

Elastic ES|QL

from iis_logs
| where url.path == "/AudioCodes_files/utils/IVR/diagram/ajaxScript.php"
| where http.request.method == "POST"
| where url.query contains "action=saveScript"
| project @timestamp, source.ip, http.request.method, url.path, url.query, http.response.status_code, http.response.bytes, user_agent.original
| sort by @timestamp desc

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

Domains (1)

  • downloads-audiocodes.s3.eu-central-1.amazonaws.com

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Betroffene Produkte

  • cpe:2.3:a:audiocodes:fax_server:*:*:*:*:*:*:*:*
  • cpe:2.3:a:audiocodes:interactive_voice_response:*:*:*:*:*:*:*:*

Referenzen