CSIRTCV

Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

24/07/2012

Múltiples vulnerabilidades corregidas en Moodle

Se han publicado 12 boletines de seguridad para Moodle que solucionan vulnerabilidades que podían permitir la denegación de servicio, ataques XSS, inyección de código HTML y JavaScript, salto de restricciones de seguridad y revelación de información sensible.

Riesgo: Alto

Moodle es una aplicación web del tipo LMS (Learning Management System), escrita en PHP que se utiliza para la gestión de cursos en línea. Está publicada bajo licencia GNU GPL y ha sido traducida a más de 91 idiomas. Además de la comunicación entre profesorado y alumnos, dispone de distintas herramientas, como la subida de ficheros, calendario y foros.

Se han dado a conocer 12 vulnerabilidades en total (del boletín MSA-12-0039 al MSA-12-0050), siendo calificadas 10 de estas como de importancia menor y dos de importancia seria. Prácticamente todas las versiones, desde la 2.3 a la 2.0 están afectadas por alguna, pero especialmente las versiones  2.2 y 2.1.

La mayoría de los boletines solucionan vulnerabilidades provocadas por una incorrecta validación de datos, lo que daba lugar a diferentes impactos. Especialmente importantes son los boletines MSA-12-0047 y MSA-12-0041 que podrían permitir inyección SQL y ataques XSS, respectivamente. Otras vulnerabilidades, aunque calificadas como menores, son especialmente fáciles de aprovechar, como MSA-12-0050 que puede causar una denegación de servicio sólo realizando una búsqueda avanzada en el sitio.

A continuación detallamos las vulnerabilidades, identificándolas por su numero de boletín y CVE.

Sistemas Afectados:

Las vulnerabilidades de los boletines MSA-12-0046MSA-12-0048 y MSA-12-0049 solo afectan a las versiones 2.3.x, 2.2.x, 2.1.x y 2.0.x.

Las versiones afectadas por los boletines MSA-12-0047 y MSA-12-0050 son las 2.2.x, 2.1.x y 2.0.x.

MSA-12-0040MSA-12-0041 afectan a las versiones 2.3.x y 2.2.x, mientras que los boletines MSA-12-0042MSA-12-0043MSA-12-0044MSA-12-0045 lo hacen a las versiones 2.2.x y 2.1.x.

Finalmente, MSA-12-0039 sólo afecta a la versión 2.3.x

Referencias:

CVE-2012-3387,CVE-2012-3388,CVE-2012-3389,CVE-2012-3390,CVE-2012-3391,CVE-2012-3392,CVE-2012-3393,CVE-2012-3394,CVE-2012-3395,CVE-2012-3396,CVE-2012-3397,CVE-2012-3398

Solución:

 

Estas vulnerabilidades ya se encuentran corregidas en la última versión del código disponible en los repositorios públicos para cada una de las versiones de Moodle.

 

Notas:
MSA-12-0039: File upload validation issue
http://moodle.org/mod/forum/discuss.php?d=207145
MSA-12-0040: Capabilities issue through caching
http://moodle.org/mod/forum/discuss.php?d=207146
MSA-12-0041: XSS issue in LTI module
http://moodle.org/mod/forum/discuss.php?d=207147
MSA-12-0042: File access issue in blocks
http://moodle.org/mod/forum/discuss.php?d=207148
MSA-12-0043: Early information access issue in forum
http://moodle.org/mod/forum/discuss.php?d=207149
MSA-12-0044: Capability check issue in forum subscriptions
http://moodle.org/mod/forum/discuss.php?d=207150
MSA-12-0045: Injection potential in admin for repositories
http://moodle.org/mod/forum/discuss.php?d=207151
MSA-12-0046: Insecure protocol redirection in LDAP authentication
http://moodle.org/mod/forum/discuss.php?d=207152
MSA-12-0047: SQL injection potential in Feedback module
http://moodle.org/mod/forum/discuss.php?d=207153
MSA-12-0048: Possible XSS in cohort administration
http://moodle.org/mod/forum/discuss.php?d=207154
MSA-12-0049: Group restricted activity displayed to all users
http://moodle.org/mod/forum/discuss.php?d=207155
MSA-12-0050: Potential DOS attack through database activity
http://moodle.org/mod/forum/discuss.php?d=207156
Fuente: Hispasec una-al-día

CSIRT-CV