Moodle - Remote File Disclosure Vulnerability

Ultimamente he visto muchos moodle desactualizados en webs importantes... y las siguentes versiones estan afectadas con la vulnerabilidad Remote File Disclosure:



S.u.S.E. openSUSE 11.1

S.u.S.E. openSUSE 11.0

S.u.S.E. openSUSE 10.3

RedHat Fedora 9 0

RedHat Fedora 10

Moodle moodle 1.9.4

Moodle moodle 1.9.3

Moodle moodle 1.9.3

Moodle moodle 1.9.2

Moodle moodle 1.8.8

Moodle moodle 1.8.7

Moodle moodle 1.8.6

Moodle moodle 1.8.5

Moodle moodle 1.8.4

Moodle moodle 1.8.3

Moodle moodle 1.8.2

Moodle moodle 1.7.7

Moodle moodle 1.7.6

Moodle moodle 1.7.5

Moodle moodle 1.7.4

Moodle moodle 1.7.3

Moodle moodle 1.7.2

Moodle moodle 1.7.1

Moodle moodle 1.7.1

Moodle moodle 1.6.9

Moodle moodle 1.6.8

Moodle moodle 1.6.7

Moodle moodle 1.6.6

Moodle moodle 1.6.5

Moodle moodle 1.6.4

Moodle moodle 1.6.3

Moodle moodle 1.6.2

Moodle moodle 1.6.1

Moodle moodle 1.6 dev

Moodle moodle 1.6

Moodle moodle 1.9

Moodle moodle 1.7

Moodle moodle 1.6.1 +

Debian Linux 5.0 sparc

Debian Linux 5.0 s/390

Debian Linux 5.0 powerpc

Debian Linux 5.0 mipsel

Debian Linux 5.0 mips

Debian Linux 5.0 m68k

Debian Linux 5.0 ia-64

Debian Linux 5.0 ia-32

Debian Linux 5.0 hppa

Debian Linux 5.0 armel

Debian Linux 5.0 arm

Debian Linux 5.0 amd64

Debian Linux 5.0 alpha

Debian Linux 5.0

Debian Linux 4.0 sparc

Debian Linux 4.0 s/390

Debian Linux 4.0 powerpc

Debian Linux 4.0 mipsel

Debian Linux 4.0 mips

Debian Linux 4.0 m68k

Debian Linux 4.0 ia-64

Debian Linux 4.0 ia-32

Debian Linux 4.0 hppa

Debian Linux 4.0 armel

Debian Linux 4.0 arm

Debian Linux 4.0 amd64

Debian Linux 4.0 alpha

Debian Linux 4.0

Las mas actualizadas y no vulnerables son:

Moodle moodle 1.9.5
Moodle moodle 1.8.9
Moodle moodle 1.7.7+
Moodle moodle 1.6.9+

¿Como funciona el Bug?
- Facil un Input mal configurado permite la exploracion de Directorios del servidor...

el funcionamiento:

$$ \input{/etc/passwd} $$

pero lo podrias explotar usando un simple path traversal

ejemplo:

GET /vulnerable.php?var=../vulfile.php HTTP/1.1
Host: localhost

esto es muy peligroso porque como explique se pueden llamar directorios del servidor y con esto podrian ver mas de lo permitido.


¿Como resolverlo?

- pues a su codigo php se le puede agregar un sistema de filtrado de caracteres que son los que se usan principalmente para este tipo de ataques: "/","\".." y mas... pero con un tipo de bypass podrian pasar estos filtros si no estan bien configurados... yo les recomiendo que si no saben mucho de programación en el respectivo lenguaje mejor esperen una actualizacion o si existe la descarguen.

una recomendación mas:

No usen strip_tags para este tipo de vulnerabilidad y mantengan actualizados sus scripts http://download.moodle.org/

Fuentes de ayuda: Security-focus y Wikipedia


Saludos
Dr.White