Mandiant tarafından 3CX V20 telefon sistemi temel hizmetlerinin ürün güvenliği değerlendirmesine yapılan yatırımın nicelleştirilmesi.

 

Ürün güvenliğine olan devam eden bağlılığımızın bir parçası olarak 3CX, Google Cloud’un bir parçası ve siber güvenlik danışmanlığında lider olan Mandiant ile 3CX Telefon Sistemi V20’nin kapsamlı, çok aşamalı bir güvenlik değerlendirmesini yürütmesi için anlaştı. Katılım kapsamlıydı:

  • 97 iş günü
  • Mandiant FLARE ekibinden tersine mühendisler de dahil olmak üzere 10 danışman
  • Toplam 78 yıllık profesyonel siber güvenlik deneyimi

Proje tam kaynak kodu erişimi, uygulamalı test ve birden fazla yeniden değerlendirme döngüsü içeriyordu. Önemli bir zaman, uzmanlık ve kaynak yatırımı anlamına geliyordu. Rapor ve sonuçları hakkında daha fazla bilgi edinmek için okumaya devam edin.

Mandiant Katılımı Hakkında

Kasım 2023 ile Eylül 2024 arasında Mandiant, 3CX ekosisteminin ana bileşenlerini kapsayan dört ayrı değerlendirme gerçekleştirdi. Testler, hem statik hem de dinamik analizleri içeriyordu ve iyileştirme çalışmalarının doğrudan doğrulanması gerekiyordu.

Değerlendirilen Bileşenler

Progressive Web App (PWA)

  • Test dönemi: Kasım 2023
  • Platform: Debian 12 üzerinde 3CX V20
  • Metodoloji: Statik ve dinamik penetrasyon testi

Çekirdek Sunucu Tarafı Hizmetleri

  • Test dönemi: Aralık 2023
  • Bileşenler: SIP Sunucusu, Medya Sunucusu, WebRTC, Tünel
  • Yeniden değerlendirmeler: Nisan ve Haziran 2024, 20.0.1.699 ve 20.0.2.581 sürümlerinde
  • Platform: Debian 12

Session Border Controller (SBC)

  • Test dönemi: Nisan 2024
  • Cihazlar:
    • Yealink SIP-T53W (FW 96.86.0.77)
    • Yealink SIP-T46U (FW 108.86.0.77)
    • Fanvil V64 (FW 2.12.17)
    • Windows 10 ve Raspberry Pi (Debian 10)
  • SBC Sürümleri:
    • 18.1.36 (ilk)
    • 18.1.80
    • 20.0.100 (yeniden değerlendirme)

Windows Softphone Masaüstü İstemcisi

  • Test dönemi: Eylül 2024
  • Sürümler: 20.0.580
  • Yükleyici paketleri:
    • 3CXSoftphone_GLOBAL_20.0.580.0_x64.msix
    • 3CXSoftphone_MS_20.0.580.0_x64.msix

Temel Bulgular ve Çözüm Durumu

Mandiant tüm değerlendirmelerde şunları tespit etti:

  • Bir kritik güvenlik açığı
  • Bir yüksek riskli sorun

Her iki bulgu da 3CX tarafından tamamen düzeltildi ve yeniden değerlendirme sırasında Mandiant tarafından doğrulandı bağımsız olarak doğrulandı. Bu sorunlar ürünün 18 ve 20 sürümleri arasında paylaşılan bileşenlere uygulandı.

V20 Güvenliği Bir Önceliktir

Mandiant ile etkileşim, Sürüm 20’nin güvenliğini değerlendirmek için planlı ve bir yoğun kaynak çabasıydı. Bu, yeni V20 ortamında ürünümüzün mimarisini nasıl güvence altına aldığımız konusunda sürekli iyileştirme ve şeffaflığa olan bağlılığımızı göstermektedir.

Tam Mandiant Raporuna Erişim

Tam Mandiant raporu 3CX Güvenlik Sayfasından indirilebilir.

Güncellemeler için bizi takip edin

Daha fazla gelişmeden haberdar olmak için X ve Linkedin sayfalarımızda takip et butonuna basın.

Mandiant Hakkında

Mandiant, dinamik siber savunma, tehdit istihbaratı ve olay müdahale hizmetlerinde tanınmış bir liderdir. Mandiant, onlarca yıllık ön cephe deneyimini ölçeklendirerek, kuruluşların siber tehditlere karşı savunma ve müdahale etme konusunda hazır olduklarından emin olmalarına yardımcı olur. Mandiant, Google Cloud’un bir parçasıdır. https://www.mandiant.com/