Een uitgebreide blik op de investering in de beveiligingsanalyse van 3CX V20 door Mandiant.

Mandiant (onderdeel van Google Cloud) voerde een diepgaand beveiligingsonderzoek uit naar 3CX V20. Alle bevindingen zijn inmiddels opgelost en onafhankelijk gevalideerd.

In het kader van onze voortdurende inzet voor productveiligheid heeft 3CX het gerenommeerde cybersecuritybedrijf Mandiant, onderdeel van Google Cloud, ingeschakeld voor een uitgebreide meerfasige beveiligingsaudit van de 3CX Phone System V20. Het betrof een grootschalig traject:

  • 97 werkdagen onderzoek
  • 10 gespecialiseerde consultants, waaronder reverse engineers van het Mandiant FLARE-team
  • 78 jaar aan gecombineerde cybersecurity-ervaring

Mandiant kreeg volledige toegang tot de broncode, voerde hands-on tests uit, en controleerde herhaaldelijk de verbeteringen. Een aanzienlijke investering in tijd, kennis en middelen die de veiligheid van onze nieuwe V20-architectuur onderstreept.

Wat hield het Mandiant-onderzoek in?

Tussen november 2023 en september 2024 voerde Mandiant vier afzonderlijke beoordelingen uit van de belangrijkste onderdelen van het 3CX-ecosysteem. Daarbij werd gebruikgemaakt van zowel statische als dynamische analysemethoden, inclusief verificatie van de herstelmaatregelen.

Geteste componenten

Progressive Web App (PWA)

  • Testperiode: November 2023
  • Platform: 3CX V20 op Debian 12
  • Methodologie: Statische en dynamische penetratietests

Core Server-Side Services

  • Testperiode: December 2023
  • Componenten: SIP Server, Media Server, WebRTC, Tunnel
  • Herbeoordelingen: april en juni 2024 op versies 20.0.1.699 en 20.0.2.581
  • Platform: Debian 12

Session Border Controller (SBC)

  • Testperiode: April 2024
  • Apparaten:
    • Yealink SIP-T53W (FW 96.86.0.77)
    • Yealink SIP-T46U (FW 108.86.0.77)
    • Fanvil V64 (FW 2.12.17)
    • Windows 10 en Raspberry Pi (Debian 10)
  • SBC versies:
    • 18.1.36 (initial)
    • 18.1.80
    • 20.0.100

Windows Softphone Desktop Client

  • Testperiode: September 2024
  • Versies: 20.0.580
  • Installatiepakketten:
    • 3CXSoftphone_Global_20.0580.0_x64.msix
    • 3CXSoftphone_MS_20.0.580.0_x64.msix

Belangrijkste bevindingen & status

Mandiant identificeerde in totaal:

  • 1 kritieke kwetsbaarheid
  • 1 hoog risico-issue

Beide problemen zijn volledig verholpen door 3CX en bevestigd als opgelost door Mandiant in latere beoordelingen. De bevindingen betroffen componenten die zowel in versie 18 als 20 aanwezig zijn.

V20 Veiligheid heeft Prioriteit

Deze samenwerking met Mandiant was een bewuste, grondige stap om de veiligheid van versie 20 naar het hoogste niveau te tillen. Het onderstreept onze transparantie en toewijding aan continue verbetering van de productarchitectuur.

Lees het volledige Mandiant rapport

Het volledige Mandiant-rapport is beschikbaar op onze 3CX Security-pagina.

Blijf op de hoogte

Volg ons op LinkedIn en X voor toekomstige updates.

Over Mandiant

Mandiant is wereldwijd erkend als autoriteit op het gebied van cyberdefensie, dreigingsanalyse en incident response. Met tientallen jaren ervaring op de frontlinie helpt Mandiant organisaties zichzelf beter te beschermen tegen digitale dreigingen. Sinds 2022 is Mandiant onderdeel van Google Cloud. https://www.mandiant.com/