S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 19 janvier 2012
N° CERTA-2012-AVI-027
Affaire suivie par: CERT-FR
le 19 janvier 2012

Avis du CERT-FR

Objet: Vulnérabilités dans Moodle

Gestion du document

Référence CERTA-2012-AVI-027
Titre Vulnérabilités dans Moodle
Date de la première version 19 janvier 2012
Date de la dernière version 19 janvier 2012
Source(s) Bulletins de sécurité Moodle du 17 janvier 2012
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité.

Systèmes affectés

Moodle versions 2.2, 2.1 à 2.1.3+, 2.0 à 2.0.6+ et 1.9 à 1.9.15+.

Résumé

Des vulnérabilités dans Moodle permettent un contournement de la politique de sécurité.

Description

Plusieurs vulnérabilités ont été découvertes dans Moodle :

  • il est possible d'injecter des informations supplémentaires (par exemple des adresses) dans l'en-tête des messages électroniques ;
  • un utilisateur dont le compte a été effacé d'un serveur peut continuer à accéder au site tant qu'il conserve son jeton ;
  • dans certaines conditions particulières, les utilisateurs ayant un profil enseignant peuvent élever leurs privilèges.

Solution

Mettre Moodle à jour en version 2.2.1, 2.1.4, 2.0.7 ou 1.9.16.

Documentation

Gestion détaillée du document

    le 19 janvier 2012
    version initiale.