CVE-2019-19006
Sangoma FreePBX Improper Authentication Vulnerability
Beschreibung
CVE-2019-19006 ist eine kritische Schwachstelle in Sangoma FreePBX, die auf einer fehlerhaften Zugriffskontrolle basiert und einem nicht authentifizierten Angreifer den vollstaendigen Administratorzugriff auf die Telefonanlage ermoeglicht. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 9.8 (CRITICAL) und betrifft FreePBX Versionen 13.0.197.13 und aelter, 14.0.13.11 und aelter sowie 15.0.16.26 und aelter.
Die CISA hat CVE-2019-19006 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 26.86 % (96.3. Perzentil) zeigt massive aktive Ausnutzung einer Schwachstelle, die bereits seit 2019 bekannt ist. Die fehlende Authentifizierung in Kombination mit vollstaendigem Administratorzugriff macht diese Schwachstelle besonders gefaehrlich.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sangoma | freepbx | >= 13.0.0.0, <= 13.0.197.13; >= 14.0.0.0, <= 14.0.13.11; >= 15.0.0.0, <= 15.0.16.26 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://community.freepbx.org/t/freepbx-security-vulnerability-sec-2019-001/62772(Vendor Advisory)
- https://pastebin.com/2CdsQMKW(Broken Link)
- https://wiki.freepbx.org/display/FOP/2019-11-20+Remote+Admin+Authentication+Bypass(Vendor Advisory)
- https://www.freepbx.org/category/blog/(Product)
- https://research.checkpoint.com/2020/inj3ctor3-operation-leveraging-asterisk-servers-for-monetization/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-19006(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
CVE-2019-19006 basiert auf CWE-287 (Improper Authentication), einer fundamentalen Schwachstellenklasse, bei der die Authentifizierungsmechanismen einer Anwendung fehlerhaft implementiert sind. In diesem Fall ermoeglicht ein Fehler in der Zugriffskontrolle von FreePBX den vollstaendigen Umgehung der Administrator-Authentifizierung.
Die fehlerhafte Authentifizierung erlaubt es einem nicht autorisierten Angreifer, ohne gueltige Zugangsdaten auf die FreePBX-Administrationsoberflaeche zuzugreifen und alle Verwaltungsfunktionen zu nutzen. Dies umfasst die Konfiguration von SIP-Trunks, Extensions, Routing-Regeln und Systemeinstellungen. CWE-287 ist eine der haeufigsten und kritischsten Schwachstellenklassen und wird regelmaessig in den CWE Top 25 gefuehrt. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2019-19006 sind durch den vollstaendigen Authentifizierungs-Bypass kritisch. Vertraulichkeit: Ein Angreifer erhaelt ohne Zugangsdaten vollstaendigen Zugriff auf die FreePBX-Administration und damit auf Anrufprotokolle, Voicemail-Nachrichten, SIP-Zugangsdaten, Netzwerkkonfigurationen und alle gespeicherten Daten der Telefonanlage. In Unternehmensumgebungen enthaelt dies haeufig vertrauliche Geschaeftskommunikation (C:H).
Integritaet: Mit Administrator-Rechten kann der Angreifer die gesamte Telefonanlage umkonfigurieren, Anrufe umleiten, neue Extensions anlegen, SIP-Trunks manipulieren und Backdoors in der Konfiguration verstecken. Die Installation von Malware oder Web Shells auf dem Server wird trivial (I:H). Verfuegbarkeit: Der Angreifer kann die Telefonanlage deaktivieren, Konfigurationen loeschen oder den Server fuer Toll Fraud (Gebuehrenbetrug durch internationale Anrufe) missbrauchen. Der vollstaendige Ausfall der Telefonkommunikation hat direkte und oft erhebliche geschaeftliche Auswirkungen (A:H). Der extrem hohe EPSS-Score von 26.86 % bestaetigt, dass trotz des Alters der Schwachstelle (2019) weiterhin massive Ausnutzung stattfindet.
Exploit-Reifegrad
CVE-2019-19006 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 26.86 % (96.3. Perzentil) zeigt trotz des Alters der Schwachstelle (2019) weiterhin massive aktive Ausnutzung.
FreePBX hat das Problem in einem Community Advisory (SEC-2019-001) dokumentiert. Das offizielle Wiki-Advisory beschreibt den Authentication Bypass im Detail. Die anhaltend hohe Ausnutzung einer sieben Jahre alten Schwachstelle zeigt, dass viele FreePBX-Installationen nicht aktualisiert werden und fuer Angreifer leicht auffindbare Ziele darstellen. Die Schwachstelle erfordert keinerlei Authentifizierung und ist trivial auszunutzen, was sie zu einem bevorzugten Werkzeug fuer automatisierte Angriffe macht.
Behebung
-
FreePBX umgehend aktualisieren: Aktualisieren Sie auf eine gepatchte Version: FreePBX 13.0.197.14+, 14.0.13.12+ oder 15.0.16.27+, idealerweise auf die neueste verfuegbare Hauptversion. Konsultieren Sie das FreePBX Wiki Advisory fuer spezifische Update-Anweisungen.
