CVE-2025-57819 - Неаутентифицированное удаленное выполнение кода (RCE) в FreePBX

CVE-2025-57819 - это критическая уязвимость удаленного выполнения кода (RCE), затрагивающая Sangoma FreePBX версий 15, 16 и 17. Уязвимость возникает из-за недостаточной очистки пользовательского ввода в уязвимых конечных точках, что позволяет неаутентифицированному злоумышленнику обойти аутентификацию, манипулировать внутренней базой данных приложения и, в конечном итоге, выполнять произвольные команды операционной системы на базовом сервере.

С оценкой CVSS v3 9.8 (Критическая), эта уязвимость представляет собой сценарий полной компрометации, не требующий аутентификации и взаимодействия с пользователем.

Техническая сводка

Предыстория

FreePBX - один из наиболее широко развертываемых интерфейсов управления с открытым исходным кодом для платформы Asterisk PBX. Он обычно используется организациями для управления VoIP-инфраструктурой, SIP-терминалами, расширениями, системами голосовой почты, маршрутизацией вызовов и телефонными услугами.

Поскольку эти системы часто находятся в центре коммуникационной инфраструктуры организации, успешная компрометация может раскрыть:

• Внутренняя голосовая связь
• Учетные данные SIP
• Голосовая почта
• Записи разговоров
• Маршрутизация вызовов
• Учетные данные администратора
• Полный доступ к хостам Linux

Это делает уязвимости в FreePBX особенно привлекательными для злоумышленников.

Основная причина

Уязвимость существует, потому что некоторые данные, предоставленные пользователем, не проверяются и не очищаются должным образом перед обработкой внутренней функциональностью.

Злоумышленник может использовать эти уязвимые пути запросов для получения несанкционированного доступа к административной функциональности и выполнения вредоносных операций с базой данных.

Как только становится возможной произвольная запись в базу данных, злоумышленник может использовать существующую функциональность FreePBX для выполнения команд операционной системы, что в конечном итоге приводит к полной компрометации сервера.

Простыми словами:

Unauthenticated Request
        │
        ▼
Authentication Bypass
        │
        ▼
Database Manipulation
        │
        ▼
Operating System Command Execution
        │
        ▼
Complete Server Compromise

Поток эксплуатации

Типичная цепочка атак выглядит следующим образом:

1. Найти доступный через Интернет экземпляр FreePBX.
2. Отправить специально сформированные запросы к уязвимым конечным точкам.
3. Обойти аутентификацию.
4. Изменить записи внутренней базы данных.
5. Злоупотребить функциональностью запланированных задач или другими доверенными механизмами.
6. Выполнить произвольные команды.
7. Получить постоянный доступ.
8. Полностью скомпрометировать сервер PBX.

Поскольку эксплуатация не требует действительных учетных данных, системы, доступные через Интернет, особенно уязвимы.

Потенциальное воздействие

Успешная эксплуатация может позволить злоумышленнику:

• Выполнять произвольные команды на хосте
• Создавать учетные записи администратора
• Изменять конфигурацию FreePBX
• Манипулировать содержимым базы данных
• Устанавливать постоянные бэкдоры
• Развертывать веб-шеллы
• Похищать учетные данные SIP
• Захватывать данные голосовой почты
• Получать доступ к записям разговоров
• Перехватывать VoIP-коммуникации
• Перемещаться во внутренние сети
• Развертывать программы-вымогатели
• Экфильтровать конфиденциальные данные организации

Во многих средах это фактически становится полной компрометацией инфраструктуры, а не просто уязвимым веб-приложением.

Почему эта уязвимость важна

В отличие от многих уязвимостей веб-приложений, требующих аутентификации или взаимодействия с пользователем, CVE-2025-57819 может эксплуатироваться удаленно без учетных данных.

Это резко снижает порог для эксплуатации.

Если злоумышленник может достичь уязвимого интерфейса FreePBX через сеть, эксплуатация может быть возможна с небольшими усилиями.

Эта комбинация:

• Сетевой доступ
• Отсутствие аутентификации
• Высокое воздействие
• Публичный технический анализ
• Активная эксплуатация

делает CVE-2025-57819 одной из самых серьезных уязвимостей FreePBX, раскрытых за последние годы.

Индикаторы компрометации (IoC)

Администраторы, расследующие потенциально скомпрометированную систему, должны искать:

• Неожиданные учетные записи администратора
• Неизвестные изменения в базе данных
• Подозрительные задачи cron
• Несанкционированные PHP-файлы
• Недавно созданные веб-шеллы
• Измененные конфигурационные файлы
• Необычный исходящий сетевой трафик
• Неизвестные запланированные задачи
• Неожиданные системные процессы
• Подозрительная активность аутентификации

Любой из этих индикаторов следует рассматривать как доказательство того, что PBX мог быть полностью скомпрометирован.

Смягчение последствий

Организации должны немедленно:

• Обновить FreePBX до исправленных версий.
• Ограничить доступ к интерфейсу администратора.
• Избегать прямого размещения интерфейса управления в Интернете.
• Мониторить журналы аутентификации.
• Проверить целостность базы данных.
• Удалить несанкционированные учетные записи администратора.
• Проверить запланированные задачи.
• Искать веб-шеллы.
• Сменить все административные, SIP и VoIP учетные данные при подозрении на компрометацию.

По данным вендора, уязвимость устранена в:

• FreePBX 15.0.66
• FreePBX 16.0.89
• FreePBX 17.0.3

Уроки безопасности

CVE-2025-57819 демонстрирует, как множественные слабости могут привести к полной компрометации системы.

Хотя первоначальный недостаток заключается в недостаточной проверке ввода, настоящая опасность заключается в способности приложения объединять легитимную функциональность в полное удаленное выполнение кода. Как только границы аутентификации обойдены, доверенные внутренние компоненты могут быть использованы для выполнения произвольных команд операционной системы.

Уязвимость также подчеркивает несколько лучших практик защиты:

• Никогда не размещайте административные интерфейсы напрямую в общедоступном Интернете.
• Своевременно применяйте обновления безопасности.
• Обеспечьте сегментацию сети вокруг критической инфраструктуры.
• Постоянно мониторьте несанкционированную административную активность.
• Регулярно проверяйте запланированные задачи, файлы приложений и целостность базы данных.

Многоуровневая защита значительно снижает вероятность того, что одна уязвимость приложения приведет к полной компрометации инфраструктуры.

Отказ от ответственности

Этот репозиторий предоставляется исключительно в образовательных целях, для исследований безопасности и авторизованного тестирования на проникновение. Представленная здесь информация предназначена для того, чтобы помочь защитникам понять уязвимость, подтвердить усилия по устранению и повысить безопасность развертываний FreePBX.

Не используйте этот эксплойт PoC против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Ссылки

• National Vulnerability Database (NVD)
• Sangoma FreePBX Security Advisory
• GitHub Security Advisory
• watchTowr Labs Technical Analysis
• Horizon3.ai Technical Research