FreePBX Endpoint: SQL-Injection (CVE-2025-57819)

Was ist betroffen, was ist zu tun

FreePBX ist eine quelloffene webbasierte grafische Benutzeroberfläche. Endpunkte von FreePBX 15, 16 und 17 sind anfällig aufgrund unzureichend bereinigter benutzerzugeführter Daten, die den unbefugten Zugriff auf den FreePBX-Administrator ermöglichen, was zu willkürlicher Datenbankmanipulation und der Ausführung von Ferncode führt.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie FreePBX Endpoint auf Version 15.0.66, FreePBX Endpoint auf Version 16.0.89, FreePBX Endpoint auf Version 17.0.3. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• FreePBX Endpoint lt *..15.0.66
• FreePBX Endpoint lt *..16.0.89
• FreePBX Endpoint lt *..17.0.3

Behoben in

• FreePBX Endpoint 15.0.66
• FreePBX Endpoint 16.0.89
• FreePBX Endpoint 17.0.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Exposition prüfen und Admin-GUI sofort abschotten: Alle FreePBX-Instanzen (Versionen 15, 16, 17) inventarisieren und den Zugriff auf das Administrator Control Panel (/admin/, TCP 80/443) aus dem Internet unverzüglich sperren. Das geht über das FreePBX-Firewall-Modul (Admin-Zugriff nur aus „Trusted“-Zonen) oder über eine vorgelagerte Firewall. SIP/RTP für den Telefoniebetrieb bleibt davon unberührt.
   • Patch einspielen: Modul endpoint auf die gepatchten Stände bringen, also 15.0.66 (FreePBX 15), 16.0.89 (FreePBX 16) bzw. 17.0.3 (FreePBX 17). Stand prüfen mit fwconsole ma list | grep -i endpoint, aktualisieren mit fwconsole ma upgrade endpoint, danach fwconsole reload. Nicht benötigte kommerzielle Module wie endpoint vollständig deinstallieren.
   • Kompromittierungsprüfung vor dem Patch-Abschluss: Der Patch entfernt keine bereits angelegten Hintertüren. Prüfen Sie die Tabelle asterisk.ampusers auf unbekannte Administratorkonten, die Tabelle cron_jobs sowie die Crontab des Users asterisk auf fremde Einträge, das Webroot /var/www/html/ auf unbekannte PHP- oder Shell-Dateien (z. B. .clean.sh) und /etc/freepbx.conf auf Fehlen oder Manipulation.
   • Bei Kompromittierungsindikatoren: System vom Netz trennen, forensisches Abbild sichern (Datenbank-Dump, Webroot, /var/log/), anschließend aus einem verifiziert sauberen Backup neu aufsetzen statt zu bereinigen. Danach patchen und die Admin-GUI nur eingeschränkt wieder freigeben.
   • Zugangsdaten rotieren: Passwörter aller GUI-Administratoren, des MySQL/MariaDB-Users (AMPDBPASS), der SIP-Trunks und Provider-Zugänge sowie die Secrets aller Nebenstellen rotieren. Gestohlene SIP-Credentials ermöglichen Gebührenbetrug (Toll Fraud).
   • Trunk-/Provider-Seite absichern: Beim SIP-Provider Ausgabenlimits und Sperren für Premium- und Auslandsziele aktivieren, um finanziellen Schaden bei laufender Kompromittierung zu begrenzen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Die PBX in ein dediziertes Voice-VLAN bzw. eine eigene DMZ legen. Die Admin-GUI ist nur aus einem Management-Netz oder über VPN/Jump-Host erreichbar. Ausgehende Verbindungen der PBX auf SIP-Provider, Update-Server von Sangoma und NTP beschränken (Egress-Allowlist). Das unterbindet Reverse Shells und das Nachladen von Payloads.
   • WAF/Reverse-Proxy-Regel: Anfragen an /admin/ajax.php mit module= aus Endpoint-Kontext blockieren, sofern sie SQL-Metazeichen (', --, UNION, SLEEP(, INSERT INTO) in Parametern enthalten. Unauthentifizierte Requests an /admin/ajax.php und /admin/config.php ohne gültige Session-Cookies generell verwerfen.
   • IPS: Suricata/Snort-Signaturen für SQL-Injection gegen FreePBX-Endpunkte aktivieren und Regelupdates des Herstellers mit CVE-2025-57819-Bezug einspielen. Behelfsweise eignet sich eine http.uri-Content-Regel auf ajax.php kombiniert mit pcre auf SQLi-Muster.
   • Endpoint-Härtung: Das Webroot /var/www/html/ mit Dateiintegritätsüberwachung (AIDE, auditd-Watches) versehen und Schreibrechte des Webserver-Users auf das Notwendige reduzieren. Unter /tmp und /var/tmp noexec setzen.
   • IAM/Least Privilege: GUI-Administratorkonten minimieren, MFA bzw. vorgeschalteten SSO/VPN-Zwang nutzen und den Datenbankuser auf lokale Verbindungen beschränken (bind-address=127.0.0.1).
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-Access-Log (Apache /var/log/httpd/ bzw. /var/log/apache2/): Suchen Sie POST/GET-Anfragen an /admin/ajax.php mit module= und brand=/template=/model= und SQL-Metazeichen von externen IPs ohne vorherigen Login. Ebenso auffällig sind POST-Anfragen an modular.php oder unbekannte PHP-Dateien im Webroot. SPL: index=web uri_path="/admin/ajax.php" (uri_query="*%27*" OR uri_query="*UNION*" OR uri_query="*SLEEP*") | stats count by src_ip
   • Datenbank-Artefakte: Regelmäßig SELECT username FROM asterisk.ampusers; gegen eine Baseline abgleichen und Alarm auslösen bei neuen Konten. Neue oder geänderte Einträge in cron_jobs mit Shell-Befehlen (curl, wget, base64, bash -c) gelten als starker Kompromittierungsindikator.
   • auditd/EDR-Prozessherkunft: Prozessketten httpd/php-fpm → sh/bash → curl/wget/base64/nc sowie crond → Skripte aus dem Webroot melden. Sigma-Form: ParentImage|endswith: ['/httpd','/php-fpm'] AND Image|endswith: ['/bash','/sh','/curl','/wget'].
   • Asterisk-CDR/Full-Log (/var/log/asterisk/full): Anrufe zu unbekannten oder Testnebenstellen (z. B. 9998), plötzliche Auslands- bzw. Premium-Rate-Anrufe und neu angelegte Nebenstellen oder Trunks ohne Change-Ticket überwachen.
   • Netzwerktelemetrie (Zeek/Suricata): Ausgehende HTTP(S)- oder Raw-TCP-Verbindungen der PBX zu Zielen außerhalb der Egress-Allowlist sowie DNS-Anfragen zu frisch registrierten Domains prüfen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

FreePBX ist eine quelloffene webbasierte grafische Benutzeroberfläche. Endpunkte von FreePBX 15, 16 und 17 sind anfällig aufgrund unzureichend bereinigter benutzerzugeführter Daten, die den unbefugten Zugriff auf den FreePBX-Administrator ermöglichen, was zu willkürlicher Datenbankmanipulation und der Ausführung von Ferncode führt. Dieses Problem wurde in den Endpunktversionen 15.0.66, 16.0.89 und 17.0.3 behoben.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: CSA/SingCERT, pwn.watch, NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• FreePBX Endpoint
• Sangoma Sangoma FreePBX

Weakness-Klassen (CWE)

• CWE-89Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')

  Base

  The product constructs all or part of an SQL command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended SQL command when it is sent to a downstream component. Without sufficient removal or quoting of SQL syntax in user-controllable inputs, the generated SQL query can cause those inputs to be interpreted as SQL instead of ordinary user data.

  Eintrag bei MITRE CWE-89

• CWE-288Authentication Bypass Using an Alternate Path or Channel

  Base

  The product requires authentication, but the product has an alternate path or channel that does not require authentication.

  Eintrag bei MITRE CWE-288

Quellen & Referenzen

• github.comFreePBX/security-reporting/security/advisories/GHSA-m42g-xg4c-5…x_refsource_CONFIRM, pwn-watch
• community.freepbx.orgt/security-advisory-please-lock-down-your-administrator-access/…x_refsource_MISC
• github.comwatchtowrlabs/watchTowr-vs-FreePBX-CVE-2025-57819Exploit
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-57819government-resource
• pwn.watchpwn.watch: Sangoma FreePBX: FreePBX Authentication Bypass Vulnerabilitypwn-watch
• NVD (NIST)NVD: CVE-2025-57819pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 17.06.2026Analyse der NVD geändertNVD

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.