CVE-2025-57819
Sangoma FreePBX Authentication Bypass Vulnerability
Beschreibung
CVE-2025-57819 ist eine kritische Schwachstelle in Sangoma FreePBX, der weit verbreiteten Open-Source-Weboberflaeche fuer Telefonanlagen. Durch unzureichend sanitisierte Benutzereingaben koennen nicht authentifizierte Angreifer auf die FreePBX-Administratoroberflaeche zugreifen, die Datenbank manipulieren und beliebigen Code auf dem Server ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet.
Die CISA hat CVE-2025-57819 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 19. September 2025. Der EPSS-Score von 67.43 % (99. Perzentil) zeigt eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit -- diese Schwachstelle gehoert damit zu den am staerksten angegriffenen Schwachstellen weltweit. FreePBX wird in zahlreichen Unternehmen als Telefonanlage eingesetzt, was das Schadenpotenzial erheblich macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sangoma | freepbx | >= 15.0, < 15.0.66; >= 16.0, < 16.0.89; >= 17.0, < 17.0.3 |
Referenzen
- https://community.freepbx.org/t/security-advisory-please-lock-down-your-administrator-access/107203(Issue Tracking, Vendor Advisory)
- https://github.com/FreePBX/security-reporting/security/advisories/GHSA-m42g-xg4c-5f3h(Mitigation, Vendor Advisory)
- https://github.com/watchtowrlabs/watchTowr-vs-FreePBX-CVE-2025-57819(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-57819(US Government Resource)
Schwachstellentyp
CWE-89: SQL Injection
CVE-2025-57819 basiert unter anderem auf CWE-89 (SQL Injection). Die Endpunkte von FreePBX 15, 16 und 17 sanitisieren Benutzereingaben nicht ausreichend, bevor diese in SQL-Abfragen eingebunden werden. Ein Angreifer kann bösartigen SQL-Code einschleusen, um Datenbankinhalte auszulesen, zu modifizieren oder zu loeschen und letztlich Remote Code Execution zu erreichen.
Mehr erfahren: CWE-89 -- SQL Injection
CWE-288: Authentifizierungsumgehung ueber alternativen Pfad
Zusaetzlich nutzt CVE-2025-57819 CWE-288 (Authentifizierungsumgehung ueber alternativen Pfad) aus. Die betroffenen Endpunkte erfordern keine Authentifizierung, obwohl sie Zugriff auf administrative Funktionen gewaehren. Diese fehlende Zugriffskontrolle ermoeglicht es Angreifern, die SQL-Injection-Schwachstelle ohne jegliche Zugangsdaten auszunutzen.
Mehr erfahren: CWE-288 -- Authentifizierungsumgehung ueber alternativen Pfad
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-57819 sind aufgrund der kritischen Natur der Schwachstelle und der Rolle von FreePBX als Telefonanlagen-System aeusserst schwerwiegend. Der CVSS-Score von 9.8 (CRITICAL) ist nahezu maximal. Vertraulichkeit (High): Ein Angreifer kann ueber SQL Injection die gesamte FreePBX-Datenbank auslesen, einschliesslich Benutzerdaten, Telefonnummern, Anrufprotokollen, Voicemail-Konfigurationen und gespeicherten Zugangsdaten. Integritaet (High): Durch Datenbankmanipulation und Remote Code Execution kann der Angreifer die Telefonanlage umprogrammieren, Anrufweiterleitungen einrichten, Backdoors installieren und den Server vollstaendig kompromittieren. Verfuegbarkeit (High): Der Angreifer kann den Telefondienst stoppen, Konfigurationen loeschen oder den Server fuer andere Zwecke missbrauchen. Der Angriff erfordert keine Authentifizierung (PR:N), keine Benutzerinteraktion (UI:N) und ist ueber das Netzwerk mit niedriger Komplexitaet durchfuehrbar. Der EPSS-Score von 67.43 % im 99. Perzentil unterstreicht die extreme Ausnutzungsintensitaet.
Exploit-Reifegrad
CVE-2025-57819 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 19. September 2025. Der EPSS-Score von 67.43 % (99. Perzentil) ist ausserordentlich hoch und zeigt, dass diese Schwachstelle zu den Top 1 % der am intensivsten ausgenutzten Schwachstellen weltweit gehoert. Oeffentlicher Exploit-Code ist verfuegbar ueber watchTowr Labs auf GitHub, was die Einstiegshuerde fuer Angreifer drastisch senkt. Die Kombination aus fehlender Authentifizierung, SQL Injection und Remote Code Execution macht diese Schwachstelle zu einem bevorzugten Ziel fuer opportunistische und gezielte Angriffe. Der Ransomware-Status ist als Unknown klassifiziert, jedoch ist die vollstaendige Serveruebernahme ein idealer Ausgangspunkt fuer Ransomware-Operationen.
