ATutor-Instructor-Backup-Exploit

• Título do Exploit: Execução Remota de Comandos via 'Backup' no ATutor 2.2.4 (CVE-2019-12170)
• Google Dork: inurl:/ATutor/login.php
• Data: 13/05/2019
• Autor do Exploit: liquidsky (Joseph McPeters)
• Site do Fornecedor: https://atutor.github.io/
• Link do Software: https://sourceforge.net/projects/atutor/files/latest/download
• Versão: < 2.2.4 (as versões 2.2.4 e anteriores parecem ser afetadas)
• Testado em: Windows 7 com XAMPP / Linux 3.16.0-4-amd64 com as versões 2.2.4 e 2.2.1
• Site do Autor: http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

O ATutor 2.2.4 é vulnerável a uploads arbitrários de arquivos por meio da função de backup, o que pode resultar em execução remota de comandos.

Primeiro, faça login com a conta de instrutor e selecione um curso:

• #1 http://[atutor address]/atutor/bounce.php?course=1

Em seguida, navegue até "Manage"

• #2 http://[atutor address]/atutor/tools/index.php

Depois selecione Backups/Upload

• #3 http://[atutor address]/atutor/mods/_core/backups/upload.php

A partir daqui, um arquivo zip de backup especialmente criado, ou seja, "pwned_backup.zip", pode ser carregado, resultando em execução remota de comandos.

O arquivo arbitrário do PoC pode ser encontrado em: http://[atutor address]/atutor/content/1/pwned/poc.PhP

ou

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

Nota: O "1" no endereço mudará de acordo com o número do curso, e o diretório "content" pode ser diferente. No entanto, por padrão, a instalação exige que o nome do diretório seja "content". Isso foi testado em instalações linux/windows.

• Uma cópia do arquivo zip do PoC (pwned_backup.zip) pode ser baixada: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File

Capturas de tela incluídas para mostrar as etapas exatas para reproduzir o exploit com sucesso.

Atualização: Não há correção para este problema; o ATutor não está mais sendo mantido. [22/05/19]

• A travessia de diretórios também é possível se o diretório content não estiver na raiz da web.

Para mais informações sobre uma prova de conceito de travessia de diretórios, consulte: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit/

    CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
    CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit