ATutor-Instructor-Backup-Exploit

• Titre de l'exploit : ATutor 2.2.4 'Backup' Exécution de commande à distance (CVE-2019-12170)
• Google Dork : inurl:/ATutor/login.php
• Date : 5/13/2019
• Auteur de l'exploit : liquidsky (Joseph McPeters)
• Page d'accueil du vendeur : https://atutor.github.io/
• Lien du logiciel : https://sourceforge.net/projects/atutor/files/latest/download
• Version : < 2.2.4 (Les versions 2.2.4 et antérieures semblent être affectées)
• Testé sur : Windows 7 avec XAMPP / Linux 3.16.0-4-amd64 avec les versions 2.2.4 et 2.2.1
• Site de l'auteur : http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

ATutor 2.2.4 est vulnérable à des téléchargements de fichiers arbitraires via la fonction de sauvegarde qui peut entraîner une exécution de commande à distance.

Connectez-vous d'abord avec le compte instructeur et sélectionnez un cours :

• #1 http://[atutor address]/atutor/bounce.php?course=1

Ensuite, naviguez vers "Gérer"

• #2 http://[atutor address]/atutor/tools/index.php

Ensuite, sélectionnez Sauvegardes/Téléchargement

• #3 http://[atutor address]/atutor/mods/_core/backups/upload.php

À partir de là, un fichier zip de sauvegarde spécialement conçu, par exemple "pwned_backup.zip", peut être téléchargé, ce qui entraînera une exécution de commande à distance.

Le fichier arbitraire de PoC peut être trouvé à l'adresse : http://[atutor address]/atutor/content/1/pwned/poc.PhP

ou

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

Remarque : Le "1" dans l'adresse changera en fonction du numéro du cours et le répertoire "content" peut être différent. Cependant, par défaut, l'installation utilise le nom de répertoire "content". Cela a été testé sur des installations Linux et Windows.

• Une copie du fichier zip PoC (pwned_backup.zip) peut être téléchargée : https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File

Des captures d'écran sont incluses pour montrer les étapes exactes pour reproduire l'exploit avec succès.

Mise à jour : Il n'y a pas de correctif pour ce problème. ATutor n'est plus maintenu. [5/22/19]

• L'attaque par traversée de répertoire est également possible si le répertoire "content" n'est pas dans la racine web.

Pour plus d'informations sur une preuve de concept de traversée de répertoire, consultez : https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit/

    CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
    CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit