CVE-2025-64328
Sangoma FreePBX OS Command Injection Vulnerability
Beschreibung
CVE-2025-64328 ist eine OS-Command-Injection-Schwachstelle im FreePBX Endpoint Manager (Filestore-Modul), die einem authentifizierten Administrator die Ausfuehrung beliebiger Befehle auf dem Server ermoeglicht. Die Schwachstelle befindet sich in der check_ssh_connect()-Funktion, die ueber die testconnection-Funktion des Filestore-Moduls erreichbar ist. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 7.2 (HIGH).
Die CISA hat CVE-2025-64328 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 17.45 % (94.9. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Betroffen sind Filestore-Versionen ab 17.0.2.36 bis vor 17.0.3.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sangoma | filestore | >= 17.0.2.36, < 17.0.3 |
Referenzen
- https://github.com/FreePBX/filestore/blob/f0e3983059271efd80b483ec823310ef19a59013/drivers/SSH/testconnection.php#L2(Product)
- https://github.com/FreePBX/security-reporting/security/advisories/GHSA-vm9p-46mv-5xvw(Vendor Advisory, Mitigation)
- https://www.freepbx.org/watch-what-we-do-with-security-fixes-%f0%9f%91%80(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-64328(Third Party Advisory, US Government Resource)
- https://www.fortinet.com/blog/threat-research/unveiling-the-weaponized-web-shell-encystphp(Exploit, Third Party Advisory)
Schwachstellentyp
CWE-78: OS Command Injection
CVE-2025-64328 basiert auf CWE-78 (OS Command Injection), einer der gefaehrlichsten Schwachstellenklassen, bei der Benutzereingaben ohne ausreichende Bereinigung an Betriebssystembefehle uebergeben werden. Im Kontext von FreePBX ermoeglicht die Schwachstelle einem authentifizierten Administrator, ueber die check_ssh_connect()-Funktion des Filestore-Moduls beliebige Systembefehle einzuschleusen.
Die check_ssh_connect()-Funktion ueberprueft SSH-Verbindungen zu konfigurierten Speicherzielen. Dabei werden vom Benutzer kontrollierte Parameter (wie Hostname oder Verbindungsdetails) ohne ausreichende Validierung in Shell-Befehle eingebettet. Da FreePBX typischerweise mit Root-Rechten oder als Asterisk-Benutzer mit erweiterten Privilegien laeuft, fuehrt die erfolgreiche Ausnutzung zu vollstaendiger Systemkompromittierung. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-64328 betreffen alle drei Sicherheitsdimensionen mit hoher Schwere, wobei die Einschraenkung auf authentifizierte Administratoren (PR:H) den CVSS-Score auf 7.2 begrenzt. Vertraulichkeit: Ein Angreifer mit Administrator-Zugang kann ueber die Command Injection auf alle Daten des FreePBX-Servers zugreifen, einschliesslich Anrufprotokolle, Voicemail-Aufnahmen, SIP-Zugangsdaten und Konfigurationsdateien. In VoIP-Umgebungen enthalten diese Daten haeufig vertrauliche Geschaeftskommunikation (C:H).
Integritaet: Die Faehigkeit zur Ausfuehrung beliebiger Befehle ermoeglicht die Manipulation der Telefonanlage, das Umleiten von Anrufen, die Installation von Backdoors und die Veraenderung von Anrufprotokollen. Web Shells koennen fuer persistenten Zugang installiert werden (I:H). Verfuegbarkeit: Der Angreifer kann die Telefonanlage deaktivieren, Konfigurationen zerstoeren oder den Server fuer DDoS-Angriffe missbrauchen. Der Ausfall einer Telefonanlage hat direkte geschaeftliche Auswirkungen (A:H). Der EPSS-Score von 17.45 % und die Aufnahme in den KEV-Katalog bestaetigen, dass trotz der Anforderung hoher Privilegien (PR:H) aktive Ausnutzung stattfindet, beispielsweise durch kompromittierte Administrator-Zugaenge oder Insider-Bedrohungen.
Exploit-Reifegrad
CVE-2025-64328 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 17.45 % (94.9. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
FreePBX hat ein Security Advisory (GHSA-vm9p-46mv-5xvw) veroeffentlicht, das Exploit-Details und den betroffenen Code dokumentiert. Der verwundbare Code ist oeffentlich auf GitHub einsehbar. Fortinet hat in einem Blog-Beitrag die Ausnutzung im Zusammenhang mit weaponisierten Web Shells (encyst.php) dokumentiert. Die Kombination aus oeffentlich verfuegbarem Code, dokumentierten Exploits und nachgewiesener Web-Shell-Nutzung zeigt die fortgeschrittene Ausnutzung dieser Schwachstelle.
Behebung
-
FreePBX Filestore-Modul auf Version 17.0.3 aktualisieren: Installieren Sie das Sicherheitsupdate ueber den FreePBX Module Admin. Die verwundbare Version 17.0.2.36 und hoeher muss auf 17.0.3 oder neuer aktualisiert werden. Konsultieren Sie die FreePBX Security-Seite fuer Update-Details.
