Picus Security deckt kritische Schwachstellen in FreePBX auf

Picus Security hat mehrere kritische Schwachstellen in der FreePBX-Plattform entdeckt, einem weit verbreiteten Open-Source-Tool zur Verwaltung von IP-PBX-Systemen. Die identifizierten Fehler, gekennzeichnet als CVE-2025-66039, CVE-2025-61675 und CVE-2025-61678, stellen ein erhebliches Risiko dar und könnten Angreifern die vollständige Fernkontrolle über betroffene Systeme ermöglichen.

FreePBX ist eine zentrale Komponente in den Voice-over-IP-Infrastrukturen vieler Unternehmen. Seine Natur, die hohe Verfügbarkeit und offenen Zugang erfordert, macht es zu einem attraktiven Ziel für Bedrohungsakteure. Die Analyse von Picus Security legte eine Schwachstelle zur Umgehung der Authentifizierung (CVE-2025-66039), mehrere authentifizierte SQL-Injection-Fehler (CVE-2025-61675) und eine authentifizierte Schwachstelle für das Hochladen beliebiger Dateien mit Remote Code Execution (RCE) (CVE-2025-61678) offen.

Die Umgehung der Authentifizierung (CVE-2025-66039) ist ein entscheidendes Element, das es Angreifern ermöglicht, Anmeldeverfahren ohne gültige Anmeldeinformationen zu umgehen. Nach der Umgehung kann diese Schwachstelle mit anderen kombiniert werden, wie z.B. SQL-Injection- oder Datei-Upload-Exploits, um eine vollständige Übernahme des Systems zu erreichen.

Die SQL-Injection-Schwachstellen betreffen das Endpoint Management-Modul und ermöglichen es Angreifern, die Datenbank des Systems zu manipulieren. Der Fehler beim Hochladen beliebiger Dateien erlaubt das Einfügen schädlicher Dateien, wie z.B. Web-Shells, auf dem FreePBX-Server, was die Ausführung von beliebigem Code und die anschließende Kompromittierung des Systems ermöglicht.

Picus Security rät FreePBX-Benutzern, umgehend die notwendigen Updates einzuspielen und ihre Sicherheitseinstellungen zu überprüfen, um diese Risiken zu mindern und ihre Kommunikationsinfrastruktur zu schützen.