Fuente: https://www.incibe.es/protege-tu-empresa/avisos-seguridad/corregidas-varias-vulnerabilidades-moodle-1
Fecha de publicación: 25/01/2021Importancia: 4 – Alta Recursos afectados:

Versiones de Mooodle:

  • 3.10;
  • 3.9 a 3.9.3;
  • 3.8 a 3.8.46;
  • 3.5 a 3.5.15;
  • y todas las versiones anteriores sin soporte.

Descripción: 

La plataforma de formación Moodle ha publicado una actualización de seguridad que soluciona 5 vulnerabilidades, 3 de ellas de severidad alta y 2 de severidad baja, que podrían provocar ataques de denegación de servicio, divulgación de información, ejecución arbitraria de código PHP y XSS.Solución: 

Se recomienda actualizar Moodle a la última versión disponible, para ello puedes acceder al siguiente enlace:

Si utilizas otra versión de Moodle que continúa con soporte, puedes acceder a los enlaces de descarga que corrigen la vulnerabilidad.Importante: antes de actualizar en entornos de producción, es recomendable realizar pruebas previas en entornos de preproducción y comprobar que todo funciona correctamente tras la actualización.

Es importante proteger el gestor de contenidos para evitar que sea vulnerable. Sigue este checklist para evitar posibles ataques de ciberdelincuentes, algunos de ellos explicados en casos reales:

¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la línea gratuita de ayuda en ciberseguridad de INCIBE: 017.Detalle: 

La actualización de seguridad corrige varias vulnerabilidades:

  • La primera vulnerabilidad de tipo alto, podría permitir a un atacante con privilegios de administración ejecutar código PHP arbitrario a través de la configuración de Shibboleth.
  • La segunda vulnerabilidad de severidad alta, podría permitir a un ciberdelincuente realizar ataques XSS reflejados debido a una validación insuficiente de las consultas de búsqueda, desde la plantilla de búsqueda de entradas.
  • La tercera, categorizada como alta, podría provocar un ataque XSS almacenado producido por un saneado insuficiente del contenido TeX, si el filtro de notación TeX estaba activado.
  • La cuarta, de importancia baja, debido a unas comprobaciones de capacidad insuficientes en algunos servicios web relacionados con las calificaciones, podría permitir que los estudiantes visualizaran las calificaciones de otros estudiantes.
  • La última vulnerabilidad de severidad baja categoriza un fallo en la mensajería que no imponía un límite de caracteres al enviar mensaje, lo que podría provocar una denegación de servicio en el navegador del cliente, si este recibía un mensaje muy largo.

Tu soporte técnico puede consultar una solución más detallada en el área de avisos del INCIBE-CERT.

MSA-21-0005: Arbitrary PHP code execution by site admins via Shibboleth configurationMSA-21-0001: Search input template insufficiently escaped search queriesMSA-21-0004: Stored XSS possible via TeX notation filterMSA-21-0002: Grade information disclosure in grade’s external fetch functionsMSA-21-0003: Client side denial of service via personal message Etiquetas: ActualizaciónCMSVulnerabilidad