-
Administrator-Zugangsdaten ueberpruefen und rotieren: Da die Schwachstelle authentifizierten Zugang erfordert (PR:H), ueberpruefen Sie alle Administrator-Konten auf verdaechtige Aktivitaeten. Aendern Sie alle Administrator-Passwoerter und implementieren Sie starke Passwort-Richtlinien mit Multi-Faktor-Authentifizierung.
-
Web-Shell-Scan durchfuehren: Angesichts der dokumentierten Nutzung von Web Shells (encyst.php) im Zusammenhang mit dieser Schwachstelle, fuehren Sie einen umfassenden Scan des FreePBX-Servers auf bekannte und unbekannte Web Shells durch. Pruefen Sie insbesondere die Web-Root-Verzeichnisse auf verdaechtige PHP-Dateien.
-
Netzwerkzugriff auf FreePBX-Administration einschraenken: Beschraenken Sie den Zugriff auf das FreePBX-Webinterface auf autorisierte Administrator-IP-Adressen. Platzieren Sie den FreePBX-Server in einem separaten Netzwerksegment und implementieren Sie restriktive Firewall-Regeln.
-
Anrufprotokolle und SIP-Zugangsdaten ueberpruefen: Pruefen Sie, ob ungewoehnliche Anrufmuster, neue SIP-Extensions oder verdaechtige Konfigurationsaenderungen vorliegen, die auf eine Kompromittierung hindeuten koennten.
Technische Details
CVE-2025-64328 betrifft das FreePBX Filestore-Modul (Endpoint Manager) in den Versionen ab 17.0.2.36 bis vor 17.0.3. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H beschreibt einen Netzwerkangriff (AV:N) mit geringer Komplexitaet (AC:L), der hohe Privilegien (PR:H) erfordert, aber keine Benutzerinteraktion (UI:N).
Die Schwachstelle befindet sich in der Datei testconnection.php im SSH-Driver des Filestore-Moduls. Die Funktion check_ssh_connect() wird aufgerufen, wenn ein Administrator eine SSH-Verbindung zu einem konfigurierten Speicherziel testet. Die Benutzereingaben fuer die SSH-Verbindungsparameter werden ohne ausreichende Bereinigung in einen Shell-Befehl eingebettet, was die Einschleusung zusaetzlicher Betriebssystembefehle ermoeglicht.
Der Angriff erfordert einen authentifizierten Administrator-Zugang (PR:H) zum FreePBX-Webinterface. Ueber die Filestore-Konfiguration kann der Angreifer die SSH-Verbindungsparameter mit eingeschleusten Shell-Befehlen manipulieren und anschliessend die Test-Verbindungsfunktion ausloesen. Da FreePBX typischerweise unter dem Asterisk-Benutzer oder mit Root-Rechten laeuft, werden die eingeschleusten Befehle mit entsprechend hohen Privilegien ausgefuehrt. Fortinet hat dokumentiert, dass Angreifer diese Schwachstelle nutzen, um die Web Shell encyst.php zu installieren, die persistenten Remote-Zugriff ermoeglicht.
Häufig gestellte Fragen
Kann CVE-2025-64328 ohne Administrator-Zugang ausgenutzt werden?
Nein, die Schwachstelle erfordert hohe Privilegien (PR:H), was einem authentifizierten Administrator-Zugang zum FreePBX-Webinterface entspricht. Allerdings koennen Administrator-Zugangsdaten durch Phishing, schwache Passwoerter oder andere Schwachstellen kompromittiert werden, was die Anforderung in der Praxis relativiert.
Was ist die Web Shell encyst.php?
Fortinet hat dokumentiert, dass Angreifer im Zusammenhang mit dieser Schwachstelle die Web Shell encyst.php auf kompromittierten FreePBX-Servern installieren. Eine Web Shell ermoeglicht persistenten Remote-Zugriff auf den Server ueber einen Webbrowser, auch nach einem Neustart oder Passwort-Wechsel.
Welche FreePBX-Versionen sind betroffen?
Betroffen ist das Filestore-Modul in Versionen ab 17.0.2.36 bis vor 17.0.3. Ein Update auf Version 17.0.3 oder hoeher behebt die Schwachstelle. Das Update kann ueber den FreePBX Module Admin installiert werden.
Warum hat die Schwachstelle trotz der Anforderung hoher Privilegien einen hohen EPSS-Score?
Der EPSS-Score von 17.45 % reflektiert die tatsaechliche Ausnutzungshaeufigkeit. Trotz der PR:H-Anforderung wird die Schwachstelle aktiv ausgenutzt, da viele FreePBX-Installationen schwache oder Standard-Zugangsdaten verwenden. Zudem ermoeglichen kompromittierte Zugaenge aus anderen Quellen die Ausnutzung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.