Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2009-AVI-070

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2009-AVI-070
Titre	Multiples vulnérabilités dans Moodle
Date de la première version	13 février 2009
Date de la dernière version	-
Source(s)	Bulletin de sécurité Moodle du 10 février 2009
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité ;
atteinte à l'intégrité des données ;
atteinte à la confidentialité des données ;
injection de requêtes illégitimes par rebond (CSRF) ;
injection de code indirecte (XSS).

2 Systèmes affectés

Moodle versions 1.9.x antérieures à 1.9.4 ;
Moodle versions 1.8.x antérieures à 1.8.8 ;
Moodle versions 1.7.x antérieures à 1.7.7.

3 Résumé

Plusieurs vulnérabilités ont été corrigées dans la dernière version de Moodle.

4 Description

Plusieurs vulnérabilités ont été corrigées dans la dernière version de Moodle. Elles permettent, entre autre, de mener des injections de code indirecte, des injection de requêtes illégitimes par rebond, d'effacer arbitrairement des fichiers.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Bulletin de sécurité de Moodle du 10 février 2009 :
```
http://moodle.org/security/
```

Référence CVE CVE-2008-4796 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4796

Référence CVE CVE-2008-5153 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5153

Gestion détaillée du document

13 février 2009: version initiale.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 25/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques