UPDATE: DFN-CERT-2014-0945 Moodle: Mehrere Schwachstellen ermöglichen die Ausführung von beliebigem Programmcode [Linux][Fedora]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (23.07.2014):
Für Fedora EPEL 6 wurde ein Sicherheitsupdate bereitgestellt.
Version 1 (22.07.2014):
Neues Advisory

Betroffene Software:

Moodle <= 2.4.10 Moodle <= 2.5.6 Moodle <= 2.6.3 Moodle <= 2.7 Betroffene Plattformen: Red Hat Fedora 19 Red Hat Fedora 20 Extra Packages for Red Hat Enterprise Linux 6 Mehrere Schwachstellen in Moodle ermöglichen einem entfernten und zumeist nicht authentifizierten Angreifer, die Ausführung von beliebigen Programmcode, die Durchführung von XXE- und Cross-Side-Scripting-Angriffen sowie das Umgehen von Sicherheitsvorkehrungen und das Ausspähen von Informationen. Patch: Fedora Security Update FEDORA-2014-8601 https://admin.fedoraproject.org/updates/FEDORA-2014-8601/moodle-2.5.7-1.fc20

Patch:

Fedora Security Update FEDORA-2014-8609

https://admin.fedoraproject.org/updates/FEDORA-2014-8609/moodle-2.4.11-1.fc19

Patch:

Moodle Announcement

https://moodle.org/mod/forum/discuss.php?d=263858%20http://seclists.org/oss-sec/2014

Patch:

Fedora Security Update FEDORA-EPEL-2014-1980

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-1980/moodle-2.4.11-1.el6

CVE-2014-3553: Umgehung von Gruppenberechtigungen in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle kann durch einen
entfernten, authentisierten Angreifer zum Umgehen von
Sicherheitsvorkehrungen ausgenutzt werden.

CVE-2014-3552: Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Das ‘single-sign in’-System Shibboleth
erlaubt leere Session IDs und bringt Sessions durcheinander, wenn mehr als
eine Instanz mit einer leeren Session ID assoziiert ist. Ein entfernter, am
System angemeldeter Benutzer, kann darüber die Session eines anderen
Anwenders übernehmen.

CVE-2014-3551: Cross-Site-Scripting-Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle prüft Eingaben und
Inhalte von Bewertungsfeldern unzureichend. Ein entfernter, nicht
authentisierter Angreifer kann dieses Verhalten für einen
Cross-Site-Scripting-Angriff ausnutzen.

CVE-2014-3550: Cross-Site-Scripting-Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle protokolliert Fehler,
die durch geplante Aufgaben verursacht werden, falsch und präsentiert diese
fehlerhaft. Ein entfernter, nicht authentisierter Angreifer kann dieses
Verhalten für einen Cross-Side-Scripting-Angriff ausnutzen.

CVE-2014-3549: Cross-Site-Scripting-Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle behandelt die
Protokollierung von fehlgeschlagenen Login-Versuchen fehlerhaft. Dieses kann
durch einen entfernten, nicht authentisierten Angreifer für einen
Cross-Site-Scripting-Angriff ausgenutzt werden.

CVE-2014-3548: Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle filtert die Ausgabe
von AJAX (Asynchronous JavaScript & XML) Dialogen unzureichend, bevor diese
dem Nutzer präsentiert wird. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle zum Ausspähen von Informationen ausnutzen.

CVE-2014-3547: Cross-Site-Scripting-Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Es werden Details von URLs externer
Quellen nicht ausreichend geprüft, so dass ein nicht authentisierter,
entfernter Angreifer diese Schwachstelle zu einem
Cross-Site-Scripting-Angriff ausnutzen kann.

CVE-2014-3546: Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Ein entfernter, nicht authentisierter
Angreifer kann durch Veränderung der Profil URL unberechtigt Nutzerdaten
ausspähen.

CVE-2014-3545: Ausführen von beliebigem Programmcode in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Ein entfernter, nicht authentisierter
Angreifer kann die Schwachstelle mittels manipulierter Antworteingaben in
‘Quiz’ zum Ausführen von beliebigen Programmcode ausnutzen.

CVE-2014-3544: Cross-Site-Sripting-Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle kann von einen
entfernten, nicht authentisierten Angreifer, durch Verwendung eines
veränderten Skype Profils, zu einem Cross-Site-Scripting-Angriff ausgenutzt
werden.

CVE-2014-3543: XXE-Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Ein entfernter, nicht authentisierter
Angreifer kann, durch das Hochladen von veränderten XML-Dateien im
IMSCC-Format die Schwachstelle zu einem XXE-Angriff ausnutzen.

CVE-2014-3542: XXE-Schwachstelle in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle kann ein entfernter,
nicht authentisierter Angreifer, mit Hilfe von veränderten XML-Dateien eines
LTI (Light Touch Installation) Servers, für einen “XML eXternal Entities
(XXE)”-Angriff ausnutzen.

CVE-2014-3541: Ausführen von beliebigem Programmcode in Moodle

Es besteht eine Schwachstelle in den Moodle Versionen 2.4 bis 2.4.10, 2.5
bis 2.5.6, 2.6 bis 2.6.3 sowie 2.7. Die Schwachstelle prüft Einträge in
Repositories unzureichend und kann durch einen entfernten, nicht
authentisierten Angreifer zum Einschleusen von beliebigen Programmcode
ausgenutzt werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0945/

Fedora Security Update FEDORA-2014-8601:
https://admin.fedoraproject.org/updates/FEDORA-2014-8601/moodle-2.5.7-1.fc20

Fedora Security Update FEDORA-2014-8609:
https://admin.fedoraproject.org/updates/FEDORA-2014-8609/moodle-2.4.11-1.fc19

Moodle Announcement:
https://moodle.org/mod/forum/discuss.php?d=263858%20http://seclists.org/oss-sec/2014

Schwachstelle CVE-2014-3541 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3541

Schwachstelle CVE-2014-3542 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3542

Schwachstelle CVE-2014-3543 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3543

Schwachstelle CVE-2014-3544 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3544

Schwachstelle CVE-2014-3545 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3545

Schwachstelle CVE-2014-3546 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3546

Schwachstelle CVE-2014-3547 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3547