Behebung
-
Sofortiges Update durchfuehren: Aktualisieren Sie FreePBX auf die gepatchten Versionen: Version 15.0.66, 16.0.89 oder 17.0.3 (je nach eingesetztem Major Release). Die Patches sind ueber die FreePBX Community und das GitHub Security Advisory verfuegbar.
-
Administratorzugang sofort beschraenken: Bis zum Einspielen des Patches beschraenken Sie den Zugriff auf die FreePBX-Administrationsoberflaeche auf vertrauenswuerdige IP-Adressen mittels Firewall-Regeln. Stellen Sie sicher, dass die Weboberflaeche nicht aus dem Internet erreichbar ist.
-
Web Application Firewall einsetzen: Konfigurieren Sie eine WAF vor der FreePBX-Installation, um SQL-Injection-Muster in HTTP-Anfragen zu erkennen und zu blockieren. Erstellen Sie Regeln, die typische SQL-Injection-Payloads filtern.
-
Forensische Untersuchung: Angesichts der aktiven Ausnutzung und des verfuegbaren Exploit-Codes sollten alle FreePBX-Installationen auf Anzeichen einer Kompromittierung untersucht werden. Pruefen Sie Datenbankinhalte auf unerwartete Aenderungen, suchen Sie nach unbekannten Benutzerkonten und ueberpruefen Sie die Serverintegritaet.
-
Datenbankhaertung: Stellen Sie sicher, dass der FreePBX-Datenbankbenutzer nur die minimal notwendigen Berechtigungen besitzt. Deaktivieren Sie FILE-Privilegien und andere erweiterte Datenbankfunktionen, die Remote Code Execution ermoeglichen koennten.
Technische Details
CVE-2025-57819 betrifft FreePBX-Versionen 15, 16 und 17 und kombiniert zwei Schwachstellenklassen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt die maximale Ausnutzbarkeit: netzwerkbasiert (AV:N), niedrige Komplexitaet (AC:L), keine Authentifizierung erforderlich (PR:N), keine Benutzerinteraktion noetig (UI:N). Die Angriffskette beginnt mit dem Zugriff auf nicht authentifizierte Endpunkte der FreePBX-Weboberflaeche (CWE-288), die administrative Funktionalitaet ohne Zugangskontrolle exponieren. Ueber diese Endpunkte werden Benutzereingaben direkt in SQL-Abfragen eingebunden, ohne ausreichende Sanitisierung (CWE-89). Ein Angreifer kann dadurch die Datenbank manipulieren, neue Administratorkonten anlegen und ueber datenbankbasierte Mechanismen beliebigen Code auf dem Server ausfuehren. Betroffen sind FreePBX 15 (vor 15.0.66), 16 (vor 16.0.89) und 17 (vor 17.0.3).
Häufig gestellte Fragen
Wird CVE-2025-57819 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-57819 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 67.43 % im 99. Perzentil zeigt eine der hoechsten Ausnutzungswahrscheinlichkeiten ueberhaupt. Oeffentlicher Exploit-Code ist ueber watchTowr Labs auf GitHub verfuegbar.
Welche Produkte sind von CVE-2025-57819 betroffen?
Betroffen ist FreePBX in den Major-Versionen 15 (vor 15.0.66), 16 (vor 16.0.89) und 17 (vor 17.0.3). FreePBX ist eine Open-Source-Weboberflaeche fuer die Asterisk-Telefonanlage und wird weltweit in zahlreichen Unternehmen eingesetzt.
Wie behebe ich CVE-2025-57819?
Aktualisieren Sie FreePBX umgehend auf die gepatchten Versionen 15.0.66, 16.0.89 oder 17.0.3. Bis zum Update beschraenken Sie den Zugriff auf die Administrationsoberflaeche ueber Firewall-Regeln auf vertrauenswuerdige IP-Adressen. Fuehren Sie eine forensische Untersuchung durch, um eine Kompromittierung auszuschliessen.
Wie schwerwiegend ist CVE-2025-57819?
CVE-2025-57819 ist mit einem CVSS v3.1-Score von 9.8 als CRITICAL eingestuft. Die Schwachstelle ermoeglicht einem nicht authentifizierten Angreifer Remote Code Execution ueber SQL Injection. Der EPSS-Score im 99. Perzentil und der verfuegbare Exploit-Code machen ein sofortiges Handeln zwingend erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.