CVE:CVE-2023-26567
CNNVD:CNNVD-202304-2124
FreePBX（前称Asterisk Management Portal）是FreePBX项目的一套通过GUI（基于网页的图形化接口）配置Asterisk（IP电话系统）的工具。
FreePBX存在安全漏洞，该漏洞源于从官方 ISO 镜像安装期间，在 Asterisk 全局变量列表中添加 AMPDBUSER、AMPDBPASS、AMPMGRUSER、AMPMGRPASS 变量，这些变量会公开 Asterisk 数据库的明文身份验证凭据（MariaDB/ MySQL) 和 Asterisk Manager接口，攻击者利用该漏洞可以通过连接到端口 8088/tcp (HTTP/WS) 或 8089/tcp (HTTPS/WSS)，使用 ARI 服务进行身份验证并向特定 API 端点发出请求。以下产品和版本受到影响：Sangoma FreePBX Linux (ISO images SNG7-PBX16-64bit) 2105,2109,2112,2201,2202,2203版本；Sangoma FreePBX Linux (ISO images SNG7-(F)PBX-64bit) 1805,1904,1910,2002,2008,2011,2104,2203,2302版本。
solution:Upgrade sangoma freepbx_linux_7 to a higher version than 1805,1904,1910,2002,2008,2011,2104,2105,2109,2112,2201,2202,2203,2302,and avoid the version 1805,1904,1910,2002,2008,2011,2104,2105,2109,2112,2201,2202,2203,2302