Fedora 36 : moodle (2023-d9c13996b2)

critical Nessus プラグイン ID 173675

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 36 ホストには、FEDORA-2023-d9c13996b2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- プロファイルフィールドの利用可能条件の検証が不十分なため、SQL インジェクションのリスクが発生しました (デフォルトでは、教師とマネージャーのみが利用可能)。(CVE-2023-28329)

- バックアップのサニタイズが不十分なため、任意のファイル読み取りのリスクが発生しました。この機能にアクセスする機能は、デフォルトで教師、マネージャー、管理者のみが利用できます。(CVE-2023-28330)

- データベース自動リンクフィルターによるコンテンツ出力では、XSS リスクを防ぐために追加のサニタイズが必要でした。
(CVE-2023-28331)

- 代数フィルターが有効であっても機能しない場合 (必要なバイナリがサーバーにないなど)、XSS のリスクがありました。(CVE-2023-28332)

- Moustache pix ヘルパーには、ユーザー入力と組み合わせた場合、Mustache インジェクションのリスクが含まれていました (注意:
これは、Moodle LMS のコアのどこにも実装されておらず、悪用もできないようです)。(CVE-2023-28333)

- 成績表履歴のフィルタリングが不十分なため、教師は本来アクセスできないユーザーの名前にアクセスできる可能性がありました。(CVE-2023-28336)

- コース参加レポートでは、ユーザーが表示するアクセス権のないロールが表示されないように、追加のチェックが必要でした。(CVE-2023-1402)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。