CVE-2025-66039

FreePBX Endpoint Manager — pominięcie uwierzytelnienia (Auth Bypass)

CVSS 9.3v4.0pub. 2025-12-09upd. 2026-02-02

Moduł Endpoint Manager w systemie FreePBX zawiera krytyczną podatność pozwalającą na pominięcie uwierzytelnienia, gdy typ uwierzytelnienia ustawiony jest na "webserver". Atakujący bez żadnych ważnych poświadczeń może uzyskać dostęp do sesji dowolnego użytkownika, co stanowi poważne zagrożenie dla bezpieczeństwa systemów telefonicznych.

▸ Pokaż oryginał (EN)

FreePBX Endpoint Manager is a module for managing telephony endpoints in FreePBX systems. Versions are vulnerable to authentication bypass when the authentication type is set to "webserver." When providing an Authorization header with an arbitrary value, a session is associated with the target user regardless of valid credentials. This issue is fixed in versions 16.0.44 and 17.0.23.

🤖 Analiza AI

Jak działa

Gdy FreePBX Endpoint Manager skonfigurowany jest z typem uwierzytelnienia "webserver", mechanizm weryfikacji tożsamości nie sprawdza poprawności przesyłanych poświadczeń. Wystarczy, że atakujący dołączy do żądania HTTP nagłówek Authorization z dowolną, arbitralną wartością — system błędnie skojarzy sesję z docelowym użytkownikiem, omijając całkowicie proces weryfikacji hasła. Jest to klasyczna podatność typu CWE-287 (nieprawidłowe uwierzytelnienie), wynikająca z braku faktycznej walidacji wartości nagłówka autoryzacyjnego.

Skutki

Atakujący zdalny, nieuwierzytelniony może uzyskać nieautoryzowany dostęp do konta dowolnego użytkownika systemu FreePBX, przejmując kontrolę nad zarządzaniem urządzeniami telefonicznymi (endpoints). Skutkuje to potencjalnym pełnym przejęciem konfiguracji systemu telefonicznego, kradzieżą danych oraz możliwością dalszych działań w infrastrukturze.

Mitygacja

Należy zaktualizować moduł FreePBX Endpoint Manager do wersji 16.0.44 lub nowszej (gałąź 16.x) albo 17.0.23 lub nowszej (gałąź 17.x). Jako doraźne obejście można rozważyć zmianę typu uwierzytelnienia z "webserver" na inny dostępny tryb oraz ograniczenie dostępu sieciowego do panelu zarządzania FreePBX.

Kogo dotyczy

FreePBX Endpoint Manager — wersje podatne to te poprzedzające 16.0.44 (gałąź 16.x) oraz 17.0.23 (gałąź 17.x), gdy typ uwierzytelnienia skonfigurowany jest jako "webserver"

Uwagi

Podatność zgłoszona i naprawiona w ramach oficjalnego programu raportowania bezpieczeństwa FreePBX (GitHub Security Advisory GHSA-9jvh-mv6x-w698). Fix dostępny w commicie 04224253156543cd9932b90458660b2f19fc0e35 w repozytorium FreePBX/framework.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X