ATutor-Instructor-Backup-Exploit

• Название эксплойта: ATutor 2.2.4 'Backup' Remote Command Execution (CVE-2019-12170)
• Google Dork: inurl:/ATutor/login.php
• Дата: 5/13/2019
• Автор эксплойта: liquidsky (Joseph McPeters)
• Домашняя страница разработчика: https://atutor.github.io/
• Ссылка на ПО: https://sourceforge.net/projects/atutor/files/latest/download
• Версия: < 2.2.4 (Версии 2.2.4 и более ранние, по-видимому, уязвимы)
• Протестировано на: Windows 7 с XAMPP / Linux 3.16.0-4-amd64 с версиями 2.2.4 и 2.2.1
• Сайт автора: http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

ATutor 2.2.4 уязвим к произвольной загрузке файлов через функцию резервного копирования, что может привести к удаленному выполнению команд.

Сначала войдите под учетной записью инструктора и выберите курс:

• #1 http://[atutor address]/atutor/bounce.php?course=1

Затем перейдите в «Управление»

• #2 http://[atutor address]/atutor/tools/index.php

Далее выберите «Резервные копии» / «Загрузить»

• #3 http://[atutor address]/atutor/mods/_core/backups/upload.php

Отсюда можно загрузить специально подготовленный zip-файл резервной копии, например "pwned_backup.zip", что приведет к удаленному выполнению команд.

Файл PoC произвольной загрузки можно найти по адресу: http://[atutor address]/atutor/content/1/pwned/poc.PhP

или

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

Примечание: «1» в адресе будет меняться в зависимости от номера курса, а каталог «content» может отличаться. Однако по умолчанию установка требует имя каталога «content». Это было протестировано на установках как Linux, так и Windows.

• Копия PoC zip-файла (pwned_backup.zip) доступна для скачивания: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File

Прилагаются скриншоты, демонстрирующие точные шаги для успешного воспроизведения эксплойта.

Обновление: Исправления для этой проблемы нет, ATutor больше не поддерживается. [5/22/19]

• Также возможен обход каталогов (directory traversal), если каталог content не находится в корневой папке веб-сервера.

Для получения дополнительной информации о концепции обхода каталогов посетите: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit/

    CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
    CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit