ATutor-Instructor-Backup-Exploit

• Exploit Title: ATutor 2.2.4 'Backup' Remote Command Execution (CVE-2019-12170)
• Google Dork: inurl:/ATutor/login.php
• Date: 5/13/2019
• Exploit Author: liquidsky (Joseph McPeters)
• Vendor Homepage: https://atutor.github.io/
• Software Link: https://sourceforge.net/projects/atutor/files/latest/download
• Version: < 2.2.4 (Versions 2.2.4 und frühere scheinen betroffen zu sein)
• Tested on: Windows 7 mit XAMPP / Linux 3.16.0-4-amd64 mit Version 2.2.4 und 2.2.1
• Authors Site: http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

ATutor 2.2.4 ist anfällig für beliebige Datei-Uploads über die Backup-Funktion, die zu einer Remote-Befehlsausführung führen können.

Melden Sie sich zuerst mit dem Instruktoren-Konto an und wählen Sie einen Kurs:

• #1 http://[atutor address]/atutor/bounce.php?course=1

Navigieren Sie dann zu "Manage"

• #2 http://[atutor address]/atutor/tools/index.php

Wählen Sie als Nächstes Backups/Upload

• #3 http://[atutor address]/atutor/mods/_core/backups/upload.php

Von hier aus kann eine speziell erstellte Backup-Zip-Datei, z.B. "pwned_backup.zip", hochgeladen werden, die zu einer Remote-Befehlsausführung führt.

Die beliebige Datei des PoC finden Sie unter: http://[atutor address]/atutor/content/1/pwned/poc.PhP

oder

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

Hinweis: Die "1" in der Adresse ändert sich je nach Kursnummer und das Verzeichnis "content" kann abweichen. Standardmäßig lautet der Verzeichnisname in der Installation jedoch "content". Dies wurde sowohl unter Linux- als auch unter Windows-Installationen getestet.