关键漏洞信息 漏洞概述 类型: 反射型跨站脚本（Reflected Cross-site Scripting） 位置: Asterisk HTTP Status 页面 CVE ID: CVE-2025-59429 CVSS 评分: 7.5 (高) 影响版本 受影响版本: - FreePBX 16: < 16.0.68.39 - FreePBX 17: < 17.0.18.38 修复版本: - FreePBX 16: 16.0.68.39 - FreePBX 17: 17.0.18.38 描述 Asterisk HTTP 状态页面在 FreePBX 中暴露，并默认在 v16 版本中通过任何绑定的 IP 地址在端口 8088 上可用。此漏洞可被未认证的攻击者利用，窃取登录用户的 cookie，从而劫持管理员会话。 影响 攻击者可通过窃取管理员会话 cookie 控制 FreePBX 管理界面，访问敏感数据、修改系统配置、创建后门账户和导致服务中断。 妥协指标 (IoC) 如果您的 v16 系统在公共 IP 上暴露了 8088 端口并在此期间登录了管理控制面板 (ACP)，则可能面临风险。建议彻底审查系统访问日志，特别是 Web 服务器访问日志。 缓解措施 1. 锁定 HTTP 状态页面到 localhost - 导航至“高级设置” - 将“HTTP 绑定地址”更改为“127.0.0.1” - 提交更改并应用配置 - 重启 Asterisk 进程 2. 完成操作后立即注销 - 注销 ACP 以使会话失效，防止后续使用被盗 cookie 登录。 3. 防止恶意访问 - 不允许未知 IP 访问系统，考虑使用 VPN、防火墙或其他类似解决方案阻止潜在入侵者。