Moodle ha publicat correccions per a 16 vulnerabilitats, 8 d’elles crítiques. La seua explotació podria permetre l’execució de codi remot, accés a la informació i injecció de codi, entre altres.
Anàlisis
Les vulnerabilitats crítiques es descriuen a continuació:
-
- CVE-2024-43425: vulnerabilitat d’execució remota de codi a través de tipus de preguntes calculades. Es van necessitar restriccions addicionals per a evitar el risc, per la qual cosa es van afegir i/o actualitzar preguntes.
- Degut a falta de desinfecció, és possible la lectura d’arxius, la falsificació de peticions en llocs creuats, injecció SQL o Cross-site scripting. Açò afecta les vulnerabilitats CVE-2024-43426, CVE-2024-43434, CVE-2024-43436 y CVE-2024-43439.
- CVE-2024-43428: vulnerabilitat d’enverinament de la memòria cau en no requerir validació addicional de l’emmagatzematge local.
- CVE-2024-43431: una comprovació insuficient de les capacitats podria permetre eliminar insígnies a les quals un usuari no té permís d’accés.
- CVE-2024-43440: vulnerabilitat que podria provocar un risc d’inclusió d’arxius locals en restaurar còpies de seguretat en bloc.
Recursos afectats
Versions anteriors que no reben suport actualment i, a més:
-
- Versions 4.4 a 4.4.1
- Versions 4.3 a 4.3.5
- Versions 4.2 a 4.2.8
- Versions 4.1 a 4.1.11
Recomanacions
Actualitzar a les versions:
-
- 4.4.2
- 4.3.6
- 4.2.9
- 4.1.1
Referències
-
- https://moodle.org/security/
- https://moodle.org/mod/forum/discuss.php?d=461193
- https://moodle.org/mod/forum/discuss.php?d=461194
- https://moodle.org/mod/forum/discuss.php?d=461196
- https://moodle.org/mod/forum/discuss.php?d=461199
- https://moodle.org/mod/forum/discuss.php?d=461203
- https://moodle.org/mod/forum/discuss.php?d=461206
- https://moodle.org/mod/forum/discuss.php?d=461209
- https://moodle.org/mod/forum/discuss.php?d=461210
- https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-moodle-à