Błąd Change ARI Username Password FreePBX Asterisk

Andrzej Majewski Written in FreePBX, Bezpieczeństwo, Linux

Linux devotee and Bournemouth-based IT expert, obsessed with homelabbing, server performance, and elegant Python code.

Spis treści

Toggle

Na początku 2023 roku wzrosła liczba ataków na systemy FreePBX Asterisk. Luką którą wykorzystują włamywacze jest interfejs ARI. Aby uzyskać dostęp do interfejsu ARI, należy znać nazwę użytkownika ARI i jego hasło, ale również dane logowania do interfejsu administracyjnego FreePBX. Dlatego tak ważne stosowanie jest trudnych do złamania haseł. W nowej wersji FreePBX pokazuje nam się błąd: Change ARI Username Password

Użytkownik ARI i jego hasło tworzony jest podczas instalacji FreePBX. Nazwa użytkownika składa się z około 15 losowych znaków, a hasło z około 30 losowych znaków. Twórcy systemu FreePBX odkryli, że z jakiegoś powodu na niektórych systemach nazwa użytkownika i hasło nie są unikatowe.

Nie wygląda to na błąd samego Asterisk, czy FreePBX, więc ich wersje nie mają tutaj znaczenia. Jeśli nastąpił wyciek danych ARI, włamywacz może uzyskać dostęp do naszego systemu FreePBX niezależnie od jego wersji.

Jak pozbyć się błędu Change ARI Username Password

Aby załatać dziurę bezpieczeństwa, musimy utworzyć nowego użytkownika ARI i utworzyć dla niego nowe hasło. Aby utworzyć nowego użytkownika ARI, zaloguj się do swojego systemu FreePBX i wpisz komendę:

				
					fwconsole setting FPBX_ARI_USER LOSOWE_ZNAKI
				

W miejsce LOSOWE_ZNAKI wpisz 15 losowych alfanumerycznych znaków. Następnie utwórz nowe hasło komendą:

				
					fwconsole setting FPBX_ARI_PASSWORD LOSOWE_HASLO
				

W miejsce LOSOWE_HASLO wpisz 30 losowych alfanumerycznych znaków. Następnie musimy przeładować ustawienia komendą:

				
					fwconsole reload
				

Na koniec wystarczy zrestartować FreePBX komendą:

				
					fwconsole restart
				

Po restarcie komunikat o błędzie Change ARI Username Password powinien zniknąć.

Podsumowanie

FreePBX to niezwykle bezpieczny system. Jednak nawet najbezpieczniejszy system przy stosowaniu łatwych do złamania haseł i nieodpowiedniej konfiguracji będzie podatny na włamania. 

Andrzej Majewski

Moja fascynacja technologią zaczęła się podczas studiów informatycznych na Uniwersytecie Zielonogórskim. Od czasu przeprowadzki do Wielkiej Brytanii w 2015 roku i osiedlenia się na stałe w Bournemouth, przekułem tę pasję w karierę zawodową poświęconą infrastrukturze o wysokiej wydajności.W głębi duszy jestem entuzjastą Linuxa – to zaangażowanie wykracza poza moją pracę zawodową w SolutionsInc i obejmuje również mój rozbudowany, prywatny homelab. Niezależnie od tego, czy zarządzam złożonymi architekturami serwerowymi przez ISPConfig, buduję systemy VoIP w ramach Phones Rescue, czy tworzę narzędzia do automatyzacji w Pythonie, najlepiej czuję się, podejmując wyzwania związane z projektowaniem wydajnych rozwiązań open-source