Vulnerability Bulletins |
Actualización de seguridad de Moodle |
|
Vulnerability classification |
|
| Property | Value |
| Confidence level | Oficial |
| Impact | Integridad |
| Dificulty | Avanzado |
| Required attacker level | Acceso remoto con cuenta |
System information |
|
| Property | Value |
| Affected manufacturer | GNU/Linux |
| Affected software |
Moodle 2.4 Moodle 2.3 a 2.3.3+ Moodle 2.2 a 2.2.6+ Moodle 2.1 a 2.1.9+ Moodle 1.9 a 1.9.19 |
Description |
|
|
Se han descubierto múltiples vulnerabilidades en Moodle. Las vulnerabilidades son descritas a continuación: CVE-2012-6098 - La vulnerabilidad reside en grade/edit/outcome/edit_form.php de Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, 2.1 a 2.1.9+, 1.9 a 1.9.19, donde no se aplicó correctamente los requisitos de gestión de competencias. Un atacante remoto autenticado podría convertir los resultados personalizados como resultados estándares a nivel de sitio al aprovechar el rol de profesor y el uso de la función de re-edición. CVE-2012-6099 - La vulnerabilidad reside en el moodle1 backup converter de backup/converter/moodle1/lib.php de Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, 2.1 a 2.1.9+, el cual no valida correctamente las rutas de acceso. Un atacante remoto autenticado podría leer archivos arbitrarios mediante el aprovechamiento de la función de copia de seguridad y de restauración. CVE-2012-6100 - La vulnerabilidad reside en report/outline/index.php de Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, donde el informe de Actividad puede revelar el acceso del último usuario, incluso cuando el último acceso está incluido en una lista de campos forzados a ser ocultos. CVE-2012-6101 - La vulnerabilidad reside en Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, donde el filtrado de algunas URLs es insuficiente, permitiendo redirecciones a sitios fuera de Moodle. Un atacante remoto podría realizar un ataque de phishing a través de redirecciones de URL. CVE-2012-6102 - La vulnerabilidad reside en mod/assign/submission/comments/lib.php de Moodle 2.4, 2.3 a 2.3.3+, al no validar la asignación de permisos en los comentarios. Un atacante remoto podría ver o modificar los comentarios de las presentaciones de otros usuarios, obteniendo así posible información sensible mediante la manipulación de la URL. CVE-2012-6103 - La vulnerabilidad reside en user/messageselect.php de Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, donde el sistema de mensajería no registra correctamente la sesión del usuario cuando se envían mensajes de cursos. Un atacante remoto podría realizar solicitudes cross-site falsificadas (CSRF) mediante el robo de la autenticación de un usuario arbitrario. CVE-2012-6104 - La vulnerabilidad reside en blog/rsslib.php de Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, el cual proporciona visibilidad de blogs que están ocultos a los usuarios invitados mediante el canal RSS. Un atacante remoto podría obtener información sensible mediante la lectura de este feed. CVE-2012-6105 - La vulnerabilidad reside en blog/rsslib.php de Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, 2.1 a 2.1.9+, el cual proporciona acceso al blog mediante el RSS del blog, incluso después de que el blog esté desactivado. Un atacante remoto podría obtener información sensible mediante la lectura de este feed. CVE-2012-6106 - La vulnerabilidad reside en calendar/managesubscriptions.php, la aplicación de Administración de suscripciones en Moodle 2.4, al omitir la comprobación de competencias en el calendario. Un atacante remoto autenticado podría eliminar a nivel de curso suscripciones a calendarios creados por los profesores mediante un rol de estudiante y el envío de un objeto iCalendar. CVE-2012-6112 - La vulnerabilidad reside en el corrector ortográfico TinyMCE anterior a 2.0.6.1 en classes/GoogleSpell.php de Moodle 2.4, 2.3 a 2.3.3+, 2.2 a 2.2.6+, 2.1 a 2.1.9+, donde no trata correctamente los caracteres de control. Un atacante remoto podría provocar peticiones arbitrarias HTTP salientes mediante una cadena realizada de manera malintencionada. |
|
Solution |
|
| Se recomienda visitar la web del proveedor y actualizar a la última versión. | |
Standar resources |
|
| Property | Value |
| CVE |
CVE-2012-6098 CVE-2012-6099 CVE-2012-6100 CVE-2012-6101 CVE-2012-6102 CVE-2012-6103 CVE-2012-6104 CVE-2012-6105 CVE-2012-6106 CVE-2012-6112 |
| BID | |
Other resources |
|
|
MOODLE CVE-2012-6098 https://moodle.org/mod/forum/discuss.php?d=220158 MOODLE CVE-2012-6099 https://moodle.org/mod/forum/discuss.php?d=220160 MOODLE CVE-2012-6100 https://moodle.org/mod/forum/discuss.php?d=220161 MOODLE CVE-2012-6101 https://moodle.org/mod/forum/discuss.php?d=220162 MOODLE CVE-2012-6102 https://moodle.org/mod/forum/discuss.php?d=220163 MOODLE CVE-2012-6103 https://moodle.org/mod/forum/discuss.php?d=220164 MOODLE CVE-2012-6104 https://moodle.org/mod/forum/discuss.php?d=220165 MOODLE CVE-2012-6105 https://moodle.org/mod/forum/discuss.php?d=220166 MOODLE CVE-2012-6106 https://moodle.org/mod/forum/discuss.php?d=220167 MOODLE CVE-2012-6112 https://moodle.org/mod/forum/discuss.php?d=220157 |
|
Version history |
||
| Version | Comments | Date |
| 1.0 | Aviso emitido | 2013-01-30 |