ATutor 2.2.4 任意ファイルアップロード / RCE (CVE-2019-12169)

• Exploit Title: ATutor 2.2.4 任意ファイルアップロード / RCE [CVE-2019-12169]
• Date: 2019年5月24日
• Exploit Author: liquidsky (JMcPeters)
• Vendor Homepage: https://atutor.github.io/
• Software Link: https://sourceforge.net/projects/atutor/files/latest/download
• Version: 2.2.4
• Tested on: Windows 8 / Apache / MySQL (XAMPP)
• CVE : CVE-2019-12169 | https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12169
• Author Site: http://incidentsecurity.com | https://github.com/fuzzlove

説明: ATutor 2.2.4 では、ZIP アーカイブ内のパス名に ".." を使用することで、mods/_core/languages/language_import.php（別名「新しい言語のインポート」）または mods/_standard/patcher/index_admin.php（別名「パッチャー」）コンポーネントにおいて、任意ファイルアップロードとディレクトリトラバーサルが可能となり、リモートコード実行に至ります。

Greetz: wetw0rk, offsec ^^

注意: 本アプリケーションは保守が終了しているため、この問題に対する修正はありません。

更新: 手動でテストしたい場合は、理解を深めるために poc.zip を同梱しています。

• CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
• CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit