Data di creazione: 22/08/2024 16:56

Sintesi

Rilevate 16 nuove vulnerabilità in Moodle, nota piattaforma open source tipicamente utilizzata per l’erogazione di corsi in modalità e-learning, di cui 1 con gravità “critica” e 7 con gravità “alta”.

Note (aggiornamento del 02/09/2024): un Proof of Concept (PoC) per lo sfruttamento della CVE-2024-43425 risulta disponibile in rete.

Tipologia

• Remote Code Execution
• Security Restrictions Bypass
• Arbitrary File Write/Read/Deletion
• Information Disclosure

Prodotti e versioni affette

Moodle, versioni

• 4.4.x, versione 4.4.1 e precedenti
• 4.3.x, versione 4.3.5 e precedenti
• 4.2.x, versione 4.2.8 e precedenti
• 4.1.x, versione 4.1.11 e precedenti
• tutte le versioni non più supportate

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di applicare le mitigazioni disponibili seguendo le indicazioni riportate nei bollettini di sicurezza riportati nella sezione Riferimenti.

Identificatori univoci vulnerabilità

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica” e “alta”:

CVE-2024-43440

CVE-2024-43436

CVE-2024-43428

CVE-2024-43426

CVE-2024-43425

CVE-2024-43427

CVE-2024-43430

CVE-2024-43432

Riferimenti

https://moodle.org/mod/forum/discuss.php?d=461210

https://moodle.org/mod/forum/discuss.php?d=461206

https://moodle.org/mod/forum/discuss.php?d=461196

https://moodle.org/mod/forum/discuss.php?d=461194

https://moodle.org/mod/forum/discuss.php?d=461193

http://moodle.org/mod/forum/discuss.php?d=461195

https://moodle.org/mod/forum/discuss.php?d=461198

https://moodle.org/mod/forum/discuss.php?d=461200

https://moodle.org/security/

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.