Fedora 21：moodle-2.7.5-1.fc21（2015-1751）

medium Nessus プラグイン ID 81360

Language:

概要

リモート Fedora ホストに、セキュリティ更新がありません。

説明

次のセキュリティの通知が公開されました：

====================================================================== ======== MSA-15-0001：LTI モジュールでアクセスチェックが不十分です

説明：AJAX バックエンドスクリプトに機能チェックがないため、登録ユーザーが登録ツールのリストを検索する可能性があります問題のサマリー：mod/lti/ajax.php のセキュリティの問題重要度/リスク：低影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6、ならびにこれより前のサポートされないバージョン修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Petr Skoda 氏問題番号：MDL-47920 CVE 識別子：
CVE-2015-0211 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-47920

====================================================================== ======== MSA-15-0002：承認ページを保留中のコースリクエストにある XSS 脆弱性

説明：承認ページを保留中のコースリクエストのコースサマリーが、エスケープされていないマネージャーに表示され、XSS 攻撃に利用される可能性があります問題のサマリー：承認ページを保留中のコースリクエストにある XSS（権限昇格？）重要度/リスク：高影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Skylar Kelty 氏問題番号：MDL-48368 回避策：権限 moodle/course:request を信頼できるユーザーにのみ付与します CVE 識別子：CVE-2015-0212 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48368

====================================================================== ======== MSA-15-0003：CSRF が Glossary モジュールで発生する可能性があります

説明：Glossary モジュールの 2 つのファイルにセッションキーチェックがないため、クロスサイトリクエスト偽造が発生する可能性があります問題のサマリー：
Glossary モジュールに複数の CSRF が存在します重要度/リスク：高影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Ankit Agarwal 氏問題番号：MDL-48106 CVE 識別子：CVE-2015-0213 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48106

====================================================================== ======== MSA-15-0004：Web サービスのメッセージング機能を通じた情報漏洩

説明：メッセージングがサイトで無効になっている場合でも、Web サービスを通じて人の検索などメッセージ関連の機能にアクセスすることが可能でした問題のサマリー：メッセージングが有効化されている場合、メッセージの外部機能がチェックを行いません重要度/リスク：低影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Juan Leyva 氏問題番号：MDL-48329 回避策：Web サービスを無効化するか、メッセージ関連の各機能を無効化します CVE 識別子：
CVE-2015-0214 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48329

====================================================================== ======== MSA-15-0005：Web サービスのカレンダー機能でアクセスチェックが不十分です

説明：Web サービスを通じて、ユーザーが閲覧するための十分な権限のないカレンダーイベントの情報を入手することが可能でした問題のサマリー：calendar/externallib.php に self::validate_context($context); がありません重要度/リスク：低影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Petr Skoda 氏問題番号：MDL-48017 CVE 識別子：CVE-2015-0215 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48017

====================================================================== ======== MSA-15-0006：Lesson モジュールの格付けを行う機能に XSS ビットマスクがありません

説明：Lesson モジュールの格付けを行う機能を持つユーザーは、XSS のリスクがあるユーザーとして報告されませんが、これらのユーザーのフィードバックが整理されないまま表示されていました問題のサマリー：mod/lesson:grade 機能に RISK_XSS がありませんが、エッセイのフィードバックが noclean=true で表示されます重要度/リスク：低影響を受けるバージョン：2.8 から 2.8.1 修正されたバージョン：
2.8.2 報告者：Damyon Wiese 氏問題番号：MDL-48034 CVE 識別子：
CVE-2015-0216 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48034

====================================================================== ======== MSA-15-0007：ReDoS がマルチメディアフィルターで発生する可能性があります

説明：追加のサーバーロードを作成したり、特定のページを利用できなくしたりするために、フィルターの最適でない正規表現が悪用される可能性があります問題のサマリー：マルチメディアフィルターの ReDOS 重要度/リスク：高影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Nicolas Martignoni 氏問題番号：MDL-48546 回避策：マルチメディアフィルターを無効にします CVE 識別子：CVE-2015-0217 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48546

====================================================================== ======== MSA-15-0008：Shibboleth 認証プラグインを通じた強制的なログアウト

説明：Shibboleth を通じて認証されていない場合でも、ユーザーをログアウトするリクエストを偽造することが可能でした問題のサマリー：auth/shibboleth/logout.php を通じた強制的なログアウト重要度/リスク：高影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Petr Skoda 氏問題番号：MDL-47964 回避策：Web サーバー構成でファイル auth/shibboleth/logout.php へのアクセスを拒否します CVE 識別子：
CVE-2015-0218 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-47964

====================================================================== ========

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。