Múltiples vulnerabilidades en Moodle

Moodle ha publicado cinco alertas de seguridad en las que se corrigen otras tantas vulnerabilidades con diversos efectos, desde cross-site request forgery hasta obtención de información sensible. Se ven afectadas todas las ramas soportadas 2.7, 2.8, 2.9, 3.0, y anteriores versiones ya fuera de soporte.

Moodle es una popular plataforma educativa de código abierto que permite a los educadores crear y gestionar tanto usuarios como cursos de modalidad e-learning. Además proporciona herramientas para la comunicación entre formadores y alumnos.

Se han publicado cinco boletines de seguridad (del MSA-16-0013 y MSA-16-0015 al MSA-14-0018), y tienen asignados los identificadores CVE-2016-3729 y CVE-2016-3731 al CVE-2016-3734. Todos considerados como de gravedad menor. Las vulnerabilidades podrían permitir realizar ataques de Cross-Site Request Forgery (CSRF), que un usuario pueda ver las insignias (badges) de otros usuarios sin permisos para ello, obtener nombres y sub-nombres de foros ocultos y la posibilidad de que los usuarios puedan cambiar campos de perfil bloqueados por el administrador.

Las versiones 3.0.4, 2.9.6, 2.8.12 y 2.7.14 solucionan todas las vulnerabilidades. Se encuentran disponibles para su descarga desde la página oficial de Moodle.

http://download.moodle.org/

Más información:

Security Announcements

https://moodle.org/security/

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero