ATutor-Instructor-Backup-Exploit

• Exploit Title: ATutor 2.2.4 'Backup' Esecuzione remota di comandi (CVE-2019-12170)
• Google Dork: inurl:/ATutor/login.php
• Data: 13/05/2019
• Autore dell'exploit: liquidsky (Joseph McPeters)
• Homepage del fornitore: https://atutor.github.io/
• Link del software: https://sourceforge.net/projects/atutor/files/latest/download
• Versione: < 2.2.4 (Le versioni 2.2.4 e precedenti sembrano essere affette)
• Testato su: Windows 7 con XAMPP / Linux 3.16.0-4-amd64 con versioni 2.2.4 e 2.2.1
• Sito dell'autore: http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

ATutor 2.2.4 è vulnerabile a caricamenti arbitrari di file tramite la funzione di backup che possono portare all'esecuzione remota di comandi.

Prima accedi con l'account istruttore e seleziona un corso:

• #1 http://[indirizzo atutor]/atutor/bounce.php?course=1

Quindi naviga su "Manage"

• #2 http://[indirizzo atutor]/atutor/tools/index.php

Quindi seleziona Backups/Upload

• #3 http://[indirizzo atutor]/atutor/mods/_core/backups/upload.php

Da qui è possibile caricare un file zip di backup appositamente creato, ad esempio "pwned_backup.zip", che porterà all'esecuzione remota di comandi.

Il file arbitrario PoC può essere trovato su: http://[indirizzo atutor]/atutor/content/1/pwned/poc.PhP

o

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

Nota: il "1" nell'indirizzo cambierà in base al numero del corso e la directory "content" potrebbe essere diversa. Tuttavia, per impostazione predefinita, l'installazione richiede che il nome della directory sia "content". È stato testato su installazioni sia Linux che Windows.