Picus Security paljasti kriittisiä haavoittuvuuksia FreePBX-järjestelmissä

Picus Security on havainnut useita kriittisiä tietoturvahaavoittuvuuksia FreePBX-ohjelmistossa, jota käytetään laajasti avoimen lähdekoodin IP-PBX-järjestelmien hallintaan yrityksissä maailmanlaajuisesti. Tunnistetut haavoittuvuudet, merkittyinä CVE-2025-66039, CVE-2025-61675 ja CVE-2025-61678, voivat yhdistettynä mahdollistaa hyökkääjille järjestelmän täydellisen hallinnan.

FreePBX on keskeinen osa monia yritysten puhelinjärjestelmiä, jotka usein vaativat korkeaa saatavuutta ja avointa verkkoyhteyttä. Tämä tekee siitä houkuttelevan kohteen hyökkääjille. Picus Securityn tutkimuksessa paljastui todentamisen ohitus haavoittuvuus (CVE-2025-66039), useita todennettuja SQL-injektiohaavoittuvuuksia (CVE-2025-61675) ja todennettu mielivaltainen tiedostonlataus haavoittuvuus, joka johtaa etäkoodin suorittamiseen (CVE-2025-61678).

Todentamisen ohitus (CVE-2025-66039) on erityisen merkittävä, sillä se mahdollistaa hyökkääjien pääsyn järjestelmään ilman oikean käyttäjätunnuksen tai salasanan tuntemista. Kun tämä haavoittuvuus on hyödynnetty, hyökkääjät voivat yhdistää sen muihin haavoittuvuuksiin, kuten SQL-injektioihin tai tiedostonlatauksiin, johtaen lopulta järjestelmän täydelliseen etähallintaan.

SQL-injektiohaavoittuvuudet koskevat Endpoint Management -moduulia, antaen hyökkääjille mahdollisuuden lukea tai kirjoittaa tietoja järjestelmän tietokantaan. Mielivaltainen tiedostonlataus mahdollistaa haitallisten tiedostojen, kuten webshellien, lataamisen FreePBX-palvelimelle, minkä kautta hyökkääjä voi suorittaa mielivaltaista koodia ja ottaa järjestelmän haltuunsa.

Picus Security suosittelee vahvasti FreePBX-käyttäjiä päivittämään järjestelmänsä välittömästi ja tarkistamaan verkkoyhteyksiensä turvallisuuden tunnistaakseen mahdolliset haavoittuvuudet ja torjuakseen hyökkäysyrityksiä.