S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 01 avril 2010 No CERTA-2010-AVI-150

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Moodle

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• atteinte à la confidentialité des données ;
• injection de code indirecte à distance ;
• injection SQL.

2 Systèmes affectés

Moodle versions 1.9.7 et antérieures.

3 Résumé

De multiples vulnérabilités dans Moodle permettent notamment de réaliser des injections SQL et des injections de code indirectes.

4 Description

De multiples vulnérabilités ont été découvertes dans Moodle. Celles-ci permettent, entre autres, d'obtenir le nom complet des utilisateurs, de réaliser des injections de code indirectes au travers de différents composants ainsi que des injections SQL via le module Wiki.

5 Solution

Mettre Moodle à jour en version 1.9.8 (cf. section Documentation).

6 Documentation

• Notes de la version 1.9.8 de Moodle du 25 mars 2010 :

  http://docs.moodle.org/en/Moodle_1.9.8_release_notes
  

• Téléchargement de la dernière version de Moodle :

  http://download.moodle.org/
  

Gestion détaillée du document

01 avril 2010

version initiale.