Martin Dougiamas, Gründer und CEO von Moodle, ruft die Nutzer des Kursmanagementsystems dazu auf, ihre Systeme auf die neueste stabile Version zu bringen, um ernsthafte Sicherheitslücken zu schließen.
Das Kursmanagement Moodle ist auch in Deutschland beliebt und an einigen Schulen und Universitäten im Einsatz. Um das PHP-basierte System abzusichern, müssen Admins regelmäßig Updates einspielen. Das passiert nicht immer sofort, diesmal sah sich der Moodle-Chef aufgrund von Sicherheitslückenzu einer expliziten Aufforderung genötigt.
So können einfache Benutzer per SQL Injection über die Benutzereinstellungen im Webinterface von Moodle 3.2 eine Remote Code Execution anstoßen. Das Moodle-Projekt stuft die Lücke als ernsthaft (serious) ein, die Versionen 3.2.2, 3.1.5, 3.0.9 sowie 2.7.19 beheben das Problem. Die ersten beiden Versionen schließen auch eine weitere ernsthafte Sicherheitslücke: Attachments mit Nachweisen über bisherige Lernerfolge wurden nicht als Attachment gespeichert, sondern als Inline Content in einer Moodle-Session angezeigt.
Trotz der Lücken hätten laut Dougiamas viele Admins ihre Moodle-Installationen noch nicht repariert. Da die Updates keine neuen Features enthalten, sollte ein Upgrade laut Dougiamas produktiv eingesetzte Moodle-Installationen nicht gefährden.
