Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (24.12.2015):
Für Fedora EPEL 7 steht ein neues Sicherheitsupdate in Form des Paketes
moodle-3.0.1-1.el7 im Status ‘testing’ zur Verfügung. Das zuvor
veröffentlichte Update FEDORA-EPEL-2015-04215ad374 wurde in den Status
‘obsolete’ überführt.
Version 1 (07.12.2015):
Neues Advisory
Betroffene Software:
Moodle <= 2.7.10 Moodle <= 2.8.8 Moodle <= 2.9.2 Betroffene Plattformen: Red Hat Fedora 22 Red Hat Fedora 23 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstelle in Moodle ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausspähen von Informationen, Durchführen von Cross-Site-Request-Forgery (CSRF)- und Denial-of-Service (DoS)-Angriffen. Zusätzlich kann ein entfernter, einfach authentifizierter Angreifer Sicherheitsvorkehrungen umgehen, Privilegien eskalieren, Dateien manipulieren, Denial-of-Service (DoS) und Cross-Site-Scripting (XSS)-Angriffe durchführen. Die 7 Schwachstellen CVE-2015-5264, CVE-2015-5265, CVE-2015-5266, CVE-2015-5267, CVE-2015-5272, CVE-2015-5268 und CVE-2015-5269 wurden bereits mit den Moodle Releases 2.9.2, 2.8.8 und 2.7.10 behoben. Die 10 Schwachstellen CVE-2015-5331, CVE-2015-5332, CVE-2015-5335, CVE-2015-5336, CVE-2015-5337, CVE-2015-5338, CVE-2015-5339, CVE-2015-5340, CVE-2015-5341 und CVE-2015-5342 werden erstmalig mit den aktuellen Moodle Releases 3.0, 2.9.3, 2.8.9 und 2.7.11 behoben. Für Fedora 22 und 23 sowie EPEL 6, 7 werden Sicherheitsupdates auf die jeweils aktuellen Moodle Releases in Form der Pakete moodle-2.7.11-1.el6, moodle-2.8.9-1.fc22, moodle-2.9.3-1.fc23 und moodle-3.0-1.el7 im Status 'testing' zur Verfügung gestellt, wodurch alle 17 Schwachstellen adressiert werden. Patch: Fedora Security Update FEDORA-2015-2ebdd4ad8f (Fedora 22, Moodle 2.8.9) https://bodhi.fedoraproject.org/updates/FEDORA-2015-2ebdd4ad8f
Patch:
Fedora Security Update FEDORA-2015-98fc0d20ad (Fedora 23, Moodle 2.9.3)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-98fc0d20ad
Patch:
Fedora Security Update FEDORA-EPEL-2015-da771a002d (EPEL 6, Moodle 2.7.11)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-da771a002d
Patch:
Moodle 2.7.10 Release Notes
https://docs.moodle.org/dev/Moodle_2.7.10_release_notes
Patch:
Moodle 2.7.11 Release Notes
https://docs.moodle.org/dev/Moodle_2.7.11_release_notes
Patch:
Moodle 2.8.8 Release Notes
https://docs.moodle.org/dev/Moodle_2.8.8_release_notes
Patch:
Moodle 2.8.9 Release Notes
https://docs.moodle.org/dev/Moodle_2.8.9_release_notes
Patch:
Moodle 2.9.2 Release Notes
https://docs.moodle.org/dev/Moodle_2.9.2_release_notes
Patch:
Moodle 2.9.3 Release Notes
https://docs.moodle.org/dev/Moodle_2.9.3_release_notes
Patch:
Moodle 3.0 Announcement
https://moodle.org/mod/forum/discuss.php?d=323243
Patch:
Fedora Security Update FEDORA-EPEL-2015-fe8f5408df (Fedora EPEL 7)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-fe8f5408df
CVE-2015-5342: Schwachstelle in Moodle ermöglicht Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in Moodle ermöglicht das Umgehen des “Choice Module
Closing” Datums. Benutzer können mittels einer präparierten URL, auch
nachdem das Datum zur Auswahl eines Moduls bereits überschritten ist,
Antworten löschen und neue Antworten übermitteln. Ein entfernter, einfach
authentifizierter Angreifer kann Sicherheitsvorkehrungen umgehen und in der
Folge Daten manipulieren.
CVE-2015-5341: Schwachstelle in Moodle ermöglicht Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in Moodle existiert aufgrund einer fehlerhaften oder
fehlenden Behandlung der Verfügbarkeitsdaten (‘availability dates’) in
‘mod_scorm’. Dadurch können Benutzer durch Umgehen der beabsichtigten
Datumsbeschränkungen SCORM-Inhalte ansehen. Ein entfernter, einfach
authentifizierter Angreifer kann Informationen ausspähen.
CVE-2015-5340: Schwachstelle in Moodle ermöglicht Ausspähen von
Informationen
Eine Schwachstelle in Moodle existiert aufgrund unzureichender Durchsetzung
des ‘moodle/badges:viewbadges’ Flags. Ein eingeloggter Benutzer, der nicht
das Recht ‘View available badges without earning them’ besitzt, kann dennoch
die komplette Liste der Badges sehen. Ein entfernter, einfach
authentifizierter Angreifer kann Informationen ausspähen.
CVE-2015-5339: Schwachstelle in Moodle ermöglicht Ausspähen von
Informationen
Eine Schwachstelle im Web Service ‘core_enrol_get_enrolled_users’ von Moodle
existiert, da dieser den ‘course group mode’ nicht respektiert. Dadurch ist
es möglich eine Liste von Kursteilnehmern zu erhalten, die über die Webseite
nicht sichtbar sein würden, weil sie etwa zu unterschiedlichen Gruppen
gehören. Ein entfernter, einfach authentifizierter Angreifer kann
Informationen ausspähen.
CVE-2015-5338: Schwachstelle in Moodle ermöglicht Cross-Site-Request-Forgery
Eine Schwachstelle existiert im Login-Formular des passwortgeschützten
Unterrichtungsmoduls von Moodle. Ein entfernter, nicht authentifizierter
Angreifer kann einen Cross-Site-Request-Forgery (CSRF)-Angriff durchführen.
CVE-2015-5337: Schwachstelle in Moodle ermöglicht Cross-Site-Scripting
Eine Schwachstelle existiert im Flowplayer Flash Video Player in Moodle. Ein
entfernter, einfach authentifizierter Angreifer kann einen Reflected
Cross-Site-Scripting (XSS)-Angriff durchführen.
CVE-2015-5336: Schwachstelle in Moodle ermöglicht Cross-Site-Scripting
Eine Cross-Site-Scripting-Schwachstelle existiert im Standard-Umfragemodul
von Moodle (‘standard survey module’). Dadurch kann ein Student beim
Ausfüllen einer Umfrage aktive Inhalte einschleusen. Ein entfernter, einfach
authentifizierter Angreifer kann einen Cross-Site-Scripting (XSS)-Angriff
durchführen.
CVE-2015-5335: Schwachstelle in Moodle ermöglicht Cross-Site-Request-Forgery
Eine Schwachstelle in Moodle existiert aufgrund eines unzureichenden
Schutzes gegen Cross-Site-Request-Forgery im Site Registrierungsformular
(‘site registration form”). Dadurch ist es möglich, einen Administrator
durch Zusendung eines Links für das Site Registrierungsformular zu
überlisten, wobei die korrekte URL angezeigt wird, die Registierung dann
aber mit einem anderen Hub erfolgt. Ein entfernter, nicht authentifizierter
Angreifer kann einen Cross-Site-Request-Forgery (CSRF)-Angriff durchführen
und dadurch die Übermittlung von gesammelten Statistiken an beliebige
Domains erschleichen.
CVE-2015-5332: Schwachstelle in Moodle ermöglicht Denial-of-Service
Eine Schwachstelle existiert in ‘Atto’ in Moodle, wenn der Gastzugang zur
Webseite offen ist. Gäste können diese Schwachstelle ausnutzen, um
schädliche Inhalte in der sogenannten ‘editor autosave area’ zu speichern.
Ein entfernter, nicht authentifizierter Angreifer kann einen Distributed
Denial-of-Service (DDoS)-Angriff durchführen.
