CVE-2025-67722 in FreePBX
요약
\~에 의해 VulDB • 2026. 06. 24.
FreePBX는 Asterisk을 관리하는 오픈소스 기반 웹 그래픽 사용자 인터페이스(GUI)입니다. FreePBX 프레임워크의 16.0.45 및 17.0.24 이전 버전에서는 비활성화된(FreePBX startup script `amportal`에서 인증된 로컬 권한 상승 취약점이 존재합니다. 비활성화된 `amportal` 유틸리티는 `/etc/asterisk/` 디렉토리 내에서 `freepbx_engine` 파일의 조회를 수행합니다. 일반적으로 이러한 디렉토리는 FreePBX에 의해 **asterisk** 사용자와 **asterisk** 그룹 구성원 모두에게 쓰기 가능하도록 구성되어 있습니다. 이는 **asterisk** 그룹 구성원이 `/etc/asterisk/` 내에 자체적으로 `freepbx_engine` 파일을 추가할 수 있으며, `amportal`이 실행될 때 해당 파일이 루트 권한으로 실행됨을 의미합니다(해당 파일은 비루트 사용자에 의해 생성 및 배치되었음에도 불구하고). 버전 16.0.45 및 17.0.24에는 이 문제에 대한 수정 사항이 포함되어 있습니다. 다른 완화 전략도 제공됩니다. 신뢰할 수 있는 로컬 OS 시스템 사용자만 `asterisk` 그룹의 구성원인지 확인하십시오. `/etc/asterisk/` 디렉토리에서 의심스러운 파일이 있는지 확인하십시오(GUI의 Admin -> Config Edit 또는 CLI를 통해). `/etc/asterisk/asterisk.conf` 파일에 `live_dangerously = no`(또는 기본값인 **no**로 설정되지 않은 경우 미설정)가 설정되어 있는지 다시 한번 확인하십시오. 시스템 파일 시스템을 조작할 수 있는 Asterisk 다이얼 플랜 애플리케이션 및 함수(System(), FILE() 등)의 안전하지 않은 사용자 정의 사용을 제거하십시오.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.