次のセキュリティの通知が公開されました：

====================================================================== ======== MSA-15-0001：LTI モジュールでアクセスチェックが不十分です

説明：AJAX バックエンドスクリプトに機能チェックがないため、登録ユーザーが登録ツールのリストを検索する可能性があります 問題のサマリー：mod/lti/ajax.php のセキュリティの問題 重要度/リスク：低 影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6、ならびにこれより前のサポートされないバージョン 修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Petr Skoda 氏 問題番号：MDL-47920 CVE 識別子：
CVE-2015-0211 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-47920

====================================================================== ======== MSA-15-0002：承認ページを保留中のコースリクエストにある XSS 脆弱性

説明：承認ページを保留中のコースリクエストのコースサマリーが、エスケープされていないマネージャーに表示され、XSS 攻撃に利用される可能性があります 問題のサマリー：承認ページを保留中のコースリクエストにある XSS（権限昇格？）重要度/リスク：高 影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン 修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Skylar Kelty 氏 問題番号：MDL-48368 回避策：権限 moodle/course:request を信頼できるユーザーにのみ付与します CVE 識別子：CVE-2015-0212 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48368

====================================================================== ======== MSA-15-0003：CSRF が Glossary モジュールで発生する可能性があります

説明：Glossary モジュールの 2 つのファイルにセッションキーチェックがないため、クロスサイトリクエスト偽造が発生する可能性があります 問題のサマリー：
Glossary モジュールに複数の CSRF が存在します 重要度/リスク：高 影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン 修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Ankit Agarwal 氏 問題番号：MDL-48106 CVE 識別子：CVE-2015-0213 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48106

====================================================================== ======== MSA-15-0004：Web サービスのメッセージング機能を通じた情報漏洩

説明：メッセージングがサイトで無効になっている場合でも、Web サービスを通じて人の検索などメッセージ関連の機能にアクセスすることが可能でした 問題のサマリー：メッセージングが有効化されている場合、メッセージの外部機能がチェックを行いません 重要度/リスク：低 影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン 修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Juan Leyva 氏 問題番号：MDL-48329 回避策：Web サービスを無効化するか、メッセージ関連の各機能を無効化します CVE 識別子：
CVE-2015-0214 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48329

====================================================================== ======== MSA-15-0005：Web サービスのカレンダー機能でアクセスチェックが不十分です

説明：Web サービスを通じて、ユーザーが閲覧するための十分な権限のないカレンダーイベントの情報を入手することが可能でした 問題のサマリー：calendar/externallib.php に self::validate_context($context); がありません 重要度/リスク：低 影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン 修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Petr Skoda 氏 問題番号：MDL-48017 CVE 識別子：CVE-2015-0215 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48017

====================================================================== ======== MSA-15-0006：Lesson モジュールの格付けを行う機能に XSS ビットマスクがありません

説明：Lesson モジュールの格付けを行う機能を持つユーザーは、XSS のリスクがあるユーザーとして報告されませんが、これらのユーザーのフィードバックが整理されないまま表示されていました 問題のサマリー：mod/lesson:grade 機能に RISK_XSS がありませんが、エッセイのフィードバックが noclean=true で表示されます 重要度/リスク：低 影響を受けるバージョン：2.8 から 2.8.1 修正されたバージョン：
2.8.2 報告者：Damyon Wiese 氏 問題番号：MDL-48034 CVE 識別子：
CVE-2015-0216 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48034

====================================================================== ======== MSA-15-0007：ReDoS がマルチメディアフィルターで発生する可能性があります

説明：追加のサーバーロードを作成したり、特定のページを利用できなくしたりするために、フィルターの最適でない正規表現が悪用される可能性があります 問題のサマリー：マルチメディアフィルターの ReDOS 重要度/リスク：高 影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン 修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Nicolas Martignoni 氏 問題番号：MDL-48546 回避策：マルチメディアフィルターを無効にします CVE 識別子：CVE-2015-0217 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-48546

====================================================================== ======== MSA-15-0008：Shibboleth 認証プラグインを通じた強制的なログアウト

説明：Shibboleth を通じて認証されていない場合でも、ユーザーをログアウトするリクエストを偽造することが可能でした 問題のサマリー：auth/shibboleth/logout.php を通じた強制的なログアウト 重要度/リスク：高 影響を受けるバージョン：2.8 から 2.8.1、2.7 から 2.7.3、2.6 から 2.6.6 ならびにこれより前のサポートされないバージョン 修正されたバージョン：2.8.2、2.7.4 および 2.6.7 報告者：Petr Skoda 氏 問題番号：MDL-47964 回避策：Web サーバー構成でファイル auth/shibboleth/logout.php へのアクセスを拒否します CVE 識別子：
CVE-2015-0218 変更内容（マスター）：
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-47964

====================================================================== ========

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Fedora 21：moodle-2.7.5-1.fc21（2015-1751）

medium Nessus プラグイン ID 81360

変更ログが見つかりません