Sangoma FreePBX のOSコマンドインジェクションの脆弱性（CVE-2025-64328）

何が起きた

Sangoma の電話交換システム FreePBX で、管理画面の filestore モジュールにある接続テストの機能（testconnection の check_ssh_connect()）に、OS コマンドインジェクションの弱点が見つかりました。ログイン済みの利用者がこれを悪用すると、asterisk ユーザーとしてシステムに遠隔から入り込める可能性があります。NVD の評価では、管理者などの高い権限を持つ攻撃者が、離れた場所から悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FreePBX を使っている組織のうち、filestore モジュールが 17.0.2.36 以上 17.0.3 未満のものが対象です。KEV では、この弱点は FreePBX Endpoint Manager の弱点として載っています。

何をすればいい

filestore モジュールを 17.0.3 以降に更新してください。FreePBX の勧告では、管理画面（Administrator Control Panel）に入れる人を認められた利用者だけにすることと、FreePBX Firewall モジュールなどで信頼できないネットワークから管理画面に接続できないようにすることも挙げられています。詳しくは公式の案内を確認してください。

やることチェックリスト

• filestore モジュールを 17.0.3 以降に更新する
• 管理画面に入れる人を認められた利用者に限定する
• Firewall モジュールで管理画面への接続を制限する

用語メモ

OS コマンドインジェクション

外から入力された文字列が、そのままコンピューターへの命令として実行されてしまう弱点です。

モジュール

ソフトウェアに機能を追加するための部品です。FreePBX では機能ごとにモジュールが分かれています。

asterisk ユーザー

FreePBX の電話機能を動かすために使われる、システム上のアカウントです。