- 出荷済み
- 2026年9月23日 3:08 UTC
- プロフィール
- Kamo
- コンテンツ
- 6f10239
RingCentralのインバウンドコール/SMSのwebhooksはゼロ検証と処理されました: WebhookController がテレフォニー/メッセージストアイベントを直接ルート メニュー メニュー `return true; // TODO` で、検証トークンなしでサブスクリプションを作成しました。 お問い合わせ エンドポイントは公開されています。 製造されたペイロードをポストした人は誰でも注入できます 任意のorgにテキストを転送し、STOP/STARTコンプライアンスイベントを強制し、インバウンドコールポップアップをトリガーします 任意の数(toll-fraud の隣接)、または "from" のコンテンツのスプーフィ 会員 — と to-number の解像度 (`findByFromPhoneNumber`) はスコープ化されていない org なので、実際の顧客の数が一致し、間違ったテナントに表示することができます 純正のペイロードでも。 修正: - RingCentralWebhookProvisionerがランダムな知覚認証トークンを生成 (config json で、設定 API から赤字化)、サブスクリプション登録 パーインスタンス URL (`?instanceId=`、マッチングチーム/JustCall) で、トークンを送信 のように************************ なので、RingCentral はそのまま戻ります すべての通知の `Verification-Token` ヘッダー。 RingCentral独自のサブスクリプション URL-ownership handhake (`Validation-Token` ヘッダー WebhookController 既に) echoes back) は非接触で、異なるヘッダーが異なることです。 -**************** では、ヘッダが定数で確認できるようになりました。 時間と不定休(トークンなし、ヘッダなし、またはすべての拒否の不一致なし)。 - WebhookController は `?instance からインスタンスを解決します Id=` は、 Verification-Token チェックをパスし、イベントのみを処理します。 そのインスタンスの org. メニュー **************** 両方が検証済みOrgId パラメータを取得: 対番号 検証された webhook よりも DIFFERENT の org で一致することは、正確には、未所有として扱われます 誰も所有する番号のように、信頼されることはありません。 - 安全性の展開(3つのライブリング中央インスタンスは、インバウンドトラフィックを失わない必要があります): RingCentralWebhookProvisionerの全てのパスがアカウントの実際の状態を把握できるようになりました サブスクリプションリスト — プレフィックスサブスクリプション (インスタンス ID/トークンなし) は DELETED であり、 検証済みのインスタンスに置換されるので、新しいの~30秒以内にインスタンスを自動処理 ポッドがリーダーになる(スタートアップ+12h毎に既に実行)。 ギャップ前のギャップのため リクエストが完了すると、WebhookController はインスタンス無しでイベントを受け付けています。 プレフィックス、非スコープのルールのすべてで — 2026-10-13 まで、 ログを大声で使う 行なのでフォールバックが見える 永続的ではありません。 その日以降は、他のすべてのように閉じることができません。 coordinator のレポート: 3 ライブ RingCentral インスタンスに必要なアクションなし — 次のデプロイで自動的にヒースします。 操作上、腕時計 ************************ このデプロイ後に voipservice ログで; すべき 数分以内に現れます。 それでも2026-10-13に近づくと、 そのインスタンスのサブスクリプションがヒーリングされていない理由(RingCentralJwtTokenServiceの失敗) 切替前のログは別に記録されます。 メニュー テスト: メニュー (トークン/ヘッダ無しでクローズ) 間違ったトークンは、マッチングトークン、ケース・インセンティブ・ヘッダを受け入れます)、 メニュー (generates+persists+reuses) トークン; 削除 プレフィックスサブスクリプションと検証済みの置換を登録します。 健康な電流を残します サブスクリプションだけ)、VoipCallEventService に追加された org-scoping の場合 試験・試験 VoipMessageServiceKeywordTest。 すべての4つの変異チェック:関連する反転 ガードは、対応するテスト赤を回し、それを回復すると緑色になります.