ATutor 2.2.4 मनमाना फ़ाइल अपलोड / RCE (CVE-2019-12169)

• शोषण शीर्षक: ATutor 2.2.4 मनमाना फ़ाइल अपलोड / RCE [CVE-2019-12169]
• दिनांक: 5/24/19
• शोषण लेखक: liquidsky (JMcPeters)
• विक्रेता होमपेज: https://atutor.github.io/
• सॉफ्टवेयर लिंक: https://sourceforge.net/projects/atutor/files/latest/download
• संस्करण: 2.2.4
• परीक्षण किया गया: Windows 8 / Apache / MySQL (XAMPP)
• CVE : CVE-2019-12169 | https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12169
• लेखक साइट: http://incidentsecurity.com | https://github.com/fuzzlove

विवरण: ATutor 2.2.4 मनमाना फ़ाइल अपलोड और निर्देशिका ट्रैवर्सल की अनुमति देता है, जिसके परिणामस्वरूप mods/_core/languages/language_import.php (उर्फ नई भाषा आयात करें) या mods/_standard/patcher/index_admin.php (उर्फ पैचर) घटक में ZIP आर्काइव में ".." पथनाम के माध्यम से दूरस्थ कोड निष्पादन होता है।

शुभकामनाएं: wetw0rk, offsec ^^

नोट्स: यह एप्लिकेशन अब बनाए नहीं रखा जा रहा है, इसलिए इस मुद्दे का कोई समाधान नहीं है।

अपडेट: यदि आप इसे मैन्युअल रूप से परीक्षण करना चाहते हैं, तो बेहतर समझ के लिए मैंने poc.zip शामिल किया है।

• CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
• CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit