BDU:2015-10935

Уязвимость системы управления обучением Мoodle, позволяющая нарушителю читать произвольные файлы

Опубликовано: 2015-08-07

Описание

Уязвимость функции min_get_slash_argument компонента lib/configonlylib.php системы управления обучением Мoodle существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, читать произвольные файлы

Затрагиваемое ПО и версии

Moodle (до 2.5.9 включительно)Moodle (от 2.6 до 2.6.8)Moodle (от 2.7 до 2.7.5)Moodle (от 2.8 до 2.8.3)

Способ устранения

Использование рекомендаций производителя:
https://moodle.org/mod/forum/discuss.php?d=279956

Оценка CVSS

Балл	6.8 — средняя опасность

Источники и патчи

http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48980 http://git.moodle.org/gw?p=moodle.git;a=commit;h=af9a7937cc085f96bdbc4724cadec6eeae0242fc http://openwall.com/lists/oss-security/2015/02/04/15 http://openwall.com/lists/oss-security/2015/02/09/2 https://moodle.org/mod/forum/discuss.php?d=279956

Проверьте безопасность своего сайта и почты → Полная проверка домена