🇰🇷 한글 설명
FreePBX의 api 모듈에서 여러 시스템이 동일한 OAuth 개인 키를 공유하는 취약점이 발견되었습니다. 공격자가 이 공유된 키를 획득하면 JWT 토큰을 위조하여 인증을 우회하고 REST 및 GraphQL API에 대한 전체 권한을 탈취할 수 있습니다.
💡 쉬운 설명
여러 대의 시스템이 똑같은 비밀번호(개인 키)를 사용하고 있어, 하나만 뚫려도 다른 시스템까지 위험해질 수 있는 문제입니다. 해커가 이 키를 이용해 가짜 신분증을 만들어 관리자 권한으로 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
api is a module for FreePBX@, which is an open source GUI that controls and manages Asterisk© (PBX). In versions lower than 15.0.13, 16.0.2 through 16.0.14, 17.0.1 and 17.0.2, there is an identical OAuth private key used across multiple systems that installed the same FreePBX RPM or DEB package. An attacker with access to the shared OAuth private key could forge JWT tokens, bypass authentication, and potentially gain full access to both REST and GraphQL APIs. Systems with the "api" module enabled, configured and previously activated by an administrator for remote inbound connections may be affected. This issue is fixed in versions 15.0.13, 16.0.15 and 17.0.3.
📍 영향받는 시스템
FreePBX api 모듈 버전 15.0.13 미만, 16.0.2~16.0.14, 17.0.1 및 17.0.2
⚔️ 공격 벡터
공유된 OAuth 개인 키를 이용한 JWT 토큰 위조 및 인증 우회 공격
🛡️ 대응 방법
api 모듈을 15.0.13, 16.0.15 또는 17.0.3 이상의 버전으로 업데이트
🔧 검증 코드
출력된 패키지 버전이 취약한 버전 범위에 포함되는지 확인하십시오.
rpm -q freepbx-api 2>/dev/null || dpkg -l | grep freepbx-api