Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2025-64328

FreePBX Yönetim Arayüzünde Kimlik Doğrulamalı Komut Enjeksiyonu Açığı

FreePBX filestore

Yüksek 8,6 CVSS 4.0
Yayımlandı
Güncellendi
14 Şub 2026
Açık yaşı
355 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Şub 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Şub 2026.

ÖzetTürkçe

FreePBX Endpoint Manager, FreePBX sistemlerinde telefoni uç noktalarını yönetmek için kullanılan bir modüldür. 17.0.2.36 ve üzeri, 17.0.3 öncesi sürümlerinde, Yönetim arayüzü içindeki filestore modülü, testconnection -> check_ssh_connect fonksiyonu üzerinden, kimlik doğrulaması yapılmış bilinen bir kullanıcı tarafından kimlik doğrulaması sonrası komut enjeksiyonuna karşı savunmasızdır. Bir saldırgan bu açığı kullanarak sisteme asterisk kullanıcısı olarak uzaktan erişim elde edebilir. Sorun 17.0.3 sürümünde giderilmiştir.

Kaynaktaki açıklama (İngilizce)

FreePBX Endpoint Manager is a module for managing telephony endpoints in FreePBX systems. In versions 17.0.2.36 and above before 17.0.3, the filestore module within the Administrative interface is vulnerable to a post-authentication command injection by an authenticated known user via the testconnection -> check_ssh_connect() function. An attacker can leverage this vulnerability to obtain remote access to the system as an asterisk user. This issue is fixed in version 17.0.3.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
FreePBX filestore Sürüm belirtilmemiş –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.