Opravena kritická zranitelnost v online výukovém software Moodle (CVE-2017-2641)

13. března byly vydány nové aktualizace Moodle (3.2.2, 3.1.5, 3.0.9 a 2.7.19). Podle stručného oznámení na oficiálních stránkách se jedná o pár drobných vylepšení a opravu několika bezpečnostních chyb. Je důrazně doporučeno provést upgrade co nejdříve.



Dále se můžeme dozvědět, že podle obvyklé politiky výrobce, budou administrátoři všech registrovaných Moodle instancí upozorněni emailem s podrobnostmi o nalezené bezpečnostní chybě a více informací bude zveřejněno tento týden.

Dnes už víme, že se jedná o poměrně kritickou bezpečnostní chybu RCE (Remote Code Execution) s označením CVE-2017-2641. Včera bylo na oficiálním forum Moodle zveřejněno více podrobností. Podle dostupného popisu byla chyba nahlášena bezpečnostním výzkumníkem Netanel Rubin. Předvedl proof of concept, kdy může běžný registrovaný uživatel exploitovat SQL injection přes webové rozhraní Moodle 3.2. Podobná chyba se nachází i u předchozích verzí.

Je celkem zajímavé, jak je možné z SQL injection získat RCE a spouštět libovolné příkazy na serveru. Jelikož se jedná o open-source software, jednotlivé změny v kódu můžete vidět zde. Konkrétně bylo opraveno 18 různých souborů.

Pro podrobné vysvětlení celé problematiky a krásnou ukázku spojení několika různých chyb k získání té kritické, doporučujeme navštívit autorův blog a přečíst si článek: Moodle – Remote Code Execution.

Opravena kritická zranitelnost v online výukovém software Moodle (CVE-2017-2641) Opravena kritická zranitelnost v online výukovém software Moodle (CVE-2017-2641) Reviewed by Kamil Vavra on března 21, 2017 Rating: 5

Žádné komentáře:

Používá technologii služby Blogger.