🛡️ CVE-2025-57819 – FreePBX 認証なしSQLインジェクションからRCEへのPoC

このリポジトリには、FreePBX の重大な認証なしSQLインジェクション脆弱性である CVE-2025-57819 を標的とした2つのPython Proof-of-Concept (PoC) スクリプトが含まれています。

🧠 脆弱性について (CVE-2025-57819)

CVE-2025-57819 は FreePBX の複数バージョンに影響を与え、admin/ajax.php の脆弱なパラメータを介して認証されていないリモート攻撃者が任意のSQLクエリを実行できるようにします。

この欠陥は、module=FreePBX\modules\endpoint\ajax エンドポイントにおける不十分な入力サニタイズにより、バックエンドクエリへの直接のSQLインジェクションを許すことに起因します。

📊 CVE詳細

• CVE ID: CVE-2025-57819
• タイプ: SQLインジェクション (認証なし)
• 攻撃ベクトル: リモート
• 影響: 管理者アカウント作成、資格情報のダンプ、潜在的なRCE
• CVSS v3 スコア: 9.8 (致命的)

🎯 影響を受けるバージョン

📁 リポジトリ構成

⚙️ 使用方法

1️⃣ poc_admin.py – 管理者ユーザーの追加

このスクリプトは、特別に細工されたSQLクエリを送信して新しいFreePBX管理ユーザーを作成します。

✅ 必要条件

• Python 3
• requests モジュール (pip install requests)

▶️ 使用方法

python3 poc_admin.py http://target/

💡 出力例

[+] Creating admin user: orange0Mint_k9l3zq / X9sfL30wlKp1
[+] Done. Try logging in at: http://target/admin/config.php
[+] Credentials -> Username: orange0Mint_k9l3zq | Password: X9sfL30wlKp1

2️⃣ poc_auto_get_username_pass.py – SQLMapによる資格情報のダンプ

このスクリプトは sqlmap を使用して、複数のターゲットの脆弱な ampusers テーブルからユーザー名とパスワードハッシュを抽出します。

✅ 必要条件

• Python 3.x
• ローカルにクローンされた sqlmap (sqlmap-master/)
• ターゲットURLのリストを含むファイル

📂 ターゲットファイルの形式

各行はベースURLである必要があります:

http://192.168.1.100/
http://pbx.example.com:8080/

▶️ 使用方法

python3 poc_auto_get_username_pass.py targets.txt

💡 機能

• 各ターゲットの出力を log/target.txt に記録
• 次の場合に自動待機:
  • インターネット切断
  • stop.txt ファイルの存在
• SQLMapで --batch および --ignore-code=404 フラグを使用

📦 出力

sqlmap のすべての結果は log/ ディレクトリ内に、ターゲットホスト名で保存されます:

log/
 ├── 192.168.1.100.txt
 ├── pbx.example.com_8080.txt

🔐 対策

• FreePBXの修正済みバージョンにアップグレード:
  • 15.0.66+
  • 16.0.89+
  • 17.0.3+
• /admin/ インターフェースへのアクセスを制限
• Webアプリケーションファイアウォール (WAF) を使用
• ajax.php へのアクセスを監視

⚠️ 免責事項

このPoCは教育目的および許可された侵入テストのためのみに提供されています。
このコードを、所有していない、または明示的なテスト許可を得ていないシステムに対して使用しないでください。
作者は、このスクリプトの誤用またはそれによって生じた損害について一切の責任を負いません。

👨‍💻 作者

orange0Mint
GitHub: https://github.com/orange0Mint

🧩 参考文献

• FreePBX 公式サイト
• sqlmap GitHub
• CVE-2025-57819 @ NVD