S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 28 octobre 2010 No CERTA-2010-AVI-515

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Moodle

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• contournement de la politique de sécurité ;
• injection de code indirecte à distance.

2 Systèmes affectés

Moodle versions 1.9.9 et antérieures.

3 Résumé

De multiples vulnérabilités dans Moodle permettent l'exécution de code arbitraire à distance, la réalisation d'injections de code indirectes et le contournement de la politique de sécurité.

4 Description

Le logiciel Moodle intègre plusieurs bibliothèques de composants tiers, notamment YUI, phpCAS, HTML Purifier et phpMyAdmin. De multiples vulnérabilités, découvertes dans ces différents éléments, permettent l'exécution de code arbitraire à distance, la réalisation d'injections de code indirectes et le contournement de la politique de sécurité.

5 Solution

Mettre Moodle à jour en version 1.9.10.

6 Documentation

• Notes de la version 1.9.10 de Moodle du 25 octobre 2010 :

  http://docs.moodle.org/en/Moodle_1.9.10_release_notes
  

• Téléchargement de Moodle :

  http://download.moodle.org/
  

Gestion détaillée du document

28 octobre 2010

version initiale.