結論
この脆弱性はFreePBXのOAuth2実装における認証バイパスの問題であり、特定のクライアントIDを知っている者が不正にアクセストークンを取得できる可能性があります。影響を受けるユーザーは、バージョン17.0.8以前のFreePBXを使用している場合です。直ちにバージョンを更新することが推奨されます。
この記事の要点
- FreePBXのOAuth2実装に認証バイパスの脆弱性が存在
- バージョン17.0.8以前が影響を受ける
- 正しいclient_secretを提供せずにトークン取得が可能
- 影響を受けるユーザーは直ちにアップデートが必要
脆弱性の概要
FreePBXはオープンソースのIP PBXです。バージョン17.0.8以前では、FreePBXのapiモジュールのOAuth2実装がトークン発行時にクライアント認証情報を十分に検証していません。valid client_idの知識が必要で、ClientRepository.phpのvalidateClient()メソッドは無条件にtrueを返すため、valid client_idを知っている任意の者が正しいclient_secretを提供せずにOAuth2アクセストークンを取得できます。この脆弱性は17.0.8で修正されています。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-44237 |
| 公開日 | 2026-05-29T14:16:27.060000Z |
| 対象システム | FreePBX 17.0.8以前 |
| 脆弱性の種類 | 認証バイパス |
| CVSSスコア | 7.6 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- FreePBXのバージョンを確認し、17.0.8以降にアップデートする。
- アクセストークンの取得に関するログを確認し、不正なアクセスがないか監視する。
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-44237
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-44237
- security-advisories@github.com：https://github.com/FreePBX/security-reporting/security/advisories/GHSA-vgjf-4h63-8vcc
対象システムと影響範囲
FreePBXのバージョン17.0.8以前を使用しているユーザーが影響を受けます。特に、OAuth2を利用している環境での影響が大きいです。
被害内容
悪用された場合、攻撃者は管理者権限を持つアクセストークンを不正に取得し、システムへの不正アクセスや情報漏洩が発生する可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
FreePBXのバージョン17.0.8以降にアップデートすることが推奨されます。ベンダーからのパッチが提供されている場合は、それを適用してください。
FAQ
Q1. どの製品が影響を受けますか？
FreePBXのバージョン17.0.8以前を使用しているシステムが影響を受けます。
Q2. まず何をすればよいですか？
まずはFreePBXのバージョンを確認し、必要に応じてアップデートを行ってください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント