CVE-2025-67722 in FreePBX
Sumário
de VulDB • 20/06/2026
O FreePBX é uma interface gráfica de usuário (GUI) baseada na web e de código aberto que gerencia o Asterisk. Antes das versões 16.0.45 e 17.0.24 do framework FreePBX, existe uma escalada de privilégio local autenticada no script de inicialização obsoleto do FreePBX `amportal`. No utilitário obsoleto `amportal`, a busca pelo arquivo `freepbx_engine` ocorre nos diretórios `/etc/asterisk/`. Tipicamente, esses diretórios são configurados pelo FreePBX como graváveis pelo usuário **asterisk** e por qualquer membro do grupo **asterisk**. Isso significa que um membro do grupo **asterisk** pode adicionar seu próprio arquivo `freepbx_engine` em `/etc/asterisk/` e, ao executar o `amportal`, esse arquivo seria executado com permissões de root (mesmo que o arquivo tenha sido criado e colocado por um usuário sem privilégios de root). As versões 16.0.45 e 17.0.24 contêm uma correção para o problema. Outras estratégias de mitigação também estão disponíveis. Confirme que apenas usuários locais confiáveis do sistema operacional são membros do grupo `asterisk`. Procure por arquivos suspeitos no diretório `/etc/asterisk/` (via Admin -> Config Edit na GUI, ou via CLI). Verifique novamente se `live_dangerously = no` está definido (ou não configurado, já que o padrão é **no**) no arquivo `/etc/asterisk/asterisk.conf`. Elimine qualquer uso inseguro personalizado de aplicativos e funções do plano de discagem do Asterisk que potencialmente possam manipular o sistema de arquivos, por exemplo, System(), FILE(), etc.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.