ATutor - Exploit de copia de seguridad del instructor

• Título del exploit: ATutor 2.2.4 'Backup' - Ejecución remota de comandos (CVE-2019-12170)
• Google Dork: inurl:/ATutor/login.php
• Fecha: 5/13/2019
• Autor del exploit: liquidsky (Joseph McPeters)
• Página oficial del proveedor: https://atutor.github.io/
• Enlace del software: https://sourceforge.net/projects/atutor/files/latest/download
• Versión: < 2.2.4 (Las versiones 2.2.4 y anteriores parecen estar afectadas)
• Probado en: Windows 7 con XAMPP / Linux 3.16.0-4-amd64 con versiones 2.2.4 y 2.2.1
• Sitio del autor: http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

ATutor 2.2.4 es vulnerable a la subida arbitraria de archivos a través de la función de copia de seguridad, lo que puede resultar en la ejecución remota de comandos.

Primero inicie sesión con la cuenta de instructor y seleccione un curso:

• #1 http://[atutor address]/atutor/bounce.php?course=1

Luego navegue a "Manage"

• #2 http://[atutor address]/atutor/tools/index.php

A continuación seleccione Backups/Upload

• #3 http://[atutor address]/atutor/mods/_core/backups/upload.php

Desde aquí se puede subir un archivo zip de copia de seguridad especialmente diseñado, por ejemplo "pwned_backup.zip", que resultará en la ejecución remota de comandos.

El archivo arbitrario de PoC se puede encontrar en: http://[atutor address]/atutor/content/1/pwned/poc.PhP

o

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

Nota: El "1" en la dirección cambiará según el número del curso y el directorio "content" puede ser diferente. Sin embargo, por defecto la instalación utiliza el nombre de directorio "content". Esto ha sido probado tanto en instalaciones Linux como Windows.

• Se puede descargar una copia del archivo ZIP de PoC (pwned_backup.zip): https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File

Se incluyen capturas de pantalla para mostrar los pasos exactos para reproducir el exploit con éxito.

Actualización: No hay corrección para este problema; ATutor ya no recibe mantenimiento. [5/22/19]

• El directory traversal también es posible si el directorio content no está en la raíz web.

Para más información sobre una prueba de concepto de directory traversal, consulte: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit/

    CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
    CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit