Actualización de Moodle para Debian Linux

Debian ha publicado una actualización del paquete moodle que soluciona múltiples vulnerabilidades.

Moodle es un gestor de cursos educativos de aprendizaje en línea libre. Es modular y orientado a objetos, está escrito en el lenguaje PHP. Moodle fue creado por Martin Dougiamas, el cual trabajó como administrador de WebCT, plataforma educativa propietaria similar a Moodle.

Además de los fallos de seguridad se soluciona un error de regresión introducido en la actualización anterior. El error reside en la falta de inclusión de la dependencia del paquete wwwconfig-common.

Los fallos en orden de CVE corregidos son los siguientes:

CVE-2010-1613

Existe un error de comprobación de restricciones que podría permitir a un atacante remoto acceder a la plataforma a través del uso del ID de sesión del usuario objeto del ataque.

CVE-2010-1614

Existe un error de comprobación de restricciones que podría permitir a un atacante remoto inyectar código (html o javascript) a través de un ataque XSS.

CVE-2010-1615

Existen varios errores de comprobación de restricciones en ‘mod/wiki/view.php’ y en ‘lib/form/selectgroups.php’. Esto podría ser aprovechado por un atacante remoto para ejecutar consultas SQL arbitrarias a través de una petición http especialmente manipulada.

CVE-2010-1616

Existe un error de comprobación de restricciones que permitiría a ciertos usuarios sin permisos ‘moodle/user:create’ crear nuevas cuentas a través de vectores no especificados.

CVE-2010-1617

Existe un error de comprobación de restricciones en ‘user/view.php’. Esto podría permitir a un usuario autenticado revelar datos personales de otro usuario a través de la página ‘perfil del curso’.

CVE-2010-1618

Existe un error al procesar ciertas urls en la librería ‘phpCAS’. Esto podría ser aprovechado por un usuario remoto para inyectar código (HTML, javascript) a través de una url especialmente diseñada.

CVE-2010-1619

Existe un error de comprobación de restricciones en la función ‘fix_non_standard_entities’ de la librería ‘weblib.php’. Esto podría permitir a un atacante remoto inyectar código (html, javascript) a través de una petición http especialmente diseñada

CVE-2010-2228
Existe un error de comprobación de restricciones en la interfaz de control de acceso ‘MNET’. Esto podría ser aprovechado por un atacante remoto para inyectar código (html, javascript) a través del uso de caracteres extendidos en el nombre de usuario

CVE-2010-2229

Existe un error de comprobación de restricciones en ‘blog/index.php’ que podría permitir a un atacante remoto inyectar código (html, javascript) a través de vectores no especificados.

CVE-2010-2230

Existe un error de comprobación de restricciones al procesar urls vbscript en la librería ‘lib/weblib.php’. Esto podría permitir a un atacante remoto inyectar código (html, javascript) a través de una entrada html especialmente diseñada.

CVE-2010-2231

Existe un error de comprobación de restricciones en ‘report/overview/report.php’. Esto podría permitir a un atacante remoto eliminar información sobre el número de intentos de un test a través de un ataque CSRF.