Xorcom CompletePBX <= 5.2.35 認証済みパス・トラバーサルとファイル削除

このパス・トラバーサル脆弱性は、攻撃者がCompletePBXサーバ上の機密ファイルにアクセスすることを可能にします。例えば、設定ファイル、データベースダンプ、ログファイルなどが標的となる可能性があります。攻撃者は、これらのファイルからパスワード、APIキー、その他の機密情報を取得し、システムへのさらなるアクセスを試みたり、データ漏洩を引き起こしたりする可能性があります。また、ファイルの削除機能が悪用されると、システムの可用性が損なわれる可能性があります。この脆弱性は、類似のファイルアクセス脆弱性と同様に、攻撃者による情報窃取やシステム破壊につながる重大なリスクをもたらします。

Organizations utilizing CompletePBX for VoIP services, particularly those running older versions (0–5.2.35), are at risk. Shared hosting environments where multiple CompletePBX instances reside on the same server are especially vulnerable, as a compromise of one instance could potentially lead to the compromise of others. Systems with publicly accessible CompletePBX instances are also at higher risk.

• linux / server:

journalctl -u completepbx | grep -i "path traversal"

• generic web:

curl -I 'http://<completepbx_ip>/diagnostics/../../../../etc/passwd' # Check for file disclosure

1. 2025-03-31Disclosure

   disclosure

1. 予約済み2025-03-13
2. 公開日2025-03-31
3. 更新日2025-12-27
4. EPSS 更新日2026-03-23

この脆弱性への対応として、まずCompletePBXをバージョン5.2.36にアップデートすることを推奨します。アップデートが利用できない場合、一時的な緩和策として、Diagnosticsレポートモジュールのアクセスを制限するファイアウォールルールを実装することを検討してください。また、Webアプリケーションファイアウォール（WAF）を使用して、パス・トラバーサル攻撃を検知し、ブロックすることも有効です。さらに、CompletePBXサーバのログを定期的に監視し、不審なアクティビティがないか確認することが重要です。アップデート後、Diagnosticsレポートモジュールの動作を検証し、意図しないファイルアクセスや削除が発生しないことを確認してください。