CVE-2025-67722 in FreePBX
الملخص
بحسب VulDB • 24/06/2026
FreePBX هو واجهة رسومية (GUI) مفتوحة المصدر تعمل عبر الويب وتدير نظام Asterisk. قبل إصداري 16.0.45 و 17.0.24 من إطار عمل FreePBX، يوجد ثغرة تسمح بترقية الصلاحيات محلياً بعد المصادقة في سكريبت بدء التشغيل `amportal` القديم (deprecated). في الأداة القديمة `amportal`، يتم البحث عن ملف `freepbx_engine` داخل مجلد `/etc/asterisk/`. عادةً ما تكون هذه المجلدات مُهيأة من قبل FreePBX لتكون قابلة للكتابة بواسطة المستخدم **asterisk** وأي عضو ضمن مجموعة **asterisk**. وهذا يعني أن عضواً في مجموعة **asterisk** يمكنه إضافة ملف `freepbx_engine` خاص به إلى `/etc/asterisk/، وعند تنفيذ الأمر `amportal`، سيتم تشغيل هذا الملف بصلاحيات الجذر (root) (رغم أنه تم إنشاؤه ووضعه بواسطة مستخدم غير root). يحتوي الإصداران 16.0.45 و 17.0.24 على إصلاح لهذه المشكلة. تتوفر أيضاً استراتيجيات تخفيف أخرى: تأكد من أن المستخدمين المحليين الموثوق بهم فقط هم أعضاء في مجموعة `asterisk`. ابحث عن الملفات المشبوهة في دليل `/etc/asterisk/` (عبر Admin -> Config Edit في الواجهة الرسومية، أو عبر سطر الأوامر CLI). تحقق مرة أخرى من ضبط القيمة `live_dangerously = no` (أو تركها غير مُهيأة، حيث أن الإعداد الافتراضي هو **no**) في ملف `/etc/asterisk/asterisk.conf`. استبعد أي استخدام غير آمن ومخصص لتطبيقات وخوارزميات خطة الاتصال (dial plan) الخاصة بـ Asterisk التي قد تتيح إمكانية التلاعب بنظام الملفات، مثل System() و FILE() وغيرها.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.