Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Moodle <= 2.6.6 Moodle <= 2.7.3 Moodle <= 2.8.1 Betroffene Plattformen: Red Hat Fedora 21 Extra Packages for Red Hat Enterprise Linux 6 Moodle überprüft Benutzereingaben nicht hinreichend und stellt verschiedene Funktionen und Dienste in unsicherer Weise bereit. Durch Ausnutzen dieser Schwachstellen kann ein entfernter, authentifizierter Benutzer, als Angreifer, unberechtigt Informationen erlangen, Befehle in fremdem Kontext ausführen oder Anwendern den Zugriff auf Inhalte verwehren. Für Fedora EPEL 6 und Fedora 21 werden Sicherheitsupdates in Form der aktualisierten Pakete moodle-2.6.8-1.el6, bzw. moodle-2.7.5-1.fc21 (beide im Status "testing") bereitgestellt. Patch: Fedora Security Update FEDORA-2015-1751 https://admin.fedoraproject.org/updates/FEDORA-2015-1751/moodle-2.7.5-1.fc21

Patch:

Fedora Security Update FEDORA-EPEL-2015-0641

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-0641/moodle-2.6.8-1.el6

CVE-2015-0218: Schwachstelle im Moodle Shibboleth Authentication Plug-In

Das Moodle Shibboleth Authentication Plug-In behandelt Anfragen zur
Abmeldung von Benutzern über Shibboleth in unsicherer Weise und es kann die
Abmeldung auch solcher Anwender erzwungen werden, die nicht über Shibbileth
authentifiziert wurden. Ein entfernter, authentisierter Benutzer, als
Angreifer, kann diese Schwachstelle ausnutzen, um Benutzern den Zugang zum
Dienst zu versagen.

CVE-2015-0217: Denial-of-Service-Schwachstelle im Moodle Multimedia-Filter

Im Moodle Multimedia-Filter wird ein regulärer Ausdruck in unsicherer Weise
gesetzt und kann erhöhte Last auf dem Server oder die Unzugänglichkeit einer
bestimmten Seite auslösen. Ein entfernter, authentifizierter Benutzer, als
Angreifer, kann diese Schwachstelle ausnutzen, um Anwendern den Zugriff auf
Inhalte zu verwehren.

CVE-2015-0216: Schwachstelle in Moodle erlaubt Cross-Site-Scripting

In Moodle werden Benutzer mit den Rechten Lerneinheiten zu bewerten nicht
als mit einem Cross-Site-Scripting-Risiko behaftet behandelt und ihr
Feedback ungefiltert wiedergegeben. Ein entfernter, authentifizierter
Benutzer, als Angreifer, kann diese Schwachstelle ausnutzen, um Befehle im
fremden Benutzerkontext auszuführen (XSS).

CVE-2015-0215: Schwachstelle in den Kalenderfunktionen der Moodle
Web-Services

Die Moodle Web-Services überprüfen Berechtigungen für Kalenderfunktionen
nicht hinreichend, so dass es möglich ist, auch ohne entsprechende
Berechtigungen Kalendereinträge einzusehen. Ein entfernter,
authentifizierter Benutzer, als Angreifer, kann diese Schwachstelle
ausnutzen, um unberechtigten Zugriff auf Informationen zu erhalten.

CVE-2015-0214: Schwachstelle in den Messaging-Funktionen der Moodle
Web-Services

Die Moodle Web-Services behandeln Messaging-bezogene Funktionen wie z. B.
die Personensuche in unsicherer Weise, so dass es möglich ist, auch bei
deaktiviertem Messaging auf jene zuzugreifen. Ein entfernter,
authentifizierter Benutzer, als Angreifer, kann diese Schwachstelle
ausnutzen, um unberechtigten Zugriff auf Informationen zu erhalten.

CVE-2015-0213: Schwachstelle im Moodle Glossary Modul erlaubt
Cross-Site-Request-Forgery

In zwei Dateien des Moodle Glossary Moduls wird das Vorliegen von
Sitzungsschlüsseln nicht überprüft. Ein entfernter, authentifizierter
Benutzer, als Angreifer, kann diese Schwachstelle ausnutzen, um Befehle in
fremdem Anwendungskontext zur Ausführung zu bringen (CSRF).

CVE-2015-0212: Schwachstelle in Moodle erlaubt Cross-Site-Scripting

In Moodle wird die Kurszusammenfassung einer auf Bestätigung wartenden
Kursanfrage (moodle/course:request) dem Manager ungefiltert angezeigt. Ein
entfernter, authentifizierter Benutzer, als Angreifer, kann diese
Schwachstelle ausnutzen, um Befehle im fremden, möglicherweise mit
erweiterten Rechten ausgestatteten Benutzerkontext auszuführen (XSS).

CVE-2015-0211: Schwachstelle im Moodle LTI-Modul erlaubt Ausspähen von
Informationen

Das AJAX Backend-Script des LTI-Moduls überprüft Berechtigungen nicht, so
dass jeder Benutzer die Liste registrierter Anwendungen einsehen kann. Ein
entfernter, authentifizierter Benutzer, als Angreifer, kann diese
Schwachstelle ausnutzen, um potentiell sicherheitskritische Informationen zu
erlangen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0154/

Fedora Security Update FEDORA-2015-1751:
https://admin.fedoraproject.org/updates/FEDORA-2015-1751/moodle-2.7.5-1.fc21

Fedora Security Update FEDORA-EPEL-2015-0641:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-0641/moodle-2.6.8-1.el6

Schwachstelle CVE-2015-0211 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0211

Schwachstelle CVE-2015-0212 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0212

Schwachstelle CVE-2015-0213 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0213

Schwachstelle CVE-2015-0214 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0214

Schwachstelle CVE-2015-0215 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0215

Schwachstelle CVE-2015-0216 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0216

Schwachstelle CVE-2015-0217 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0217

Schwachstelle CVE-2015-0218 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0218

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.