CVE-2015-5331: Schwachstelle in Moodle ermöglicht Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in Moodle existiert aufgrund unzureichender
Berücksichtigung der Benutzereinstellungen. Dadurch ist es möglich, dass ein
Benutzer, der nicht in der Kontaktliste eines anderen Benutzers eingetragen
ist, diesem Nachrichten selbst dann senden kann, wenn der Empfänger das in
den Einstellungen ausgeschlossen hat. Ein entfernter, einfach
authentifizierter Angreifer kann somit Sicherheitsvorkehrungen umgehen.
CVE-2015-5272: Schwachstelle in Moodle ermöglicht Privilegieneskalation
Eine Schwachstelle in Moodle existiert aufgrund unzureichender Überprüfung
der Gruppenzugriffsrechte, wenn in einem Form an “alle Teilnehmer” gepostet
wird. Dadurch können Lehrer (‘teacher’), die nicht über das Recht
‘accessallgroups’ verfügen dennoch an “all participants” und an Gruppen
posten, in denen sie nicht Mitglied sind. Ein entfernter, einfach
authentifizierter Angreifer kann seine Privilegien eskalieren.
CVE-2015-5269: Schwachstelle in Moodle ermöglicht Cross-Site-Scripting
Eine Cross-Site-Scripting-Schwachstelle existiert in der Gruppenbeschreibung
in Moodle. Für die Möglichkeit Gruppen zu administrieren besteht allerdings
kein XSS-Risiko. Ein entfernter, einfach authentifizierter Angreifer kann
einen Cross-Site-Scripting (XSS)-Angriff durchführen.
CVE-2015-5268: Schwachstelle in Moodle ermöglicht Ausspähen von
Informationen
Eine Schwachstelle in der Rating-Komponente von Moodle existiert aufgrund
unzureichender Prüfung auf unterschiedliche Gruppen. Dadurch können Benutzer
einer Gruppe auch die Ratings einer anderen Gruppen ansehen. Ein entfernter,
einfach authentifizierter Angreifer kann Informationen ausspähen.
CVE-2015-5267: Schwachstelle in Moodle ermöglicht Ausspähen von
Informationen
Eine Schwachstelle in Moodle existiert im Mechanismus zur Wiederherstellung
von Passwörtern (‘password recovery mechanism’). Aufgrund begrenzter
PHP-Zufallszahlenerzeugung (‘php randomisation limitations’) ist es möglich
ein Password Recovery Token zu erraten. Ein entfernter, nicht
authentifizierter Angreifer kann sensible Informationen ausspähen.
CVE-2015-5266: Schwachstelle in Moodle ermöglicht Privilegieneskalation
Eine Schwachstelle in Moodle existiert für große Installationen, wenn
Synchronisierungsskripte lange Zeit benötigten. Dadurch kann es passieren,
dass suspendierten Studenten für etliche Minuten eine Managerrolle in einem
Meta-Kurs zugewiesen wird und außerdem die Datenbank erheblich wächst. Ein
entfernter, einfach authentifizierter Angreifer kann seine Privilegien
erweitern und einen Denial-of-Service-Angriff durchführen.
CVE-2015-5265: Schwachstelle in Moodle ermöglicht Denial-of-Service
Eine Schwachstelle in Moodle existiert aufgrund einer unzureichenden
Rechtebeschränkung für den Dateimanagerzugriff im Wiki über den Texteditor.
Dadurch können Benutzer Dateien löschen, die von anderen Benutzern in das
Wiki hochgeladen wurden, ohne eigentlich über die Möglichkeit zu verfügen,
Dateien zu administrieren. Ein entfernter, einfach authentifizierter
Angreifer kann einen partiellen Denial-of-Service-Zustand herbeiführen.
CVE-2015-5264: Schwachstelle in Moodle ermöglicht die Manipulation von Daten
Eine Schwachstelle in Moodle existiert aufgrund eines fehlenden Schutzes von
bereits abgeschlossenen und bewerteten Unterrichtsaktivitäten (‘completed
and graded lesson activity’) gegen erneute Versuche Fragen zu beantworten.
Dadurch kann ein Student erneut versuchen, Fragen zu einer
Unterrichtseinheit (‘lesson’) zu beantworten. Ein entfernter, einfach
authentifizierter Angreifer, kann Daten manipulieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1872/
Schwachstelle CVE-2015-5264 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5264
Schwachstelle CVE-2015-5265 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5265
Schwachstelle CVE-2015-5266 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5266
Schwachstelle CVE-2015-5272 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5272
Schwachstelle CVE-2015-5267 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5267
Schwachstelle CVE-2015-5268 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5268
Schwachstelle CVE-2015-5269 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5269
Schwachstelle CVE-2015-5331 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5331
Schwachstelle CVE-2015-5332 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5332
Schwachstelle CVE-2015-5335 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5335
Schwachstelle CVE-2015-5336 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5336
Schwachstelle CVE-2015-5337 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5337
Schwachstelle CVE-2015-5338 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5338
Schwachstelle CVE-2015-5339 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5339
Schwachstelle CVE-2015-5340 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5340
Schwachstelle CVE-2015-5341 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5341
Schwachstelle CVE-2015-5342 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5342
Fedora Security Update FEDORA-2015-2ebdd4ad8f (Fedora 22, Moodle 2.8.9):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-2ebdd4ad8f
Fedora Security Update FEDORA-2015-98fc0d20ad (Fedora 23, Moodle 2.9.3):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-98fc0d20ad
Fedora Security Update FEDORA-EPEL-2015-da771a002d (EPEL 6, Moodle 2.7.11):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-da771a002d
Moodle 2.7.10 Release Notes:
https://docs.moodle.org/dev/Moodle_2.7.10_release_notes
Moodle 2.7.11 Release Notes:
https://docs.moodle.org/dev/Moodle_2.7.11_release_notes
Moodle 2.8.8 Release Notes:
https://docs.moodle.org/dev/Moodle_2.8.8_release_notes
Moodle 2.8.9 Release Notes:
https://docs.moodle.org/dev/Moodle_2.8.9_release_notes
Moodle 2.9.2 Release Notes:
https://docs.moodle.org/dev/Moodle_2.9.2_release_notes
Moodle 2.9.3 Release Notes:
https://docs.moodle.org/dev/Moodle_2.9.3_release_notes
Moodle 3.0 Announcement:
https://moodle.org/mod/forum/discuss.php?d=323243
Moodle Security Advisory MSA-15-0030:
https://moodle.org/mod/forum/discuss.php?d=320287
Moodle Security Advisory MSA-15-0031:
https://moodle.org/mod/forum/discuss.php?d=320288
Moodle Security Advisory MSA-15-0032:
https://moodle.org/mod/forum/discuss.php?d=320289
Moodle Security Advisory MSA-15-0033:
https://moodle.org/mod/forum/discuss.php?d=320290
Moodle Security Advisory MSA-15-0034:
https://moodle.org/mod/forum/discuss.php?d=320291
Moodle Security Advisory MSA-15-0035:
https://moodle.org/mod/forum/discuss.php?d=320292
Moodle Security Advisory MSA-15-0036:
https://moodle.org/mod/forum/discuss.php?d=320293
Moodle Security Advisory MSA-15-0037:
https://moodle.org/mod/forum/discuss.php?d=323228
Moodle Security Advisory MSA-15-0038:
https://moodle.org/mod/forum/discuss.php?d=323229
Moodle Security Advisory MSA-15-0039:
https://moodle.org/mod/forum/discuss.php?d=323230
Moodle Security Advisory MSA-15-0040:
https://moodle.org/mod/forum/discuss.php?d=323231
Moodle Security Advisory MSA-15-0041:
https://moodle.org/mod/forum/discuss.php?d=323232
Moodle Security Advisory MSA-15-0042:
https://moodle.org/mod/forum/discuss.php?d=323233
Moodle Security Advisory MSA-15-0043:
https://moodle.org/mod/forum/discuss.php?d=323234
Moodle Security Advisory MSA-15-0044:
https://moodle.org/mod/forum/discuss.php?d=323235
Moodle Security Advisory MSA-15-0045:
https://moodle.org/mod/forum/discuss.php?d=323236
Moodle Security Advisory MSA-15-0046:
https://moodle.org/mod/forum/discuss.php?d=323237
Fedora Security Update FEDORA-EPEL-2015-fe8f5408df (Fedora EPEL 7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2015-fe8f5408df
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
