Podatności FreePBX

FreePBX przed wersją 17.0.9 ma podatność w serwerze UCP Node na portach 8001 i 8003, gdzie middleware checkAuth jest stosowane tylko do domyślnej przestrzeni nazw Socket.IO. Nieuwierzytelniony klient może połączyć się z niestandardowymi przestrzeniami nazw i wysyłać spreparowane wartości zdarzeń z CR/LF, co pozwala na wykonanie dowolnych poleceń jako użytkownik usługi asterisk.

FreePBX od wersji 16.0.0 do 16.0.11 i 17.0.4 ma podatność w module missedcall, gdzie nazwa dzwoniącego z nagłówka SIP From jest wstawiana do zapytania SQL bez odpowiedniego escapowania. Nieuwierzytelniony dzwoniący może wstrzyknąć SQL, gdy monitorowane rozszerzenie pozostaje nieodebrane, co pozwala na modyfikację kont administratora i uzyskanie zdalnego dostępu.

Podatność w FreePBX od wersji 15.0.42 do 16.0.45 i 17.0.7 umożliwia nieuwierzytelnionym użytkownikom dostęp do Panelu Kontroli Użytkownika (UCP) przy użyciu domyślnych, zakodowanych na stałe poświadczeń szablonu, jeśli administrator nie zmienił ich natychmiast po włączeniu UCP. Problem został naprawiony w wersjach 16.0.45 i 17.0.7.

Moduł FreePBX tts (Text to Speech) dla FreePBX, open-source'owego webowego GUI zarządzającego Asterisk, w wersjach przed 16.0.5 i 17.0.5 jest podatny na wstrzykiwanie SQL przez uwierzytelnionych użytkowników z dostępem administratora. Uwierzytelnieni użytkownicy z administracyjnym dostępem do Administrator Control Panel (ACP) mogą wykorzystać tę podatność do wyodrębnienia wrażliwych informacji z bazy danych i wykonania kodu na systemie jako użytkownik `asterisk` z łańcuchową eskalacją do uprawnień `root`. Użytkownicy powinni zaktualizować do wersji 16.0.5 lub 17.0.5, aby otrzymać poprawkę.

FreePBX to open source IP PBX. Przed wersją 17.0.9 uwierzytelnieni użytkownicy, którzy mają dostęp do interfejsu modułu GraphQL api, mogą wykonywać dowolne polecenia powłoki. Wymagany jest uwierzytelniony dostęp do modułu api. Generator dokumentacji modułu PBX API przyjmuje uwierzytelniony parametr host i używa go do budowy polecenia powłoki. Ścieżka kodu weryfikuje wygenerowany token OAuth przed wykonaniem, ale nie weryfikuje ani nie escapuje hosta. Kompromitacja skutkuje uwierzytelnionym wykonaniem dowolnych poleceń powłoki jako użytkownik usługi web/PBX (zazwyczaj asterisk). Problem został naprawiony w wersji 17.0.9.

FreePBX to open source IP PBX. Przed wersjami 16.0.40 i 17.0.7 istnieje krytyczna podatność na zdalne wykonanie kodu (RCE) w module superfecta z powodu niebezpiecznego dołączania dowolnych plików PHP, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP na serwerze z uprawnieniami użytkownika serwera WWW. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Podatność jest zakorzeniona w przypadkach options i save_options w module AJAX Superfecta. Kod dynamicznie dołącza pliki PHP z katalogu sources/ na podstawie danych dostarczonych przez użytkownika. Pozwala to atakującemu na wykonanie dowolnego kodu w połączeniu z tworzeniem dowolnych katalogów (np. przez moduł backup) i przesyłaniem plików ujawniających pełne ścieżki (np. przez moduł soundlang). Problem został naprawiony w wersjach 16.0.40 i 17.0.7.

FreePBX to open source IP PBX. Przed wersjami 16.0.72 i 17.0.7 istnieje krytyczna podatność w module kopii zapasowych FreePBX, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu na serwerze. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika, który ma wystarczające uprawnienia dostępu i/lub zapis do plików kopii zapasowych. Podatność jest spowodowana nieprawidłowym oczyszczaniem ścieżek w funkcji przywracania kopii zapasowych, co umożliwia atakującym przesyłanie złośliwych plików PHP do katalogu głównego WWW. Problem został naprawiony w wersjach 16.0.72 i 17.0.7.

