S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 03 avril 2009 No CERTA-2009-AVI-128

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Moodle

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Atteinte à la confidentialité des données.

2 Systèmes affectés

• Moodle versions 1.6.9 et antérieures ;
• Moodle versions 1.7.7 et antérieures ;
• Moodle versions 1.8 antérieures à 1.8.9 ;
• Moodle versions 1.9 antérieures à 1.9.5.

3 Résumé

Une vulnérabilité dans Moodle permet d'afficher le contenu des fichiers accessibles en lecture par le serveur Web.

4 Description

L'application d'apprentissage en ligne Moodle utilise un environnement LaTeX pour le rendu visuel de certaines images. Le filtre LaTeX peut être détourné pour provoquer l'affichage des fichiers accessibles en lecture par le serveur Web.

5 Solution

Les branches 1.8 et 1.9 de Moodle ont, chaque semaine, de nouveaux paquetages disponibles en téléchargement. Cette vulnérabilité est corrigée dans les paquetages 1.9.4+ et 1.8.8+ depuis le 27 mars 2009.

Les branches 1.6 et 1.7 ne sont plus maintenues.

6 Documentation

• Site de téléchargement de Moodle :

  http://download.moodle.org/
  

• Référence CVE CVE-2009-1171 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1171
  

Gestion détaillée du document

03 avril 2009

version initiale.