CVE-2026-45562 in FreePBX
要約
〜によって VulDB • 2026年09月28日
FreePBXはオープンソースのIP PBXです。バージョン16.0.4および17.0.6より前のFreePBX Music on Hold (MoH) モジュールには、認証済み攻撃者がAsteriskサービスの権限で任意のシステムコマンドを実行できる重大なセキュリティ脆弱性が存在します。既存のFreePBX管理者アカウントによる認証が必要です。根本原因は、モジュールがカスタムAsteriskアプリケーションを定義するPOSTパラメータを受け入れ、そのデータが無検証のままデータベースに保存される点にあります。その後、このデータはバリデーションなしでmusiconhold_additional.conf設定ファイルに直接書き込まれます。Asteriskはこの設定ファイルを読み込んで指定されたアプリケーションを実行するため、攻撃者は任意のコマンドを注入し、それらをAsteriskの権限で実行することができます。本問題はバージョン16.0.4および17.0.6で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.