FreePBX przed wersjami 16.0.10 i 17.0.5 zawiera krytyczną podatność w funkcji przesyłania i konwersji plików dźwiękowych, która pozwala uwierzytelnionemu atakującemu na zapis dowolnych plików, prowadzący do zdalnego wykonania kodu (RCE). Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Problem wynika z niedostatecznej sanityzacji ścieżek w procesie konwersji plików, umożliwiając ataki typu path traversal i umieszczenie złośliwych plików PHP w katalogu głównym serwera WWW.

FreePBX przed wersjami 16.0.39 i 17.0.7 pozwala użytkownikom uwierzytelnionym przez Panel Kontroli Użytkownika (UCP) na wykonywanie dowolnych poleceń na PBX jako użytkownik serwera WWW (zazwyczaj asterisk) przy użyciu specjalnie spreparowanych ciągów HTTP. Wymagany jest dostęp do UCP. Problem wynika z niedostatecznej sanityzacji niektórych parametrów URL używanych przez UCP, co pozwala na wykonanie binariów na serwerze poprzez staranne łączenie poleceń.

FreePBX przed wersjami 16.0.4 i 17.0.6 zawiera krytyczną wadę w module Music on Hold (MoH), która pozwala uwierzytelnionym atakującym na wykonywanie dowolnych poleceń systemowych z uprawnieniami usługi Asterisk. Wymagane jest konto administratora FreePBX. Przyczyną jest przyjmowanie parametru POST definiującego niestandardową aplikację Asterisk, która jest przechowywana w bazie danych bez sanityzacji, a następnie zapisywana bezpośrednio do pliku konfiguracyjnego musiconhold_additional.conf, co pozwala na wstrzyknięcie dowolnych poleceń.

FreePBX od wersji 17.0.5.34 do 17.0.11 ma podatność w punkcie końcowym AJAX publicKeySave w Backup.class.php, który akceptuje klucz SSH administratora i dodaje go do authorized_keys bez wiarygodnego egzekwowania ograniczeń. Klucz daje trwały dostęp do powłoki z możliwością wykonywania dowolnych komend, dostępu do danych FreePBX i połączeń, modyfikacji plików systemowych i zakłócania usług.

FreePBX od wersji 17.0.1 do 17.0.7 ma podatność w module Music on Hold, która pozwala na niebezpieczne opcje wiersza poleceń dla /usr/bin/mpg123 i innych dozwolonych odtwarzaczy. Administrator może użyć opcji zapisujących pliki, otwierających kanały kontrolne lub tworzących pliki połączeń Asterisk, co prowadzi do wykonania dowolnych komend jako użytkownik asterisk.

FreePBX przed wersjami 16.0.47 i 17.0.30 ma podatność w module Framework, która pozwala na przywrócenie ukrytego ustawienia AUTHTYPE z wartością none przez spreparowaną kopię zapasową. Uwierzytelniony użytkownik z uprawnieniami do przywracania kopii zapasowych może wyłączyć uwierzytelnianie FreePBX podczas przywracania, omijając usuwanie AUTHTYPE=none w interfejsie.

FreePBX przed wersjami 16.0.6 i 17.0.5.4 ma podatność w module Text-To-Speech, która pozwala administratorowi zapisać nazwę miejsca docelowego TTS, która jest kodowana HTML, dekodowana podczas generowania dialplanu, przekazywana jako argument AGI i używana do budowy nazw plików w agi-bin/propolys-tts.agi. Nazwa docelowa trafia do surowego wykonania poleceń powłoki, umożliwiając wykonanie dowolnych komend systemowych jako użytkownik asterisk.

W FreePBX przed wersjami 16.0.22 i 17.0.5, moduł Dashboard w handlerze AJAX getcontent dołącza pliki PHP na podstawie danych wejściowych użytkownika bez sanityzacji ścieżki. Parametr $_REQUEST['rawname'] jest konkatenowany w wywołaniu include() z sufiksem .class.php, co umożliwia trawersację ścieżki za pomocą sekwencji ../ w celu dołączenia dowolnych plików .class.php z systemu plików. Kod PHP dołączonego pliku wykonuje się przed wystąpieniem błędu instancjonowania klasy.

Moduł CDR Reports w FreePBX przed wersjami 16.0.50 i 17.0.11 zawiera podatność na wstrzykiwanie SQL przez parametry POST 'order' i 'sort'. Atak wymaga uwierzytelnienia na koncie z dostępem do sekcji CDR, ale nie wymaga pełnych uprawnień administratora.

W FreePBX przed wersją 17.0.8, implementacja OAuth2 w module API nie weryfikuje poprawnie poświadczeń klienta podczas wydawania tokenów. Metoda validateClient() w pliku ClientRepository.php zawsze zwraca true, co pozwala osobie znającej ważny client_id na uzyskanie tokenów OAuth2 bez podawania poprawnego client_secret.

W FreePBX przed wersjami 16.0.71 i 17.0.6 moduł kopii zapasowych nieprawidłowo sanityzuje dane podczas przywracania, co pozwala na zdalne wykonanie kodu (RCE) poprzez przywrócenie spreparowanej kopii zapasowej zawierającej złośliwe dane. Atak wymaga uwierzytelnienia z odpowiednimi uprawnieniami. Problem został naprawiony w wersjach 16.0.71 i 17.0.6.

Moduł API FreePBX w wersji 17.0.8 i wcześniejszych zawiera podatność na wstrzykiwanie poleceń w funkcji initiateGqlAPIProcess(). Pola wejściowe mutacji GraphQL są przekazywane bezpośrednio do funkcji shell_exec() bez sanityzacji, co pozwala uwierzytelnionemu użytkownikowi z ważnym tokenem na wykonanie dowolnych poleceń na serwerze.

FreePBX to open-source'owy webowy interfejs graficzny zarządzający Asterisk. Przed wersjami 16.0.45 i 17.0.24 frameworku FreePBX istnieje lokalna eskalacja uprawnień w przestarzałym skrypcie startowym `amportal`. W przestarzałym narzędziu `amportal` wyszukiwanie pliku `freepbx_engine` odbywa się w katalogach `/etc/asterisk/`. Zazwyczaj są one skonfigurowane przez FreePBX jako zapisywalne przez użytkownika **asterisk** i członków grupy **asterisk**. Oznacza to, że członek grupy **asterisk** może dodać własny plik `freepbx_engine` w `/etc/asterisk/` i po uruchomieniu `amportal` wykona ten plik z uprawnieniami roota (mimo że plik został utworzony przez nie-roota). Wersje 16.0.45 i 17.0.24 zawierają poprawkę. Dostępne są również inne strategie łagodzenia. Potwierdź, że tylko zaufani lokalni użytkownicy systemu są członkami grupy `asterisk`. Szukaj podejrzanych plików w katalogu `/etc/asterisk/` (przez Admin -> Config Edit w GUI lub przez CLI). Sprawdź, czy `live_dangerously = no` jest ustawione (lub nieskonfigurowane, ponieważ domyślnie jest **no**) w pliku `/etc/asterisk/asterisk.conf`. Wyeliminuj wszelkie niebezpieczne niestandardowe użycie aplikacji i funkcji dial planu Asterisk, które mogą manipulować systemem plików, np. System(), FILE(), itp.

FreePBX 16 zawiera podatność zdalnego wykonania kodu w module API, która pozwala atakującym z ważnymi poświadczeniami sesji na wykonanie dowolnych poleceń. Atakujący mogą wykorzystać endpoint 'generatedocs', wysyłając złośliwe żądania POST z wstrzyknięciem poleceń bash w celu uzyskania zdalnego dostępu do powłoki.

FreePBX, otwarte oprogramowanie GUI do zarządzania Asterisk, ma podatność na odbity atak XSS na stronie statusu HTTP Asterisk. Podatność dotyczy wersji przed 16.0.68.39 (FreePBX 16) i przed 17.0.18.38 (FreePBX 17). Strona statusu jest domyślnie dostępna na porcie 8088 na wszystkich adresach IP w wersji 16, a w wersji 17 tylko na localhost. Nieuwierzytelniony atakujący może wykorzystać podatność do kradzieży ciasteczek zalogowanych użytkowników, co pozwala na przejęcie sesji administratora i pełną kontrolę nad interfejsem FreePBX.

W systemie FreePBX firmy Sangoma Technologies przed wersjami cdr 15.0.18, 16.0.40, 15.0.16 i 16.0.17 odkryto problem z kontrolą dostępu. Luka umożliwia zmianę wartości parametru, np. z extension=self na extension=101, co może prowadzić do nieautoryzowanego dostępu.