Moodle ha publicado 13 nuevas alertas de seguridad en las que se corrigen otras tantas vulnerabilidades con diversos efectos, desde los habituales XSS hasta inyección de código. Se ven afectadas todas las ramas soportadas (2.7, 2.6, 2.5 y 2.4) y anteriores, ya fuera de mantenimiento de seguridad.
Moodle, es conocida y ampliamente utilizada como plataforma educativa de código abierto que permite a los educadores crear y gestionar tanto usuarios como cursos de modalidad e-learning. Además proporciona herramientas para la comunicación entre formadores y alumnos.
12 de los 13 problemas anunciados son consideradas como serios, con CVE asociados del CVE-2014-3541 al CVE-2014-3553. Se incluyen diversas vulnerabilidades de Cross Site Scripting, XXE (XML External Entity) y de inyección de código.
Por otra parte un fallo en la autenticación Shibboleth podría permitir a un usuario tomar control sobre las sesiones de otros usuarios. Una vulnerabilidad podría permitir la obtención de nombres de usuario y cursos mediante la manipulación de «/user/edit.php» y otro problema en los foros podría permitir la escritura en grupos a los que no se tiene acceso.
Se han publicado las versiones 2.7.1, 2.6.4, 2.5.7 y 2.4.11 que solucionan todos los problemas y pueden descargarse desde su página oficial
Más información:
MSA-14-0020: Identity confusion in Shibboleth authentication
MSA-14-0021: Code injection in Repositories
MSA-14-0022: XML External Entity vulnerability in LTI module
MSA-14-0023: XML External Entity vulnerability in IMSCC and IMSCP
MSA-14-0024: Cross-site scripting vulnerability in profile field
MSA-14-0025: Remote code execution in Quiz
MSA-14-0026: Information leak in profile and notes pages
MSA-14-0027: Forum group posting issue
MSA-14-0028: Cross-site scripting possible in external badges
MSA-14-0029: Cross-site scripting vulnerability in exception dialogues
MSA-14-0030: Cross-site scripting through logs of failed logins
MSA-14-0031: Cross-site scripting though scheduled task error messages
MSA-14-0032: Cross-site scripting in advanced grading methods
Antonio Ropero
Twitter: @aropero
Deja un comentario