ledksv/pterodactylHackTheBox Pterodactyl walkthrough enchaînant le path traversal CVE-2025-49132, le cassage de hash et la race PAM et XFS CVE-2025-6018/6019 pour root.
Plateforme : HackTheBox | OS : Linux
Pterodactyl Panel exposé sur un sous-domaine. CVE-2025-49132, une traversée de chemin, divulgue sans authentification la clé d'application Laravel et les identifiants de base de données — le cassage du hash extrait donne un accès SSH. L'élévation de privilèges enchaîne CVE-2025-6018 (empoisonnement de l'environnement PAM pour simuler une session polkit graphique) avec CVE-2025-6019 (condition de course sur le redimensionnement XFS pour obtenir un shell SUID en tant que root).
L'énumération des VHost a révélé une instance de Pterodactyl Panel. Ajout de panel.pterodactyl.htb à /etc/hosts.
CVE-2025-49132 est une traversée de chemin non authentifiée dans Pterodactyl Panel. La lecture de /api/client/../../../../.env divulgue la clé d'application Laravel et la chaîne de connexion à la base de données.
curl -s http://panel.pterodactyl.htb/api/client/../../../../.env
Utilisation des identifiants de base de données divulgués pour extraire un hash de mot de passe via MySQL, puis cassage de celui-ci avec hashcat pour obtenir un accès SSH.
CVE-2025-6018 empoisonne les variables d'environnement PAM pour faire croire à polkit que la session appelante est graphique (X11/Wayland), contournant ainsi la restriction limitée à la console. Cela permet à un utilisateur local d'authentifier des actions arbitraires à hauts privilèges via polkit sans être physiquement devant une console.
CVE-2025-6019 exploite une condition de course dans le chemin de redimensionnement du système de fichiers XFS. Avec la session PAM contournée via CVE-2025-6018, déclenchement d'une condition de course sur l'allocation d'extents XFS qui écrit un binaire shell SUID appartenant à root sur le disque.
/tmp/.suid_bash -p
# euid=0(root)
Flag root dans /root/root.txt.
À des fins éducatives uniquement. Ne testez que les systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite.