Se han detectado múltiples vulnerabilidades, entre ellas algunas de severidad crítica y alta, en Moodle LMS, una conocida plataforma de código abierto que se utiliza normalmente para impartir cursos de aprendizaje electrónico. Estas podrían permitir la ejecución remota de código, divulgación de información, denegación de servicio u omisión de funciones de seguridad.
Productos afectados
Moodle
- 4.5.x, versión 4.5.3 y anteriores
- 4.4.x, versión 4.4.7 y anteriores
- 4.3.x, versión 4.3.11 y anteriores
- 4.1.x, versión 4.1.17 y anteriores
- Todas las versiones anteriores ya no son compatibles
Impacto
Las vulnerabilidadesde mayor severidad se han identificado como:
CVE-2024-40446: Esta vulnerabilidad podría permitir la ejecución remota de código mediante un comando MimeTeX.
CVE-2024-3625: Esta vulnerabilidad podría permitir la denegación de servicio (DoS) y divulgación de nombre de usuario a través de IDOR en la acción de revocación del factor de correo electrónico de MFA.
CVE-2024-3641: Esta vulnerabilidad podría permitir la ejecución remota de código autenticado en el repositorio de Dropbox de Moodle LMS.
CVE-2024-3643: Esta vulnerabilidad podría permitir la inyección de código malicioso, aumentando así el riesgo de ataques de Cross-Site Scripting (XSS) reflejado, donde un actor malicioso podría explotar parámetros no validados en las redirecciones para ejecutar scripts dañinos.
CVE-2024-3647: Esta vulnerabilidad de Insecure Direct Object Reference (IDOR) podría permitir la exposición de datos sensibles al no validar adecuadamente los permisos de acceso.
Estas vulnerabilidades aún no poseen una puntuación en CVSS v3.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias
- https://moodle.org/mod/forum/discuss.php?d=467592&parent=1877211
- https://moodle.org/mod/forum/discuss.php?d=467593&parent=1877212
- https://moodle.org/mod/forum/discuss.php?d=467602&parent=1877222
- https://moodle.org/mod/forum/discuss.php?d=467603&parent=1877223
- https://moodle.org/mod/forum/discuss.php?d=467604&parent=1877224
- https://moodle.org/seguridad/