CVE-2021-45461

Podatność dotyczy konkretnych wersji modułu restapps zainstalowanego w systemie FreePBX. Atakujący zdalnie, bez konieczności posiadania jakichkolwiek poświadczeń ani interakcji użytkownika, może wysłać spreparowane żądanie sieciowe prowadzące do wykonania arbitralnego kodu na serwerze. Szczegółowy mechanizm techniczny nie został ujawniony w dostępnym opisie, jednak waga luki (CVSS 9.8) oraz wektor sieciowy bez wymagań uwierzytelnienia czynią ją wyjątkowo niebezpieczną.

Atakujący może przejąć pełną kontrolę nad serwerem — uzyskać dostęp do poufnych danych, modyfikować konfigurację systemu telefonicznego oraz potencjalnie wykorzystać skompromitowany serwer jako punkt wejścia do dalszych działań w sieci wewnętrznej.

Należy niezwłocznie zaktualizować moduł restapps do wersji 15.0.20 (dla gałęzi 15.x) lub 16.0.19 (dla gałęzi 16.x). Jeśli natychmiastowa aktualizacja nie jest możliwa, zaleca się tymczasowe wyłączenie lub odinstalowanie modułu Rest Phone Apps oraz ograniczenie dostępu sieciowego do interfejsu administracyjnego FreePBX.

FreePBX z zainstalowanym modułem restapps (Rest Phone Apps) w wersjach: 15.0.19.87, 15.0.19.88, 16.0.18.40 oraz 16.0.18.41.

Mimo że pole CISA KEV wskazuje NIE, opis CVE jawnie stwierdza, że podatność była aktywnie eksploitowana w środowiskach produkcyjnych w grudniu 2021 roku ('as exploited in the wild in December 2021'). Data publikacji biuletynu bezpieczeństwa przez producenta to 2021-12-21.