CVE-2025-67722 in FreePBX
Zusammenfassung
von VulDB • 24.06.2026
FreePBX ist eine Open-Source-basierte grafische Benutzeroberfläche (GUI), die zur Verwaltung von Asterisk dient. Vor den Versionen 16.0.45 und 17.0.24 des FreePBX-Frameworks besteht in dem veralteten Startskript `amportal` von FreePBX eine lokale Rechteausweitung für authentifizierte Benutzer. In der veralteten Dienstprogramms `amportal` erfolgt die Suche nach der Datei `freepbx_engine` in Verzeichnissen unter `/etc/asterisk/`. Diese sind typischerweise so konfiguriert, dass sie vom Benutzer **asterisk** und allen Mitgliedern der Gruppe **asterisk** beschreibbar sind. Dies bedeutet, dass ein Mitglied der Gruppe **asterisk** seine eigene Datei `freepbx_engine` in `/etc/asterisk/` hinzufügen kann; wenn `amportal` ausgeführt wird, führt es diese Datei mit Root-Berechtigungen aus (obwohl die Datei von einem Nicht-Root-Benutzer erstellt und platziert wurde). Die Versionen 16.0.45 und 17.0.24 enthalten eine Korrektur für dieses Problem. Weitere Minderungsstrategien sind ebenfalls verfügbar. Stellen Sie sicher, dass nur vertrauenswürdige lokale Betriebssystembenutzer Mitglieder der Gruppe `asterisk` sind. Suchen Sie nach verdächtigen Dateien im Verzeichnis `/etc/asterisk/` (über Admin -> Config Edit in der GUI oder über die CLI). Überprüfen Sie erneut, ob `live_dangerously = no` festgelegt ist (oder nicht konfiguriert, da der Standardwert **no** lautet) in der Datei `/etc/asterisk/asterisk.conf`. Beseitigen Sie jegliche unsichere benutzerdefinierte Verwendung von Asterisk-Dialplan-Anwendungen und -Funktionen, die potenziell das Dateisystem manipulieren können, z. B. System(), FILE() usw.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.