Säkerhetsbulletin från Debian

DSA-2115-1 moodle -- flera sårbarheter

Rapporterat den:
2010-09-29
Berörda paket:
moodle
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Mitres CVE-förteckning: CVE-2010-1613, CVE-2010-1614, CVE-2010-1615, CVE-2010-1616, CVE-2010-1617, CVE-2010-1618, CVE-2010-1619, CVE-2010-2228, CVE-2010-2229, CVE-2010-2230, CVE-2010-2231.
Ytterligare information:

Flera utifrån nåbara sårbarheter har upptäckts i Moodle, ett kurshanteringssystem. Projektet Common Vulnerabilities and Exposures identifierar följande problem:

  • CVE-2010-1613

    Moodle aktiverar inte inställningen Omgenerera sessionsid under inloggning (Regenerate session id during login) som standard, vilket gör det enklare för angripare utifrån att genomföra sessionsfixeringsangrepp.

  • CVE-2010-1614

    Flera serveröverskridande skriptningssårbarheter (XSS) tillåter angripare utifrån att injicera godtyckliga webbskript eller HTML med hjälp av vektorer relaterade till (1) funktionen Logga in som eller 2) när en globala sökningen är aktiverad, ospecificerade globala sökformulär i den globala sökmotorn.

  • CVE-2010-1615

    Flera SQL-injiceringssårbarheter tillåter angripare utifrån att exekvera godtyckliga SQL-kommandon med hjälp av vektorer relaterade till 1) funktionen add_to_log i mod/wiki/view.php i wiki-modulen, eller 2) datavalidering i vissa formulärelement relaterade till lib/form/selectgroups.php.

  • CVE-2010-1616

    Moodle kan skapa nya roller när en kurs återställs. Detta tillåter lärare att skapa nya konton även om de inte har möjligheten moodle/user:create.

  • CVE-2010-1617

    user/view.php kontrollerar inte en roll tillräckligt, vilket tillåter autentiserade användare utifrån att erhålla fullständiga namn på andra användare med hjälp av kursprofilsidan.

  • CVE-2010-1618

    Ett serveröverskridande skriptproblem (XSS) i klientbiblioteket phpCAS tillåter angripare utifrån att injicera godtyckliga webbskript eller HTML med hjälp av en specialskriven URL, som inte hanteras korrekt i ett felmeddelande.

  • CVE-2010-1619

    Ett serveröverskridande skriptproblem (XSS) i funktionen fix_non_standard_entities i HTML-textrensningsbiblioteket KSES (weblib.php) tillåter angripare utifrån att injicera godtyckliga webbskript eller HTML med hjälp av specialskrivna HTML-tecken.

  • CVE-2010-2228

    Ett serveröverskridande skriptproblem (XSS) i åtkomstkontrollsgränssnittet MNET tillåter angripare utifrån att injicera godtyckliga webbskript eller HTML med hjälp av vektorer som involverar utökade tecken i ett användarnamn.

  • CVE-2010-2229

    Flera serveröverskridande skriptproblem (XSS) i blog/index.php tillåter angripare utifrån att injicera godtyckliga webbskript eller HTML med hjälp av ospecificerade parametrar.

  • CVE-2010-2230

    Textrensningsfiltret KSES i lib/weblib.php hanterar inte vbscript-URI:er på ett korrekt sätt, vilket tillåter autentiserade användare utifrån att genomföra serveröverskridande skriptningsangrepp (XSS) med hjälp av HTML-indata.

  • CVE-2010-2231

    En serveröverskridande förfrågeförfalskningssårbarhet (CSRF) i report/overview/report.php i modulen quiz tillåter angripare utifrån att kapa autentiseringen av godtyckliga användare för förfrågningar som tar bort försök i frågesporten med hjälp av parametern attemptid.

Denna säkerhetsuppdatering ändrar paketet till en ny uppströmsversion och kräver databasuppdateringar. Efter installation av det rättade paketet, måste ni besöka <http://localhost/moodle/admin/> och följa uppdateringsinstruktionerna.

För den stabila utgåvan (Lenny) har dessa problem rättats i version 1.8.13-1.

För den instabila utgåvan (Sid) har dessa problem rättats i version 1.9.9.dfsg2-1.

Vi rekommenderar att ni uppgraderar ert moodle-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:
http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13-1.diff.gz
http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13-1.dsc
http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13.orig.tar.gz
Arkitekturoberoende komponent:
http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13-1_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.