Celah Kritis di Grandstream GXP1600 Memungkinkan Penyadapan VoIP Secara Diam-Diam
Sebuah kerentanan kritis ditemukan pada seri ponsel VoIP Grandstream GXP1600 yang memungkinkan penyerang jarak jauh tanpa autentikasi memperoleh hak akses root dan melakukan penyadapan komunikasi secara diam-diam.
Kerentanan ini dilacak sebagai CVE-2026-2329 dan memiliki skor keparahan 9,3. Celah tersebut memengaruhi enam model dalam seri GXP1600 yang menjalankan firmware sebelum versi 1.0.7.81.
Model yang Terdampak
Perangkat yang terdampak meliputi:
- GXP1610
- GXP1615
- GXP1620
- GXP1625
- GXP1628
- GXP1630
Produk VoIP Grandstream banyak digunakan oleh usaha kecil dan menengah, serta sektor pendidikan, perhotelan, dan penyedia layanan telepon internet di berbagai negara.
Eksploitasi Tanpa Autentikasi
Menurut laporan teknis dari Rapid7, celah ini berada pada layanan API berbasis web perangkat, tepatnya endpoint /cgi-bin/api.values.get, yang secara default dapat diakses tanpa autentikasi.
API tersebut menerima parameter bernama “request” yang berisi identifier dipisahkan tanda titik dua (colon). Parameter ini kemudian diproses dan disalin ke dalam buffer stack berukuran 64 byte tanpa pemeriksaan panjang input.
Jika penyerang mengirimkan input yang terlalu panjang, kondisi ini memicu stack overflow yang memungkinkan penimpaan memori di sekitarnya, termasuk register CPU penting seperti Program Counter. Dengan teknik ini, penyerang dapat mengeksekusi kode arbitrer dengan hak akses root.
Rapid7 bahkan mengembangkan modul Metasploit untuk membuktikan bahwa eksploitasi remote code execution (RCE) dapat dilakukan tanpa autentikasi.
Risiko Penyadapan dan Pencurian Kredensial
Setelah berhasil dieksploitasi, perangkat dapat dikendalikan sepenuhnya oleh penyerang. Dampaknya mencakup:
- Eksekusi perintah sistem operasi secara arbitrer
- Pencurian kredensial pengguna lokal dan akun SIP
- Pengubahan konfigurasi agar perangkat menggunakan proxy SIP berbahaya
Dengan mengganti proxy SIP, pelaku dapat melakukan penyadapan panggilan VoIP tanpa terdeteksi, sementara perangkat tetap berfungsi normal sehingga sulit diketahui telah dikompromikan.
Menariknya, meskipun perangkat tidak terhubung langsung ke internet publik, penyerang masih dapat melakukan pivot dari host lain di jaringan internal untuk mengeksploitasi celah ini.
Teknik Eksploitasi yang Canggih
Rapid7 menjelaskan bahwa untuk membangun rantai return-oriented programming (ROP), eksploitasi memerlukan penulisan beberapa byte null. Namun, kerentanan ini hanya memungkinkan satu byte null ditulis dalam satu overflow.
Untuk mengatasinya, peneliti memanfaatkan beberapa identifier yang dipisahkan tanda titik dua untuk memicu overflow berulang kali, sehingga memungkinkan penulisan beberapa byte null secara bertahap.
Metode ini menunjukkan tingkat kompleksitas tinggi dalam eksploitasi, namun tetap dapat dilakukan secara andal.
Patch Telah Dirilis
Rapid7 melaporkan kerentanan ini kepada Grandstream pada 6 Januari dan kembali pada 20 Januari karena belum menerima tanggapan. Perusahaan akhirnya merilis perbaikan pada 3 Februari melalui firmware versi 1.0.7.81.
Pengguna perangkat Grandstream yang terdampak sangat disarankan untuk segera memperbarui firmware ke versi terbaru guna mencegah potensi penyalahgunaan.
Celah ini menjadi pengingat bahwa perangkat VoIP dan infrastruktur komunikasi internal juga merupakan target bernilai tinggi dalam lanskap ancaman siber modern.
