فري بي بي إكس تعالج ثغرات حرجة تمكّن من تنفيذ أكواد عن بعد

كشفت شركة Horizon3.ai عن عدد من نقاط الضعف الأمنية الخطيرة في منصة FreePBX مفتوحة المصدر، والتي تُستخدم على نطاق واسع في إدارة أنظمة الاتصالات، بما في ذلك ثغرة “منفذ خلفي” حرجة قد تسمح بتجاوز المصادقة في إعدادات معينة.

تم اكتشاف هذه الثغرات وتقديمها إلى مطوري FreePBX في 15 سبتمبر 2025، وقد أثارت قلقاً بشأن أمن استمرارية الأعمال الحالية.

ثغرات FreePBX الأمنية تهدد أنظمة الاتصالات

ثغرات حقن SQL وتجاوز المصادقة

تتضمن أبرز هذه الثغرات، والتي تم تصنيف اثنتين منها بعلامة CVSS 8.6، وجود ثغرات متعددة لحقن SQL (CVE-2025-61675). تسمح هذه الثغرات، التي تتطلب صلاحية وصول محدودة، للقائمين بالهجوم بقراءة وكتابة البيانات في قاعدة SQL الأساسية.

من جهة أخرى، توجد ثغرة أخرى (CVE-2025-61678) تسمح برفع ملفات بشكل عشوائي، مما قد يمكّن المهاجم من تنفيذ أوامر عن بعد وتسريب معلومات حساسة مثل محتويات ملفات النظام.

ثغرة تجاوز المصادقة الحرجة

تُعد الثغرة الأمنية الحرجة (CVE-2025-66039)، التي نالت تقييم CVSS 9.3، الأكثر إثارة للقلق. تسمح هذه الثغرة بتجاوز آلية المصادقة بالكامل عندما يتم تعيين “نوع المصادقة” (Authorization Type) إلى “webserver”.

ووفقاً لتقرير Horizon3.ai، فإن هذه الثغرة لا تتأثر بها الإعدادات الافتراضية لـ FreePBX، حيث يظهر خيار “نوع المصادقة” فقط عند تفعيل إعدادات معينة في “الإعدادات المتقدمة”. ومع ذلك، فإن تفعيل هذا الخيار يفتح الباب للقائمين بالهجوم لتجاوز تسجيل الدخول وإدخال مستخدمين خبيثين في قاعدة بيانات “ampusers”.

تأثير الثغرات على أمن FreePBX

“هذه الثغرات قابلة للاستغلال بسهولة وتمكّن المهاجمين عن بعد، سواء كانوا مصادقين أو غير مصادقين، من تحقيق تنفيذ تعليمات برمجية عن بعد على منصات FreePBX المعرضة للخطر”، بحسب الباحث الأمني في Horizon3.ai، نواح كينغ.

تم إصدار التحديثات اللازمة لمعالجة هذه الثغرات في إصدارات FreePBX 16.0.92 و 17.0.6 (لثغرات حقن SQL ورفع الملفات) وإصدارات 16.0.44 و 17.0.23 (لثغرة تجاوز المصادقة).

الإجراءات الوقائية والتوصيات

إضافة إلى ذلك، تمت إزالة خيار “نوع المصادقة” من الإعدادات المتقدمة ويتطلب الآن التعديل يدوياً عبر سطر الأوامر. كإجراءات تخفيف مؤقتة، أوصت FreePBX بضبط “نوع المصادقة” على “usermanager” وتعيين “Override Readonly Settings” إلى “No”.

يُنصح المستخدمون بتجنب استخدام نوع المصادقة “webserver” نظراً لأنه قد يوفر مستوى أمان أقل مقارنة بـ “usermanager”. كما شدد التقرير على أهمية تحليل الأنظمة التي تم تمكين “webserver” فيها بحثاً عن أي علامات اختراق محتملة.