-
Netzwerkzugriff auf die FreePBX-Administration sofort einschraenken: Bis zum Abschluss des Updates sollte der Zugriff auf das FreePBX-Webinterface durch Firewall-Regeln auf autorisierte IP-Adressen beschraenkt werden. Das Webinterface darf unter keinen Umstaenden oeffentlich erreichbar sein.
-
Forensische Untersuchung durchfuehren: Angesichts der seit 2019 bekannten Schwachstelle und des extrem hohen EPSS-Scores ist eine Kompromittierung wahrscheinlich, wenn die Installation ueber einen laengeren Zeitraum exponiert war. Pruefen Sie auf unbekannte Administrator-Konten, verdaechtige SIP-Extensions, ungewoehnliche ausgehende Anrufe und installierte Web Shells.
-
Toll-Fraud-Pruefung durchfuehren: Ueberpruefen Sie die Anrufprotokolle auf Anzeichen von Gebuehrenbetrug. Angreifer nutzen kompromittierte Telefonanlagen haeufig, um kostenpflichtige internationale oder Premium-Rate-Nummern anzurufen. Kontaktieren Sie bei Verdacht Ihren SIP-Provider.
-
Alle Zugangsdaten rotieren: Aendern Sie saemtliche SIP-Zugangsdaten, Administrator-Passwoerter, AMI-Credentials und API-Keys. Implementieren Sie starke Passwoerter und, wo moeglich, Multi-Faktor-Authentifizierung.
Technische Details
CVE-2019-19006 betrifft Sangoma FreePBX in den Versionen 13.0.0.0 bis 13.0.197.13, 14.0.0.0 bis 14.0.13.11 und 15.0.0.0 bis 15.0.16.26. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den hoechstmoeglichen Angriffsvektor: Netzwerkzugriff (AV:N), geringe Komplexitaet (AC:L), keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N).
Die Schwachstelle wird als Incorrect Access Control bzw. Remote Admin Authentication Bypass klassifiziert. Ein Fehler in der Authentifizierungslogik von FreePBX ermoeglicht es einem Angreifer, die Administrator-Anmeldung vollstaendig zu umgehen und ohne gueltige Zugangsdaten auf die Verwaltungsoberflaeche zuzugreifen. Dies entspricht einem vollstaendigen Authentifizierungs-Bypass, der dem Angreifer alle Rechte eines legitimen Administrators gewaehrt.
Mit Administrator-Zugriff erhaelt der Angreifer die vollstaendige Kontrolle ueber die Telefonanlage. In FreePBX umfasst dies die Verwaltung von SIP-Trunks, Extensions, IVR-Menuees, Routing-Regeln, Voicemail und Systemeinstellungen. Darueber hinaus bieten viele FreePBX-Installationen ueber die Administration auch Zugang zu System-Level-Funktionen wie File Editor oder Custom Destinations, die fuer weitere Angriffe genutzt werden koennen. Betroffene Versionen erstrecken sich ueber drei Hauptversionen (13, 14, 15), was die breite Angriffsflaeche unterstreicht.
Häufig gestellte Fragen
Warum wird eine Schwachstelle aus 2019 erst jetzt in den KEV-Katalog aufgenommen?
Die CISA nimmt Schwachstellen basierend auf nachgewiesener aktiver Ausnutzung in den KEV-Katalog auf. Die Aufnahme von CVE-2019-19006 im Jahr 2026 zeigt, dass trotz des Alters der Schwachstelle weiterhin ungepatchte FreePBX-Installationen aktiv angegriffen werden. Der EPSS-Score von 26.86 % bestaetigt die anhaltend hohe Ausnutzung.
Was kann ein Angreifer nach dem Authentication Bypass tun?
Mit vollstaendigem Administrator-Zugriff kann der Angreifer die gesamte Telefonanlage kontrollieren: Anrufe umleiten oder abhoeren, neue SIP-Konten erstellen, Voicemails abrufen, internationale Anrufe auf Kosten des Opfers taetigen (Toll Fraud) und die Anlage als Plattform fuer weitere Angriffe nutzen.
Wie erkenne ich, ob meine FreePBX-Installation kompromittiert wurde?
Pruefen Sie auf unbekannte Administrator-Konten, neue oder verdaechtige SIP-Extensions, ungewoehnliche ausgehende Anrufe (insbesondere zu internationalen oder Premium-Rate-Nummern), verdaechtige Dateien in den Web-Verzeichnissen und Aenderungen an der Systemkonfiguration, die nicht von autorisiertem Personal vorgenommen wurden.
Welche FreePBX-Versionen sind betroffen?
Betroffen sind FreePBX Versionen 13.0.0.0 bis 13.0.197.13, 14.0.0.0 bis 14.0.13.11 und 15.0.0.0 bis 15.0.16.26. Alle Installationen auf diesen Versionen sollten umgehend aktualisiert werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.