S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 14 décembre 2009 No CERTA-2009-AVI-545

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Moodle

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• accès non autorisé ;
• injection SQL ;
• atteinte à la confidentialité des données ;
• injection de requêtes illégitimes par rebond.

2 Systèmes affectés

• Moodle versions 1.8.x antérieures à 1.8.11 ;
• Moodle versions 1.9.x antérieures à 1.9.7.

3 Résumé

De multiples vulnérabilités dans Moodle permettent notamment de se connecter en tant qu'administrateur.

4 Description

De multiples vulnérabilités ont été découvertes dans Moodle. La plupart d'entre elles concernent la protection des identifiants de connexion et peuvent être exploitées afin de se connecter en tant que d'administrateur. D'autres vulnérabilités permettent de réaliser des injections SQL ou des injections de requêtes illégitimes par rebond (attaques de type CSRF).

5 Solution

Mettre Moodle à jour en version 1.8.11 ou 1.9.7 (cf. section Documentation).

6 Documentation

• Bulletins de sécurité Moodle MSA-09-022 à MSA-09-031 du 02 décembre 2009 :

  http://moodle.org/security/
  

• Téléchargement des versions 1.8.11 et 1.9.7 de Moodle :

  http://download.moodle.org/
  

Gestion détaillée du document

14 décembre 2009

version initiale.