ATutor 2.2.4 رفع ملف عشوائي / تنفيذ تعليمات برمجية عن بُعد (RCE) (CVE-2019-12169)

• عنوان الثغرة: ATutor 2.2.4 رفع ملف عشوائي / تنفيذ تعليمات برمجية عن بُعد [CVE-2019-12169]
• التاريخ: 24/5/19
• مكتشف الثغرة: liquidsky (JMcPeters)
• الصفحة الرئيسية للمطور: https://atutor.github.io/
• رابط البرنامج: https://sourceforge.net/projects/atutor/files/latest/download
• الإصدار: 2.2.4
• تم الاختبار على: Windows 8 / Apache / MySQL (XAMPP)
• CVE : CVE-2019-12169 | https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12169
• موقع المؤلف: http://incidentsecurity.com | https://github.com/fuzzlove

الوصف: يسمح ATutor 2.2.4 برفع ملف عشوائي واجتياز الدليل، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد عبر مسار يحتوي على ".." في ملف ZIP إلى المكون mods/_core/languages/language_import.php (المعروف بـ Import New Language) أو المكون mods/_standard/patcher/index_admin.php (المعروف بـ Patcher).

تحيات: wetw0rk, offsec ^^

ملاحظة: لم يعد هذا التطبيق قيد الصيانة، لذا لا يوجد إصلاح لهذه المشكلة.

تحديث: إذا كنت ترغب في اختبار ذلك يدويًا، فقد أدرجت ملف poc.zip لفهم أفضل.

• CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
• CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit