ATutor 2.2.4 임의 파일 업로드 / RCE (CVE-2019-12169)

• Exploit 제목: ATutor 2.2.4 Arbitrary File Upload / RCE [CVE-2019-12169]
• 날짜: 5/24/19
• Exploit 작성자: liquidsky (JMcPeters)
• 공급업체 홈페이지: https://atutor.github.io/
• 소프트웨어 링크: https://sourceforge.net/projects/atutor/files/latest/download
• 버전: 2.2.4
• 테스트 환경: Windows 8 / Apache / MySQL (XAMPP)
• CVE: CVE-2019-12169 | https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12169
• 작성자 사이트: http://incidentsecurity.com | https://github.com/fuzzlove

설명: ATutor 2.2.4는 ZIP 아카이브의 ".." 경로명을 통해 mods/_core/languages/language_import.php (일명 Import New Language) 또는 mods/_standard/patcher/index_admin.php (일명 Patcher) 구성 요소에 임의 파일 업로드 및 디렉터리 트래버설을 허용하여 원격 코드 실행을 초래합니다.

인사: wetw0rk, offsec ^^

참고: 이 애플리케이션은 더 이상 유지 관리되지 않으므로 이 문제에 대한 수정 사항이 없습니다.

업데이트: 수동으로 테스트하려면 이해를 돕기 위해 poc.zip을 포함시켰습니다.

• CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
• CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit