Debians sikkerhedsbulletin
DSA-1030-1 moodle -- flere sårbarheder
- Rapporteret den:
- 8. apr 2006
- Berørte pakker:
- moodle
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Debians fejlsporingssystem: Fejl 349985, Fejl 358872.
I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 16187, BugTraq-id 16364, BugTraq-id 16720.
I Mitres CVE-ordbog: CVE-2006-0146, CVE-2006-0147, CVE-2006-0410, CVE-2006-0806. - Yderligere oplysninger:
-
Flere sårbarheder er opdaget i libphp-adodb, 'adodb'-databaseabstraktionslaget til PHP, der er indlejret i moodle, et system til håndtering af kurser til onlinelæring. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:
- CVE-2006-0146
Andreas Sandblad har opdaget at ukorrekt kontrol af brugerinddata medførte en potentiel fjernudnytbar SQL-indsprøjtningssårbarhed, der gjorde det muligt for en angriber at kompromittere programmer, tilgå eller ændre data, eller udnytte sårbarheder i den underliggende implementering af databasen. Dette krævede at MySQL's root-adgangskode var tom. Rettelsen er udført ved at begrænse adgang til det pågældende skript.
- CVE-2006-0147
En dynamisk kodeevalueringssårbarhed tillod fjernangribere at udføre vilkårlige PHP-funktioner via parameteret 'do'.
- CVE-2006-0410
Andy Staudacher har opdaget en SQL-indsprøjtningssårbarhed som følge af utilstrækkelig kontrol af inddata, der gjorde det muligt for fjernangribere at udføre vilkårlige SQL-kommandoer.
- CVE-2006-0806
GulfTech Security Research har opdaget flere sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (cross-site scripting), på grund af ukorrekt kontrol af brugerinddata. Angribere kunne udnytte disse sårbarheder til at forårsage, at vilkårlige skripter blev udført i browseren på et intetanende offers maskine, eller medføre i tyveri af cookie-baserede autentifikationsoplysninger.
Den gamle stabile distribution (woody) indeholder ikke moodle-pakker.
I den stabile distribution (sarge) er disse problemer rettet i version 1.4.4.dfsg.1-3sarge1.
I den ustabile distribution vil disse problemer snart blive rettet.
Vi anbefaler at du opgraderer din moodle-pakke.
- CVE-2006-0146
- Rettet i:
-
Debian GNU/Linux 3.1 (sarge)
- Kildekode:
- http://security.debian.org/pool/updates/main/m/moodle/moodle_1.4.4.dfsg.1-3sarge1.dsc
- http://security.debian.org/pool/updates/main/m/moodle/moodle_1.4.4.dfsg.1-3sarge1.diff.gz
- http://security.debian.org/pool/updates/main/m/moodle/moodle_1.4.4.dfsg.1.orig.tar.gz
- http://security.debian.org/pool/updates/main/m/moodle/moodle_1.4.4.dfsg.1-3sarge1.diff.gz
- Arkitekturuafhængig komponent:
- http://security.debian.org/pool/updates/main/m/moodle/moodle_1.4.4.dfsg.1-3sarge1_all.deb
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.