Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (21.09.2017):
Für Fedora 25 und Fedora EPEL 7 stehen die Pakete ‘moodle-3.1.8-1.fc25’
und ‘moodle-3.1.8-1.el7’ im Status ‘pending’ und für Fedora 26 das Paket
‘moodle-3.2.5-1.fc26’ im Status ‘testing’ als Sicherheitsupdates bereit.
Version 1 (19.09.2017):
Neues Advisory

Betroffene Software:

Moodle < 3.1.8 Moodle < 3.2.5 Moodle < 3.3.2 Betroffene Plattformen: GNU/Linux Red Hat Fedora 25 Red Hat Fedora 26 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen in Moodle ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes und einem entfernten, einfach authentisierten Angreifer das Ausspähen von Informationen sowie die Durchführung eines Cross-Site-Scripting (XSS)-Angriffs. Moodle hat die Programmversionen 3.1.8, 3.2.5 und 3.3.2 als Sicherheitsupdates bereitgestellt, um die Schwachstellen zu beheben. Patch: Moodle 3.1.8 Release Notes https://docs.moodle.org/dev/Moodle_3.1.8_release_notes

Patch:

Moodle 3.2.5 Release Notes

https://docs.moodle.org/dev/Moodle_3.2.5_release_notes

Patch:

Moodle 3.3.2 Release Notes

https://docs.moodle.org/dev/Moodle_3.3.2_release_notes

Patch:

Fedora Security Update FEDORA-2017-9a452dc893 (Fedora 26,
moodle-3.2.5-1.fc26)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-9a452dc893

Patch:

Fedora Security Update FEDORA-2017-c840f79347 (Fedora 25,
moodle-3.1.8-1.fc25)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-c840f79347

Patch:

Fedora Security Update FEDORA-EPEL-2017-8da6477f0a (Fedora EPEL 7,
moodle-3.1.8-1.el7)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-8da6477f0a

MSA-17-0020: Schwachstelle in Moodle ermöglicht Ausführen beliebigen
Programmcodes

Die Verzeichnisse ‘vendor/’ und ‘node_modules/’ werden von dem Werkzeug
PHPUnit während der Entwicklung von Moodle erstellt und können aufgrund der
Schwachstelle CVE-2017-9841 Skripte beinhalten, die von einem entfernten,
nicht authentisierten Angreifer für das Ausführen beliebigen Programmcodes
missbraucht werden können. Diese Verzeichnisse sollten auf produktiven
Seiten daher nicht vorhanden sein.

MSA-17-0019: Schwachstelle in Moodle ermöglicht Ausspähen von Informationen

Die Funktion ‘user_can_view_profile()’ in Moddle in Version 3.x nimmt
fälschlicherweise den übergebenen Wert der Variablen ‘course’ als einen
geteilten Kurs (‘shared course’) an. Ein entfernter, einfach authentisierter
Angreifer kann Informationen ausspähen. Von der Schwachstelle sind nur
Plugins von Moodle betroffen.

CVE-2017-12157: Schwachstelle in Moodle ermöglicht Ausspähen von
Informationen

Verschiedene Kursberichte in Moddle in Version 3.x erlauben Lehrern aufgrund
fehlender Durchsetzung von Gruppenberechtigungen Details über Benutzer in
den Gruppen zu sehen, auf die sie keinen Zugriff haben sollten. Ein
entfernter, einfach authentisierter Angreifer kann Informationen ausspähen.

CVE-2017-12156: Schwachstelle in Moodle ermöglicht
Cross-Site-Scripting-Angriff

Das Formular der Seite ‘non-respondents’ in Moddle in Version 3.x maskiert
den Wert der Variablen ‘subject’ nicht. Ein entfernter, einfach
authentisierter Angreifer kann diese Schwachstelle für einen
Cross-Site-Scripting (XSS)-Angriff ausnutzen, indem er einen Moddle-Benutzer
zum Öffnen einer speziell präparierten URL verleitet.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1643/

Moodle Security Advisory MSA-17-0017: XSS in contact form on “non-respondents”
page in non-anonymous feedback (CVE-2017-12156):
https://moodle.org/mod/forum/discuss.php?d=358585

Moodle Security Advisory MSA-17-0018: Course reports are not respecting group
settings in courses (CVE-2017-12157):
https://moodle.org/mod/forum/discuss.php?d=358586

Moodle Security Advisory MSA-17-0019: user_can_view_profile() incorrectly
assumes $course as shared course:
https://moodle.org/mod/forum/discuss.php?d=358587

Moodle Security Advisory MSA-17-0020: Admins may not know that exposing vendor
directory is a security risk:
https://moodle.org/mod/forum/discuss.php?d=358588

Schwachstelle CVE-2017-12156 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12156

Schwachstelle CVE-2017-12157 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12157

Moodle 3.1.8 Release Notes:
https://docs.moodle.org/dev/Moodle_3.1.8_release_notes

Moodle 3.2.5 Release Notes:
https://docs.moodle.org/dev/Moodle_3.2.5_release_notes

Moodle 3.3.2 Release Notes:
https://docs.moodle.org/dev/Moodle_3.3.2_release_notes

Fedora Security Update FEDORA-2017-9a452dc893 (Fedora 26, moodle-3.2.5-1.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-9a452dc893

Fedora Security Update FEDORA-2017-c840f79347 (Fedora 25, moodle-3.1.8-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c840f79347

Fedora Security Update FEDORA-EPEL-2017-8da6477f0a (Fedora EPEL 7,
moodle-3.1.8-1.el7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-8da6477f0a

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.