Уязвимость BDU:2022-04551
Идентификатор: BDU:2022-04551.
Наименование уязвимости: Уязвимость модуля Rest Phone Apps веб-интерфейса управления системами IP-телефонии FreePBX, позволяющая нарушителю выполнить произвольный код.
Описание уязвимости: Уязвимость модуля Rest Phone Apps веб-интерфейса управления системами IP-телефонии FreePBX связана с возможностью внедрения кода в переменную URL-адреса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Уязвимое ПО: Прикладное ПО информационных систем Sangoma Technologies Inc. FreePBX до 15.0.20 | Прикладное ПО информационных систем Sangoma Technologies Inc. FreePBX до 16.0.19 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 22.12.2021.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— отключение уязвимого функционала через консоль управления:
fwconsole ma delete restapps
fwconsole reload;
— использование межсетевого экрана уровня веб-приложений;
— применение систем обнаружения и предотвращения вторжений.
Использование рекомендаций:
https://wiki.freepbx.org/display/FOP/2021-12-21+SECURITY%3A+Potential+Rest+Phone+Apps+RCE.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2021-45461.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://community.freepbx.org/t/0-day-freepbx-exploit/80092
https://community.freepbx.org/t/security-issue-potential-rest-phone-apps-rce/80109
https://wiki.freepbx.org/display/FOP/2021-12-21+SECURITY%3A+Potential+Rest+Phone+Apps+RCE
https://nvd.nist.gov/vuln/detail/CVE-2021-45461
