Múltiples vulnerabilidades en Moodle 21/03/2022

Múltiples vulnerabilidades en Moodle

Fecha de publicación: 

21/03/2022

Importancia: 

5 - Crítica

Recursos afectados: 

Versiones:

• de la 3.11 a la 3.11.5;
• de la 3.10 a la 3.10.9;
• de la 3.9 a la 3.9.12;
• versiones anteriores no soportadas.

Descripción: 

Los investigadores Chris Pratt, Andrew Lyons y Sara Arjona han reportado 5 vulnerabilidades: 1 de severidad crítica y 4 bajas, por las que un atacante podría realizar una inyección SQL, borrar cuentas de usuario, configurar las insignias de los cursos con los criterios de los campos del perfil y explotar vulnerabilidades en las librerías PHPMailer y CKEditor.

Solución: 

Actualizar a las versiones 3.11.6, 3.10.10 y 3.9.13, respectivamente.

Detalle: 

• Se identificó una vulnerabilidad de inyección SQL en el código de badges (insignias) relacionado con la configuración de criterios. Esta vulnerabilidad solo es accesible para los profesores/gestores/administradores por defecto, ya que requiere la capacidad de añadir y activar los criterios de las insignias. Se ha asignado el identificador CVE-2022-0983 para esta crítica.

Para 2 de las vulnerabilidades de severidad baja se han asignado los identificadores CVE-2022-0985 y CVE-2022-0984; las otras 2 no tienen CVE asignado.

Referencias: 

MSA-22-0005: SQL injection risk in Badges criteria code

MSA-22-0006: Users with moodle/site:uploadusers but without moodle/user:delete could delete users

MSA-22-0007: Possible to reach the profile field badge criteria on a course page

MSA-22-0008: Upgrade PHPMailer to latest version (upstream)

MSA-22-0009: Upgrade CKEditor included in h5p-editor-php-library to latest version (upstream)