Descripción
Sangoma FreePBX Endpoint Manager contiene una vulnerabilidad de inyección de comandos del sistema operativo que podría permitir una inyección de comandos posterior a la autenticación por parte de un usuario conocido autenticado a través de la función testconnection -> check_ssh_connect(). Un atacante puede aprovechar esta vulnerabilidad para potencialmente obtener acceso remoto al sistema como usuario asterisk.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de github.com github.com/FreePBX/security-reporting/security/advisories/GHSA-vm9p-4…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-64328
Ver el texto original en inglés (CISA)
Sangoma FreePBX OS Command Injection Vulnerability
Sangoma FreePBX Endpoint Manager contains an OS command injection vulnerability that could allow for a post-authentication command injection by an authenticated known user via the testconnection -> check_ssh_connect() function. An attacker can leverage this vulnerability to potentially obtain remote access to the system as an asterisk user.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://github.com/FreePBX/security-reporting/security/advisories/GHSA-vm9p-46mv-5xvw ; https://nvd.nist.gov/vuln/detail/CVE-2025-64328
Otras vulnerabilidades de Sangoma en el catálogo
- CVE-2026-9586 Vulnerabilidad de inyección SQL en Sangoma Switchvox Alta 02-09-2026
- CVE-2019-19006 Vulnerabilidad de autenticación incorrecta en Sangoma FreePBX Alta 03-02-2026
- CVE-2025-57819 Vulnerabilidad de omisión de autenticación en Sangoma FreePBX Alta 29-08-2025