CVE-2025-67722
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
FreePBX to open-source'owy webowy interfejs graficzny zarządzający Asterisk. Przed wersjami 16.0.45 i 17.0.24 frameworku FreePBX istnieje lokalna eskalacja uprawnień w przestarzałym skrypcie startowym `amportal`. W przestarzałym narzędziu `amportal` wyszukiwanie pliku `freepbx_engine` odbywa się w katalogach `/etc/asterisk/`. Zazwyczaj są one skonfigurowane przez FreePBX jako zapisywalne przez użytkownika **asterisk** i członków grupy **asterisk**. Oznacza to, że członek grupy **asterisk** może dodać własny plik `freepbx_engine` w `/etc/asterisk/` i po uruchomieniu `amportal` wykona ten plik z uprawnieniami roota (mimo że plik został utworzony przez nie-roota). Wersje 16.0.45 i 17.0.24 zawierają poprawkę. Dostępne są również inne strategie łagodzenia. Potwierdź, że tylko zaufani lokalni użytkownicy systemu są członkami grupy `asterisk`. Szukaj podejrzanych plików w katalogu `/etc/asterisk/` (przez Admin -> Config Edit w GUI lub przez CLI). Sprawdź, czy `live_dangerously = no` jest ustawione (lub nieskonfigurowane, ponieważ domyślnie jest **no**) w pliku `/etc/asterisk/asterisk.conf`. Wyeliminuj wszelkie niebezpieczne niestandardowe użycie aplikacji i funkcji dial planu Asterisk, które mogą manipulować systemem plików, np. System(), FILE(), itp.
Ocena ryzyka
Lokalna eskalacja uprawnień do roota może pozwolić atakującemu na pełne przejęcie systemu, co stanowi krytyczne zagrożenie bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację frameworku FreePBX do wersji 16.0.45 lub 17.0.24, ograniczenie członkostwa w grupie asterisk oraz sprawdzenie katalogu /etc/asterisk/ pod kątem podejrzanych plików.
Inne podatności w FreePBX
Zobacz wszystkie- CVE-2026-73665Krytyczne
FreePBX przed wersją 17.0.9 ma podatność w serwerze UCP Node na portach 8001 i 8003, gdzie middleware checkAuth jest stosowane tylko do domyślnej przestrzeni nazw Socket.IO. Nieuwierzytelniony klient może połączyć się z niestandardowymi przestrzeniami nazw i wysyłać spreparowane wartości zdarzeń z CR/LF, co pozwala na wykonanie dowolnych poleceń jako użytkownik usługi asterisk.
- CVE-2026-73663Krytyczne
FreePBX od wersji 16.0.0 do 16.0.11 i 17.0.4 ma podatność w module missedcall, gdzie nazwa dzwoniącego z nagłówka SIP From jest wstawiana do zapytania SQL bez odpowiedniego escapowania. Nieuwierzytelniony dzwoniący może wstrzyknąć SQL, gdy monitorowane rozszerzenie pozostaje nieodebrane, co pozwala na modyfikację kont administratora i uzyskanie zdalnego dostępu.
- CVE-2026-46376Krytyczne
Podatność w FreePBX od wersji 15.0.42 do 16.0.45 i 17.0.7 umożliwia nieuwierzytelnionym użytkownikom dostęp do Panelu Kontroli Użytkownika (UCP) przy użyciu domyślnych, zakodowanych na stałe poświadczeń szablonu, jeśli administrator nie zmienił ich natychmiast po włączeniu UCP. Problem został naprawiony w wersjach 16.0.45 i 17.0.7.
- CVE-2025-67736Wysokie
Moduł FreePBX tts (Text to Speech) dla FreePBX, open-source'owego webowego GUI zarządzającego Asterisk, w wersjach przed 16.0.5 i 17.0.5 jest podatny na wstrzykiwanie SQL przez uwierzytelnionych użytkowników z dostępem administratora. Uwierzytelnieni użytkownicy z administracyjnym dostępem do Administrator Control Panel (ACP) mogą wykorzystać tę podatność do wyodrębnienia wrażliwych informacji z bazy danych i wykonania kodu na systemie jako użytkownik `asterisk` z łańcuchową eskalacją do uprawnień `root`. Użytkownicy powinni zaktualizować do wersji 16.0.5 lub 17.0.5, aby otrzymać poprawkę.
- CVE-2026-75600Wysokie
FreePBX to open source IP PBX. Przed wersją 17.0.9 uwierzytelnieni użytkownicy, którzy mają dostęp do interfejsu modułu GraphQL api, mogą wykonywać dowolne polecenia powłoki. Wymagany jest uwierzytelniony dostęp do modułu api. Generator dokumentacji modułu PBX API przyjmuje uwierzytelniony parametr host i używa go do budowy polecenia powłoki. Ścieżka kodu weryfikuje wygenerowany token OAuth przed wykonaniem, ale nie weryfikuje ani nie escapuje hosta. Kompromitacja skutkuje uwierzytelnionym wykonaniem dowolnych poleceń powłoki jako użytkownik usługi web/PBX (zazwyczaj asterisk). Problem został naprawiony w wersji 17.0.9.
