Nuove vulnerabilità scoperte in FreePBX: aggiornamenti urgenti necessari

[cybersecurity@poliverso.org]

Nuove vulnerabilità scoperte in FreePBX: aggiornamenti urgenti necessari

Diverse vulnerabilità di sicurezza sono state individuate nella piattaforma open source per centralini telefonici privati (PBX) FreePBX, tra cui un difetto critico che, in determinate configurazioni, potrebbe consentire l’aggiramento dell’autenticazione.

Le carenze scoperte da Horizon3.ai e segnalate ai responsabili del progetto il 15 settembre 2025 possono essere sintetizzate in:

• CVE-2025-61675 (punteggio CVSS: 8,6) – Numerose vulnerabilità di iniezione SQL autenticate che hanno un impatto su quattro endpoint univoci (stazione base, modello, firmware ed estensione personalizzata) e 11 parametri interessati che consentono l’accesso in lettura e scrittura al database SQL sottostante;
• CVE-2025-61678 (punteggio CVSS: 8,6) – Una vulnerabilità di caricamento di file arbitrari autenticati che consente a un aggressore di sfruttare l’endpoint di caricamento del firmware per caricare una web shell PHP dopo aver ottenuto un PHPSESSID valido ed eseguire comandi arbitrari per divulgare il contenuto di file sensibili;
• CVE-2025-66039 (punteggio CVSS: 9,3) – Una vulnerabilità di bypass dell’autenticazione che si verifica quando il “Tipo di autorizzazione” (noto anche come AUTHTYPE) è impostato su “webserver“, consentendo a un aggressore di accedere al Pannello di controllo dell’amministratore tramite un’intestazione di autorizzazione contraffatta

Nella configurazione predefinita di FreePBX, è fondamentale sottolineare che il bypass dell’autenticazione non presenta vulnerabilità, in quanto l’opzione concernente il “Tipo di autorizzazione” è visibile solo quando tre specifici valori, riportati nei Dettagli delle impostazioni avanzate, sono impostati su “Sì”.

• Visualizza nome descrittivo
• Visualizza impostazioni di sola lettura
• Sostituisci impostazioni di sola lettura

“Queste vulnerabilità sono facilmente sfruttabili e consentono ad aggressori remoti autenticati/non autenticati di eseguire codice remoto su istanze vulnerabili di FreePBX”, ha affermato Noah King, ricercatore di sicurezza di Horizon3.ai, in un rapporto pubblicato la scorsa settimana.

I problemi sono stati affrontati nelle seguenti versioni:

• CVE-2025-61675 e CVE-2025-61678 – 16.0.92 e 17.0.6 (corretti il 14 ottobre 2025)
• CVE-2025-66039 – 16.0.44 e 17.0.23 (corretto il 9 dicembre 2025)

Inoltre, l’opzione per scegliere un provider di autenticazione è stata rimossa dalle Impostazioni avanzate e richiede agli utenti di impostarla manualmente tramite la riga di comando utilizzando fwconsole.

Come mitigazione temporanea, FreePBX ha raccomandato agli utenti di impostare “Tipo di autorizzazione” su “usermanager”, “Ignora impostazioni di sola lettura” su “No”, applicare la nuova configurazione e riavviare il sistema per disconnettere eventuali sessioni non autorizzate.

“Se scopri che l’AUTHTYPE del server web è stato abilitato inavvertitamente, allora dovresti analizzare attentamente il tuo sistema per individuare eventuali segnali di compromissione”, ha affermato.

Agli utenti viene inoltre visualizzato un avviso sulla dashboard, in cui si afferma che “webserver” potrebbe offrire una sicurezza ridotta rispetto a “usermanager“. Per una protezione ottimale, si consiglia di evitare di utilizzare questo tipo di autenticazione.

L'articolo Nuove vulnerabilità scoperte in FreePBX: aggiornamenti urgenti necessari proviene da Red Hot Cyber.