CVE-2025-67722 in FreePBX
Riassunto
di VulDB • 24/06/2026
FreePBX è un'interfaccia grafica (GUI) web-based open-source che gestisce Asterisk. Prima delle versioni 16.0.45 e 17.0.24 del framework FreePBX, era presente una escalation di privilegi locale autenticata nello script di avvio obsoleto `amportal` di FreePBX. Nell'utilità deprecata `amportal`, la ricerca del file `freepbx_engine` avviene nelle directory `/etc/asterisk/`. Tipicamente, queste sono configurate da FreePBX come scrivibili dall'utente **asterisk** e dai membri del gruppo **asterisk**. Ciò significa che un membro del gruppo **asterisk** può aggiungere il proprio file `freepbx_engine` in `/etc/asterisk/` e, all'esecuzione di `amportal`, tale file verrebbe eseguito con privilegi di root (anche se il file è stato creato e posizionato da un utente non root). Le versioni 16.0.45 e 17.0.24 contengono una correzione per questo problema. Sono inoltre disponibili altre strategie di mitigazione. Confermare che solo gli utenti locali attendibili del sistema operativo siano membri del gruppo `asterisk`. Cercare file sospetti nella directory `/etc/asterisk/` (tramite Admin -> Config Edit nell'interfaccia GUI, o tramite CLI). Verificare nuovamente che l'impostazione `live_dangerously = no` sia configurata (o non impostata, poiché il valore predefinito è **no**) nel file `/etc/asterisk/asterisk.conf`. Eliminare qualsiasi utilizzo insicuro personalizzato delle applicazioni e funzioni del piano di chiamata Asterisk che potenzialmente possono manipolare il filesystem, ad esempio System(), FILE(), ecc.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.