- CVE-2026-54710Wysokie
FreePBX to open source IP PBX. Przed wersjami 16.0.40 i 17.0.7 istnieje krytyczna podatność na zdalne wykonanie kodu (RCE) w module superfecta z powodu niebezpiecznego dołączania dowolnych plików PHP, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP na serwerze z uprawnieniami użytkownika serwera WWW. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Podatność jest zakorzeniona w przypadkach options i save_options w module AJAX Superfecta. Kod dynamicznie dołącza pliki PHP z katalogu sources/ na podstawie danych dostarczonych przez użytkownika. Pozwala to atakującemu na wykonanie dowolnego kodu w połączeniu z tworzeniem dowolnych katalogów (np. przez moduł backup) i przesyłaniem plików ujawniających pełne ścieżki (np. przez moduł soundlang). Problem został naprawiony w wersjach 16.0.40 i 17.0.7.
- CVE-2026-54708Wysokie
FreePBX to open source IP PBX. Przed wersjami 16.0.72 i 17.0.7 istnieje krytyczna podatność w module kopii zapasowych FreePBX, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu na serwerze. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika, który ma wystarczające uprawnienia dostępu i/lub zapis do plików kopii zapasowych. Podatność jest spowodowana nieprawidłowym oczyszczaniem ścieżek w funkcji przywracania kopii zapasowych, co umożliwia atakującym przesyłanie złośliwych plików PHP do katalogu głównego WWW. Problem został naprawiony w wersjach 16.0.72 i 17.0.7.
- CVE-2026-54675Wysokie
FreePBX przed wersjami 16.0.10 i 17.0.5 zawiera krytyczną podatność w funkcji przesyłania i konwersji plików dźwiękowych, która pozwala uwierzytelnionemu atakującemu na zapis dowolnych plików, prowadzący do zdalnego wykonania kodu (RCE). Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Problem wynika z niedostatecznej sanityzacji ścieżek w procesie konwersji plików, umożliwiając ataki typu path traversal i umieszczenie złośliwych plików PHP w katalogu głównym serwera WWW.
- CVE-2026-54674Wysokie
FreePBX przed wersjami 16.0.39 i 17.0.7 pozwala użytkownikom uwierzytelnionym przez Panel Kontroli Użytkownika (UCP) na wykonywanie dowolnych poleceń na PBX jako użytkownik serwera WWW (zazwyczaj asterisk) przy użyciu specjalnie spreparowanych ciągów HTTP. Wymagany jest dostęp do UCP. Problem wynika z niedostatecznej sanityzacji niektórych parametrów URL używanych przez UCP, co pozwala na wykonanie binariów na serwerze poprzez staranne łączenie poleceń.
- CVE-2026-45562Wysokie
FreePBX przed wersjami 16.0.4 i 17.0.6 zawiera krytyczną wadę w module Music on Hold (MoH), która pozwala uwierzytelnionym atakującym na wykonywanie dowolnych poleceń systemowych z uprawnieniami usługi Asterisk. Wymagane jest konto administratora FreePBX. Przyczyną jest przyjmowanie parametru POST definiującego niestandardową aplikację Asterisk, która jest przechowywana w bazie danych bez sanityzacji, a następnie zapisywana bezpośrednio do pliku konfiguracyjnego musiconhold_additional.conf, co pozwala na wstrzyknięcie dowolnych poleceń.
Oryginalny opis (angielski, źródło NVD)
FreePBX is an open-source web-based graphical user interface (GUI) that manages Asterisk. Prior to versions 16.0.45 and 17.0.24 of the FreePBX framework, an authenticated local privilege escalation exists in the deprecated FreePBX startup script `amportal`. In the deprecated `amportal` utility, the lookup for the `freepbx_engine` file occurs in `/etc/asterisk/` directories. Typically, these are configured by FreePBX as writable by the **asterisk** user and any members of the **asterisk** group. This means that a member of the **asterisk** group can add their own `freepbx_engine` file in `/etc/asterisk/` and upon `amportal` executing, it would exec that file with root permissions (even though the file was created and placed by a non-root user). Version 16.0.45 and 17.0.24 contain a fix for the issue. Other mitigation strategies are also available. Confirm only trusted local OS system users are members of the `asterisk` group. Look for suspicious files in the `/etc/asterisk/` directory (via Admin -> Config Edit in the GUI, or via CLI). Double-check that `live_dangerously = no` is set (or unconfigured, as the default is **no**) in `/etc/asterisk/asterisk.conf` file. Eliminate any unsafe custom use of Asterisk dial plan applications and functions that potentially can manipulate the file system, e.g., System(), FILE(), etc.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS