Podatności Frogman

W Frogman przed wersją 1.6.3, użytkownicy z uprawnieniami PERM_READ mogli wywoływać wrażliwe funkcje API, ujawniając tajemnice AMI, PIN-y do połączeń wychodzących, konteksty dialplanu Asterisk, polecenia SSH, ścieżki kopii zapasowych, historię CDR oraz surowe zrzuty AMI z polami SIP (hasła, md5_cred, oauth_secret).

W Frogman przed wersją 1.6.2, funkcja fm_dialplan_apply akceptowała parametry szablonu (greeting, dest, url, extension, code, file) bez odpowiedniego oczyszczania, co pozwalało użytkownikowi z uprawnieniami PERM_WRITE i parametrem confirm:true na wstrzyknięcie dowolnych dyrektyw Asterisk, takich jak System(), Set(SHELL(...)), Goto lub Macro. Luka została naprawiona w wersji 1.6.2.

Frogman przed wersją 1.6.6 ma podatność w formaterze Markdown czatu – wstrzykuje nieprzefiltrowane grupy przechwytywania regex jako surowy HTML. Pola sterowane przez użytkownika (np. nazwy rozszerzeń, opisy IVR) mogą przenosić ładunek JavaScript, który wykona się u administratora przeglądającego odpowiedź.

Podatność w Frogman przed wersją 1.6.2 powoduje wyciek haseł i sekretów w postaci jawnego tekstu. Funkcje fm_reset_password i fm_add_extension zwracają dane uwierzytelniające, które są następnie zapisywane w dzienniku audytu (oc_audit_log.detail) w formacie JSON. Każdy użytkownik z uprawnieniami PERM_READ i dostępem do fm_audit_search może odzyskać te przechowywane dane.

Frogman przed wersją 1.6.2 przechowywał tokeny API jako surowe wartości hex, a uwierzytelnianie nagłówka X-Frogman-Token polegało na porównaniu z przechowywanym surowym ciągiem. Umożliwiało to odczytanie z bazy danych aktywnych tokenów, w tym administracyjnych, i ich ponowne wykorzystanie.