ATutor 2.2.4 任意文件上传 / RCE (CVE-2019-12169)

• 漏洞标题: ATutor 2.2.4 任意文件上传 / RCE [CVE-2019-12169]
• 日期: 5/24/19
• 漏洞作者: liquidsky (JMcPeters)
• 厂商主页: https://atutor.github.io/
• 软件链接: https://sourceforge.net/projects/atutor/files/latest/download
• 版本: 2.2.4
• 测试环境: Windows 8 / Apache / MySQL (XAMPP)
• CVE : CVE-2019-12169 | https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12169
• 作者网站: http://incidentsecurity.com | https://github.com/fuzzlove

描述: ATutor 2.2.4 允许任意文件上传和目录遍历， 通过 ZIP 归档中的 ".." 路径名对 mods/_core/languages/language_import.php（即“导入新语言”）或 mods/_standard/patcher/index_admin.php（即“修补器”）组件导致远程代码执行。

致敬: wetw0rk, offsec ^^

备注: 此应用程序已不再维护，因此该问题没有修复方案。

更新: 如果你希望手动测试，我已附上 poc.zip 以便更好地理解。

• CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
• CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit