🛡️ CVE-2025-57819 – FreePBX Unauthentifizierte SQL-Injection zu RCE (PoC)

Dieses Repository enthält zwei Python-Proof-of-Concept-Skripte (PoC), die sich gegen CVE-2025-57819 richten, eine kritische unauthentifizierte SQL-Injection-Schwachstelle in FreePBX.

🧠 Über die Schwachstelle (CVE-2025-57819)

CVE-2025-57819 betrifft mehrere Versionen von FreePBX und ermöglicht unauthentifizierten Remote-Angreifern, beliebige SQL-Abfragen über einen verwundbaren Parameter in admin/ajax.php auszuführen.

Der Fehler existiert aufgrund unzureichender Eingabebereinigung im Endpunkt module=FreePBX\modules\endpoint\ajax, was direkte SQL-Injection in Backend-Abfragen ermöglicht.

📊 CVE-Details

• CVE-ID: CVE-2025-57819
• Typ: SQL-Injection (Unauthentifiziert)
• Angriffsvektor: Remote
• Auswirkung: Erstellung von Admin-Konten, Extrahieren von Zugangsdaten, potenzielle RCE
• CVSS-v3-Score: 9.8 (Kritisch)

🎯 Betroffene Versionen

📁 Repository-Struktur

⚙️ Verwendung

1️⃣ poc_admin.py – Admin-Benutzer hinzufügen

Dieses Skript sendet eine speziell konstruierte SQL-Abfrage, um einen neuen FreePBX-Admin-Benutzer zu erstellen.

✅ Voraussetzungen

• Python 3
• requests-Modul (pip install requests)

▶️ Verwendung

python3 poc_admin.py http://target/

💡 Beispielausgabe

[+] Creating admin user: orange0Mint_k9l3zq / X9sfL30wlKp1
[+] Done. Try logging in at: http://target/admin/config.php
[+] Credentials -> Username: orange0Mint_k9l3zq | Password: X9sfL30wlKp1

2️⃣ poc_auto_get_username_pass.py – Zugangsdaten per SQLMap auslesen

Dieses Skript verwendet sqlmap, um Benutzernamen und Passwort-Hashes aus der verwundbaren Tabelle ampusers über mehrere Ziele hinweg zu extrahieren.

✅ Voraussetzungen

• Python 3.x
• sqlmap lokal als sqlmap-master/ geklont
• Datei mit einer Liste der Ziel-URLs

📂 Format der Zieldatei

Jede Zeile in der Datei sollte eine Basis-URL sein:

http://192.168.1.100/
http://pbx.example.com:8080/

▶️ Verwendung

python3 poc_auto_get_username_pass.py targets.txt

💡 Funktionen

• Protokolliert die Ausgabe jedes Ziels in log/target.txt
• Wartet automatisch auf:
  • Trennung der Internetverbindung
  • Vorhandensein der Datei stop.txt
• Verwendet die Flags --batch und --ignore-code=404 in SQLMap

📦 Ausgabe

Alle Ergebnisse von sqlmap werden im Verzeichnis log/ gespeichert, benannt nach dem Zielhost:

log/
 ├── 192.168.1.100.txt
 ├── pbx.example.com_8080.txt

🔐 Gegenmaßnahmen

• Aktualisieren Sie auf gepatchte FreePBX-Versionen:
  • 15.0.66+
  • 16.0.89+
  • 17.0.3+
• Beschränken Sie den Zugriff auf die /admin/-Oberfläche
• Verwenden Sie Web Application Firewalls (WAFs)
• Überwachen Sie den Zugriff auf ajax.php

⚠️ Haftungsausschluss

Dieses PoC dient ausschließlich zu Bildungs- und autorisierten Penetrationstest-Zwecken.
Verwenden Sie diesen Code nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testgenehmigung haben.
Der Autor ist nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Skript verursacht werden.

👨‍💻 Autor

orange0Mint
GitHub: https://github.com/orange0Mint

🧩 Referenzen

• FreePBX Offizielle Website
• sqlmap GitHub
• CVE-2025-57819 @ NVD