Picus Security découvre des vulnérabilités critiques dans FreePBX

Picus Security a découvert de multiples vulnérabilités critiques au sein de la plateforme FreePBX, un outil de gestion open source largement utilisé pour les systèmes IP PBX. Les failles identifiées, désignées CVE-2025-66039, CVE-2025-61675 et CVE-2025-61678, représentent collectivement un risque important, permettant potentiellement aux attaquants d'obtenir un contrôle à distance complet des systèmes affectés.

FreePBX constitue un composant central pour les infrastructures de téléphonie sur IP de nombreuses entreprises. Sa nature, nécessitant une haute disponibilité et un accès ouvert, en fait une cible de choix pour les acteurs malveillants. L'analyse de Picus Security a révélé une vulnérabilité de contournement d'authentification (CVE-2025-66039), plusieurs failles d'injection SQL authentifiées (CVE-2025-61675), et une vulnérabilité d'upload de fichier arbitraire authentifiée menant à l'exécution de code à distance (RCE) (CVE-2025-61678).

Le contournement d'authentification (CVE-2025-66039) est un élément essentiel, permettant aux attaquants de contourner les mécanismes de connexion sans informations d'identification valides. Une fois contournée, cette vulnérabilité peut être combinée à d'autres, telles que des exploits d'injection SQL ou d'upload de fichiers, pour parvenir à une prise de contrôle complète du système.

Les vulnérabilités d'injection SQL affectent le module de gestion des terminaux (Endpoint Management), permettant aux attaquants de manipuler la base de données du système. La faille d'upload de fichier arbitraire permet l'insertion de fichiers malveillants, tels que des web shells, sur le serveur FreePBX, autorisant l'exécution de code arbitraire et la compromission subséquente du système.

Picus Security recommande aux utilisateurs de FreePBX d'appliquer immédiatement les mises à jour nécessaires et de réviser leurs configurations de sécurité pour atténuer ces risques et protéger leur infrastructure de communication.