Cabecera-v2-web.jpg

Múltiples vulnerabilidades en Moodle


21/09/2021

Se han publicado cuatro vulnerabilidades de severidad crítica y otra de severidad baja que podrían permitir a un atacante realizar un secuestro de sesión o acceder a información confidencial.

Los problemas de seguridad que han sido publicadas y que solucionan estas actualizaciones, afectan las versiones 3.11 a la 3.11.2, 3.10 a la 3.10.6, 3.9 a la 3.9.9 y versiones anteriores sin soporte de Moodle. Los problemas de seguridad que solventan las actualizaciones son:

  • El plugin de autenticación Shibboleth es vulnerable al secuestro de sesión si está habilitado. Se ha asignado el identificador CVE-2021-40691 para esta vulnerabilidad crítica.
  • Un atacante podría eludir la autenticación al utilizar una base de datos externa para autenticación debido a una vulnerabilidad de tipo juggling (comparar valores aunque tengan un tipo de datos diferente). Se ha asignado el identificador CVE-2021-40693 para esta vulnerabilidad crítica.
  • Un atacante con privilegios de administrador podría leer los archivos alojados en el servidor HTTP de una cuenta a través del preámbulo de LaTeX. Se ha asignado el identificador CVE-2021-40694 para esta vulnerabilidad crítica.
  • La calificación de una prueba podría ser leída previamente a su publicación mediante el uso de un servicio web de prueba. Se ha asignado el identificador CVE-2021-40695 para esta vulnerabilidad crítica.
  • Las comprobaciones de capacidad insuficientes permitieron a los profesores descargar usuarios fuera de sus cursos. Se ha asignado el identificador CVE-2021-40692, para esta vulnerabilidad de severidad baja.

Recomendamos actualizar a las versiones: 3.11.3, 3.10.7 y 3.9.10.

Información adicional:


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tecnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11