Avis du CERT-FR
Objet : Vulnérabilités dans Moodle
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Injection de code indirecte à distance
- Injection de requêtes illégitimes par rebond (CSRF)
Systèmes affectés
Moodle, versions antérieures à la version 1.8.13 (branche 1.8) et à la version 1.9.9 (branche 1.9).
Résumé
Plusieurs vulnérabilités présentes dans Moodle permettent de réaliser de l'injection de code indirecte, de l'injection de requêtes illégitimes par rebond et des atteintes à l'intégrité des données.
Description
Plusieurs vulnérabilités sont présentes dans Moodle :
- quand les identifiants des utilisateurs peuvent comporter des caractères non ASCII, une interface de contrôle d'accès permet l'injection de code indirecte ;
- un défaut de filtrage des entrées dans le module de blog permet l'injection de code indirecte ;
- un défaut de filtrage des URI VBscript permet à un utilisateur malveillant ayant un compte de réaliser l'injection de code indirecte ;
- un défaut de vérification dans un module de quizz permet d'injecter des requêtes illégitimes par rebond et de détruire des données.
Solution
Migrer en version 1.8.13 ou 1.9.9.
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Moodle MSA-10-0010 du 17 juin 2010 :
http://www.moodle.org/mod/forum/discuss.php?d=152366 -
Bulletin de sécurité Moodle MSA-10-0011 du 17 juin 2010 :
http://www.moodle.org/mod/forum/discuss.php?d=152367 -
Bulletin de sécurité Moodle MSA-10-0012 du 17 juin 2010 :
http://www.moodle.org/mod/forum/discuss.php?d=152368 -
Bulletin de sécurité Moodle MSA-10-0013 du 17 juin 2010 :
http://www.moodle.org/mod/forum/discuss.php?d=152369 -
Référence CVE CVE-2010-2228
https://www.cve.org/CVERecord?id=CVE-2010-2228 -
Référence CVE CVE-2010-2229
https://www.cve.org/CVERecord?id=CVE-2010-2229 -
Référence CVE CVE-2010-2230
https://www.cve.org/CVERecord?id=CVE-2010-2230 -
Référence CVE CVE-2010-2231
https://www.cve.org/CVERecord?id=CVE-2010-2231
Gestion détaillée du document
| Date | Description |
|---|---|
| 22 juin 2010 | version initiale. |
| 29 juin 2010 | ajout des références CVE. |