Boletines de Vulnerabilidades

int(4168)

Boletines de Vulnerabilidades

Múltiples vulnerabilidades en Moodle
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Aumento de la visibilidad
Dificultad	Principiante
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio estandar
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	GNU/Linux
Software afectado	Moodle 1.6.x < 1.6.7 Moodle 1.7.x < 1.7.5
Descripción
Se han descubierto múltiples vulnerabilidades en Moodle 1.6 y 1.7. Las vulnerabilidades son descritas a continuación: - CVE-2008-3325: Se ha descubierto una vulnerabilidad de tipo Cross-Site Request Forgery. Un atacante remoto podría modificar la configuración del perfil y aumentar privilegios como otro usuario mediante un enlace o un tag de imagen especialmente diseñado. - CVE-2008-3326: Se ha descubierto una vulnerabilidades tipo Cross-Site Scripting. La vulnerabilidad reside en un error de validación de la entrada en el fichero "blog/edit.php". Un atacante remoto podría inyectar código arbitrario javaScript o HTML mediante un valor para parámetro "etitle" especialmente diseñado. Existe una prueba de concepto para cada vulnerabilidad.
Solución
Actualización de software Suse Linux Las actualizaciones pueden descargarse mediante YAST o del servidor FTP oficial de Suse Linux. Debian (DSA-1691-1) Debian Linux 4.0 Source http://security.debian.org/pool/updates/main/m/moodle/moodle_1.6.3-2+etch1.diff.gz http://security.debian.org/pool/updates/main/m/moodle/moodle_1.6.3.orig.tar.gz http://security.debian.org/pool/updates/main/m/moodle/moodle_1.6.3-2+etch1.dsc Arquitectura independiente: http://security.debian.org/pool/updates/main/m/moodle/moodle_1.6.3-2+etch1_all.deb
Identificadores estándar
Propiedad	Valor
CVE	CVE-2008-3325 CVE-2008-3326
BID
Recursos adicionales
SUSE Security Advisory (SUSE-SR:2008:016) http://www.novell.com/linux/security/advisories/2008_16_sr.html Debian Security Advisory (DSA-1691-1) http://lists.debian.org/debian-security-announce/2008/msg00284.html