CVE-2019-19006

Суть уязвимости

Уязвимость CVE-2019-19006 представляет собой критическую ошибку обхода аутентификации (Authentication Bypass) в административном веб-интерфейсе Sangoma FreePBX.

Проблема кроется в недостаточной проверке сессий и параметров авторизации в базовом модуле framework. Из-за этого злоумышленник, не имеющий учетных данных, может отправить специально сформированный запрос и получить полный несанкционированный доступ к панели управления FreePBX с правами администратора.

Последствия эксплуатации крайне серьезны: * Полная компрометация телефонной станции (PBX). * Возможность совершения платных звонков за счет компании (Toll Fraud). * Прослушивание разговоров и перехват голосовой почты. * Использование сервера в качестве точки входа для дальнейших атак на внутреннюю сеть (Pivoting).

Как исправить

Единственным надежным способом устранения данной уязвимости является обновление модуля framework до пропатченной версии, выпущенной разработчиками Sangoma.

Выполните следующие шаги в консоли сервера (по SSH) с правами пользователя root или asterisk:

1. Обновите модуль framework через встроенную утилиту управления FreePBX:

fwconsole ma upgrade framework

1. Примените изменения и перезагрузите конфигурацию:

fwconsole reload

1. (Опционально, но рекомендуется) Обновите все остальные модули системы до актуальных версий, чтобы закрыть другие возможные уязвимости:

fwconsole ma upgradeall
fwconsole reload

Временные меры

Если немедленное обновление системы невозможно по техническим причинам, необходимо срочно ограничить доступ к административному интерфейсу FreePBX. Данные меры не устраняют уязвимость, но делают ее эксплуатацию невозможной для внешних атакующих.

1. Ограничение доступа на уровне сетевого экрана (iptables). Разрешите доступ к веб-интерфейсу (порты 80 и 443) только с доверенных IP-адресов администраторов:

iptables -I INPUT -p tcp --dport 80 -j DROP
iptables -I INPUT -p tcp --dport 80 -s ВАШ_ДОВЕРЕННЫЙ_IP -j ACCEPT
iptables -I INPUT -p tcp --dport 443 -j DROP
iptables -I INPUT -p tcp --dport 443 -s ВАШ_ДОВЕРЕННЫЙ_IP -j ACCEPT

1. Использование VPN. Никогда не выставляйте административный интерфейс FreePBX в публичный интернет. Настройте доступ к панели управления исключительно через корпоративный VPN.

2. Ограничение доступа на уровне веб-сервера (Apache). Если используется Apache, можно ограничить доступ к директории /admin в конфигурационном файле (обычно /etc/httpd/conf.d/freepbx.conf или аналогичном):

<Directory /var/www/html/admin>
    Require ip ВАШ_ДОВЕРЕННЫЙ_IP
</Directory>

После изменения конфигурации Apache необходимо перезапустить службу:

systemctl restart httpd