Developerzy popularnego oprogramowania Moodle ostrzegają przed wieloma lukami. Część z nich ma nieznany wpływ na bezpieczeństwo systemu, inne mogą posłużyć do ominięcia zabezpieczeń, przeprowadzenia ataku CSRF i kradzieży poufnych danych. Jeden z błędów znaleziono w TinyMCE.Występuje on w wersjach 2.4, 2.3 do 2.3.3+, 2.2 do 2.2.6+ i 2.1 do 2.1.9+.
Analiza luki w Moodle.
Dane przekazywane za pośrednictwem parametru „returnurl” nie są odpowiednio weryfikowane przed wykorzystaniem do przekierowania użytkownika. Napastnik może dzięki temu przekierować użytkownika do dowolnej witryny. Luka znajduje się w wersjach 2.4, 2.3 do 2.3.3+ oraz 2.2 do 2.2.6+.
Użytkownicy mogą przeprowadzać niektóre działania za pośrednictwem zapytań HTTP bez odpowiedniej weryfikacji tych zapytań. Moodle nieprawidłowo ogranicza dostęp do niektórych postów, co pozwala na zapoznanie się osobie nieuprawnionej z nieprzeznaczoną dla niej treścią.
Użytkownicy Moodle’a powinni zaktualizować oprogramowanie do wersji 2.4.1, 2.3.4, 2.2.7, 2.1.10 lub 1.9.19+.
Luka w Snort
Błąd brzegowy w funkcji „rule20275eval()” pozwala na zaatakowanie oprogramowania Snort. Dziura ujawnia się podczas przetwarzania danych DCE/RPC i może zostać wykorzystana do wywołania błędu przepełnienia bufora. Udany atak umożliwia wykonanie dowolnego kodu. Błąd znaleziono w wersjach 2.9.40, 2.9.3.1 i 2.9.2.3. Niewykluczone, że inne edycje również mogą go zawierać. Użytkownicy powinni zaktualizować oprogramowania do wersji opublikowanych 17 stycznia 2013 lub później.
źródło.Arcabit.pl