Sangoma FreePBX の認証の不備の脆弱性（CVE-2019-19006）

何が起きた

Sangoma の電話交換システム FreePBX で、本人確認がうまく働かず、許可されていない人がパスワード認証をすり抜けて、FreePBX の管理者向けの機能に入れる可能性がある弱点が見つかりました。NVD の評価では、ログイン不要の攻撃者が離れた場所から、被害者の操作なしに悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FreePBX を使っている組織が対象です。NVD の説明では「115.0.16.26 以下、14.0.13.11 以下、13.0.197.13 以下」とされています。Sangoma の案内では、問題は framework モジュールにあり、FreePBX 13、14、15 のそれぞれで修正版が出ています。

何をすればいい

Sangoma の案内に従い、framework モジュールを、FreePBX 13 は 13.0.197.14 以上、14 は 14.0.13.12 以上、15 は 15.0.16.27 以上に更新してください。管理画面の Admin → Module Admin や、コマンド fwconsole ma list で版を確かめられます。Sangoma は、管理画面に接続できる範囲をできるだけ狭めることも勧めています。また、管理画面をインターネットに公開していた場合は、管理者や利用者のアカウントに不審な追加がないか確かめるよう呼びかけています。

やることチェックリスト

• fwconsole ma list で framework の版を確認する
• FreePBX 15 は framework を 15.0.16.27 以上にする
• アカウントに不審な追加がないか確認する

用語メモ

パスワード認証

パスワードを入力させて、本人かどうかを確かめる仕組みです。

framework モジュール

FreePBX の土台になる部品です。管理画面などの基本の機能を受け持ちます。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。