ATutor-Instructor-Backup-Exploit

• शोषण शीर्षक: ATutor 2.2.4 'Backup' दूरस्थ कमांड निष्पादन (CVE-2019-12170)
• Google Dork: inurl:/ATutor/login.php
• तारीख: 5/13/2019
• शोषण लेखक: liquidsky (Joseph McPeters)
• विक्रेता होमपेज: https://atutor.github.io/
• सॉफ्टवेयर लिंक: https://sourceforge.net/projects/atutor/files/latest/download
• संस्करण: < 2.2.4 (संस्करण 2.2.4 और उससे पहले के संस्करण प्रभावित होते दिखते हैं)
• परीक्षण किया गया: Windows 7 XAMPP / Linux 3.16.0-4-amd64 संस्करण 2.2.4 और 2.2.1 के साथ
• लेखक की साइट: http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

ATutor 2.2.4 बैकअप फ़ंक्शन के माध्यम से मनमानी फ़ाइल अपलोड के लिए संवेदनशील है जिसके परिणामस्वरूप दूरस्थ कमांड निष्पादन हो सकता है।

पहले प्रशिक्षक खाते से लॉगिन करें और एक पाठ्यक्रम चुनें:

• #1 http://[atutor address]/atutor/bounce.php?course=1

फिर "Manage" पर जाएं

• #2 http://[atutor address]/atutor/tools/index.php

अगला Backups/Upload चुनें

• #3 http://[atutor address]/atutor/mods/_core/backups/upload.php

यहां से एक विशेष रूप से तैयार की गई बैकअप ज़िप फ़ाइल जैसे "pwned_backup.zip" अपलोड की जा सकती है जिसके परिणामस्वरूप दूरस्थ कमांड निष्पादन होगा।

PoC मनमानी फ़ाइल यहां पाई जा सकती है: http://[atutor address]/atutor/content/1/pwned/poc.PhP

या

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

नोट: पते में "1" पाठ्यक्रम संख्या के आधार पर बदल जाएगा और "content" निर्देशिका भिन्न हो सकती है। हालांकि डिफ़ॉल्ट रूप से इंस्टॉलेशन निर्देशिका का नाम "content" होने का आह्वान करता है। इसका linux/windows दोनों इंस्टॉलेशन पर परीक्षण किया गया है।

• PoC ज़िप फ़ाइल (pwned_backup.zip) की एक प्रति डाउनलोड की जा सकती है: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File

शोषण को सफलतापूर्वक पुन: प्रस्तुत करने के लिए सटीक चरण दिखाने के लिए स्क्रीनशॉट शामिल हैं।

अद्यतन: इस मुद्दे का कोई समाधान नहीं है, ATutor अब बनाए नहीं रखा जा रहा है। [5/22/19]

• यदि content निर्देशिका वेबरूट में नहीं है तो निर्देशिका ट्रैवर्सल भी संभव है।

निर्देशिका ट्रैवर्सल प्रूफ ऑफ कॉन्सेप्ट के बारे में अधिक जानकारी के लिए देखें: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit/

    CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
    CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit