SecBoard
Zurück zur CVE-Übersicht

CVE-2025-34329

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

EPSS-Score

1.2%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2025-34329 betrifft AudioCodes Fax Server und Auto-Attendant IVR Appliances bis einschließlich Version 2.6.23. Sie ermöglicht über einen unauthentifizierten Backup-Upload-Endpunkt (ajaxBackupUploadFile.php) das Hochladen beliebiger Dateien mit vom Angreifer kontrolliertem Dateinamen. Dies kann auf Windows-Systemen zur Ausführung beliebigen Codes mit NT AUTHORITY\SYSTEM-Berechtigungen führen, indem Konfigurationsdateien des Webservers manipuliert werden. Die Schwachstelle wird als kritisch eingestuft ( 9.8). Die Exploit-Wahrscheinlichkeit ( 1%) ist derzeit gering, und die Schwachstelle ist nicht im KEV-Katalog gelistet, was auf keine bekannte aktive Ausnutzung hindeutet. Trotzdem ist das potenzielle Risiko aufgrund der hohen Privilegien bei erfolgreicher Ausnutzung erheblich. Security-Teams sollten umgehend prüfen, ob betroffene AudioCodes-Produkte im Einsatz sind. Ein Patch oder eine geeignete Mitigation zur Absicherung des genannten Endpunkts ist dringend erforderlich, um eine Kompromittierung zu verhindern. Eine kontinuierliche Überwachung auf ungewöhnliche Aktivitäten ist ebenfalls ratsam.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

AudioCodes Fax Server and Auto-Attendant IVR appliances versions up to and including 2.6.23 expose an unauthenticated backup upload endpoint at AudioCodes_files/ajaxBackupUploadFile.php in the F2MAdmin web interface. The script derives a backup folder path from application configuration, creates the directory if it does not exist, and then moves an uploaded file to that location using the attacker-controlled filename, without any authentication, authorization, or file-type validation. On default Windows deployments where the backup directory resolves to the system drive, a remote attacker can upload web server or interpreter configuration files that cause a log file or other server-controlled resource to be treated as executable code. This allows subsequent HTTP requests to trigger arbitrary command execution under the web server account, which runs as NT AUTHORITY\\SYSTEM.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Detects attempts to upload files to the unauthenticated backup endpoint. This query might need adjustments based on specific web server logging configurations and paths.

Sentinel/Defender KQL

DeviceNetworkEvents
| where ActionType == "NetworkConnectionInitiated" or ActionType == "NetworkConnectionSuccessful"
| where RemotePort == 80 or RemotePort == 443
| where RemoteUrl contains "/AudioCodes_files/ajaxBackupUploadFile.php"
| project TimeGenerated, DeviceName, InitiatingProcessFileName, RemoteIP, RemoteUrl, RemotePort

Splunk SPL

sourcetype=iis (cs_uri_stem="/AudioCodes_files/ajaxBackupUploadFile.php" OR uri_path="/AudioCodes_files/ajaxBackupUploadFile.php") method=POST
| table _time, c_ip, cs_uri_stem, sc_status, cs_bytes

Sigma

title: AudioCodes Fax/IVR Appliance Unauthenticated Backup Upload
id: 9a7b6c5d-4e3f-2a1b-0c9d-8e7f6a5b4c3d
status: experimental
description: Detects unauthenticated file uploads to the AudioCodes Fax/IVR Appliance backup endpoint, which can lead to RCE.
author: SecBoard
date: 2025/11/20
references:
  - https://www.vulncheck.com/advisories/audiocodes-fax-ivr-appliance-unauthenticated-backup-upload-rce-via-ajaxbackupuploadfile
logsource:
  category: webserver
  product: iis
detection:
  selection:
    cs_uri_stem|contains: '/AudioCodes_files/ajaxBackupUploadFile.php'
    method: 'POST'
  condition: selection
level: critical

Elastic ES|QL

FROM http.request
| WHERE url.path LIKE '%/AudioCodes_files/ajaxBackupUploadFile.php%'
  AND http.request.method == 'POST'
| SELECT @timestamp, source.ip, destination.ip, url.full, http.request.method, http.response.status_code

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

Domains (1)

  • downloads-audiocodes.s3.eu-central-1.amazonaws.com

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Betroffene Produkte

  • cpe:2.3:a:audiocodes:fax_server:*:*:*:*:*:*:*:*
  • cpe:2.3:a:audiocodes:interactive_voice_response:*:*:*:*:*:*:*:*

Referenzen