28 de mayo de 2016

MOODLE. Múltiples vulnerabilidades

Moodle ha publicado cinco alertas de seguridad en las que se corrigen otras tantas vulnerabilidades con diversos efectos, desde cross-site request forgery hasta obtención de información sensible. Se ven afectadas todas las ramas soportadas 2.7, 2.8, 2.9, 3.0, y anteriores versiones ya fuera de soporte.
Moodle es una popular plataforma educativa de código abierto que permite a los educadores crear y gestionar tanto usuarios como cursos de modalidad e-learning. Además proporciona herramientas para la comunicación entre formadores y alumnos.
Detalle de la actualización
  • Se han publicado cinco boletines de seguridad (del MSA-16-0013 y MSA-16-0015 al MSA-14-0018), y tienen asignados los identificadores CVE-2016-3729 y CVE-2016-3731 al CVE-2016-3734. Todos considerados como de gravedad menor. Las vulnerabilidades podrían permitir realizar ataques de Cross-Site Request Forgery (CSRF), que un usuario pueda ver las insignias (badges) de otros usuarios sin permisos para ello, obtener nombres y sub-nombres de foros ocultos y la posibilidad de que los usuarios puedan cambiar campos de perfil bloqueados por el administrador.
Recomendación
  • Las versiones 3.0.4, 2.9.6, 2.8.12 y 2.7.14 solucionan todas las vulnerabilidades. Se encuentran disponibles para su descarga en la página oficial de Moodle desde http://download.moodle.org/
Más información:
Fuente: Hispasec