El equipo de seguridad de Sangoma FreePBX advierte sobre una vulnerabilidad zero-day de FreePBX que se está explotando activamente y que afecta a los sistemas cuyo panel de control del administrador (ACP) está expuesto a Internet.

FreePBX es una plataforma PBX (centralita privada) de código abierto basada en Asterisk, ampliamente utilizada por empresas, centros de llamadas y proveedores de servicios para gestionar las comunicaciones de voz, las extensiones, los enlaces SIP y el enrutamiento de llamadas.

En un aviso publicado en los foros de FreePBX, el equipo de seguridad de Sangoma FreePBX advirtió que, desde el 21 de agosto, los piratas informáticos han estado explotando una vulnerabilidad de día cero en los paneles de control de administrador de FreePBX expuestos.

"El equipo de seguridad de Sangoma FreePBX es consciente de una posible vulnerabilidad que afecta a algunos sistemas cuyo panel de control del administrador está expuesto a la red pública de Internet, y estamos trabajando en una solución, cuya implementación está prevista en las próximas 36 horas", se lee en la publicación del foro.

"Se recomienda a los usuarios que limiten el acceso al administrador de FreePBX utilizando el módulo Firewall para restringir el acceso únicamente a hosts conocidos y de confianza".

El equipo ha lanzado una corrección del módulo EDGE para realizar pruebas, y está previsto que hoy mismo se publique una versión de seguridad estándar.

"La corrección del módulo EDGE proporcionada debería proteger las futuras instalaciones contra infecciones, pero no es una solución para los sistemas existentes", advirtió Chris Maj, de Sangoma.

"Los sistemas 16 y 17 existentes pueden haberse visto afectados si a) tenían instalado el módulo de punto final y b) su página de inicio de sesión de administrador de FreePBX estaba directamente expuesta a una red hostil, por ejemplo, la Internet pública".

Sin embargo, algunos usuarios han advertido que si ahora tienes un contrato de soporte caducado, es posible que no puedas instalar la actualización EDGE, lo que dejaría tu dispositivo desprotegido.

Si no puedes instalar el módulo EDGE, debes bloquear el acceso a tu ACP hasta que se publique la actualización de seguridad completa esta noche.

Falla explotada activamente para comprometer servidores

Desde que Sangoma publicó el aviso, numerosos clientes de FreePBX se han manifestado afirmando que sus servidores habían sido violados a través de esta vulnerabilidad.

"Informamos que varios servidores de nuestra infraestructura se vieron comprometidos, lo que afectó a aproximadamente 3000 extensiones SIP y 500 troncales", publicó un cliente en los foros.

"Como parte de nuestra respuesta al incidente, hemos bloqueado todo el acceso de administrador y restaurado nuestros sistemas a un estado anterior al ataque. Sin embargo, debemos hacer hincapié en la importancia crítica de determinar el alcance del compromiso".

"Sí, mi PBX personal se vio afectada, al igual que otra que ayudo a gestionar. Básicamente, el exploit permite al atacante ejecutar cualquier comando que el usuario asterisk tenga permiso para ejecutar", publicó otro usuario en Reddit.

Aunque Sangoma no ha compartido ningún detalle sobre la vulnerabilidad explotada, la empresa y sus clientes han compartido indicadores de compromiso que pueden comprobarse para determinar si un servidor ha sido explotado.

Estos IOC incluyen:

• Archivo de configuración /etc/freepbx.conf faltante o modificado.

• Presencia del script de shell /var/www/html/.clean.sh. Se cree que fue subido por los atacantes.

• Entradas sospechosas en el registro de Apache para modular.php.

• Llamadas inusuales a la extensión 9998 en los registros de Asterisk desde el 21 de agosto.

• Entradas no autorizadas en la tabla ampusers de MariaDB/MySQL, buscando específicamente un nombre de usuario sospechoso «ampuser» en la columna del extremo izquierdo.

Si se determina que un servidor está comprometido, Sangoma recomienda restaurar desde copias de seguridad creadas antes del 21 de agosto, implementar los módulos parcheados en sistemas nuevos y rotar todas las credenciales relacionadas con el sistema y SIP.

Los administradores también deben revisar los registros de llamadas y las facturas telefónicas en busca de signos de abuso, especialmente tráfico internacional no autorizado.

Aquellos con interfaces ACP de FreePBX expuestas pueden estar ya comprometidos, y la empresa insta a los administradores a investigar sus instalaciones y asegurar los sistemas hasta que se pueda aplicar una solución.

Fuente: bleepingcomputer