Multiples Vulnérabilités dans Moodle
Ce 21 décembre 2023, un avis du CERT-FR révèle pas moins de 10 failles dont l'exploitation peut donner lieu à des injections de code XSS, déni de service à distance, exécution de code arbitraire à distance et atteinte à la confidentialité des données.
Moodle, la star des plateformes e-learning ?
Moodle est une plateforme d'apprentissage en ligne (LMS, pour Learning Management System) open source. Elle est une référence dans le domaine. Moodle est conçu pour aider les éducateurs à créer des cours en ligne interactifs et à gérer l'apprentissage numérique. Ce logiciel d'e-learning permet la création facile de cours avec des ressources variées telles que des documents, des vidéos, des quiz et des forums de discussion. La plateforme est personnalisable, permettant aux utilisateurs de développer des extensions et d'adapter l'environnement d'apprentissage selon leurs besoins spécifiques. Les enseignants peuvent suivre les progrès des élèves, évaluer leur travail et faciliter les interactions au sein de la communauté éducative.
Moodle est utilisé dans les universités et un grand nombre d'établissements scolaires.
10 failles importantes dévoilées
Ce sont pas moins de 10 CVE (ou Common Vulnerabilities and Exposures) qui ont été annoncées. Toutes ne sont pas encore publiquement consultables, mais les conséquences possibles des trous de sécurité semblent plutôt critiques. Voici la liste des versions de Moodle affectées par ces vulnérabilités :
- Moodle versions 4.3.x antérieures à 4.3.1
- Moodle versions 4.2.x antérieures à 4.2.4
- Moodle versions 4.1.x antérieures à 4.1.7
- Moodle versions 4.0.x antérieures à 4.0.12
- Moodle versions 3.11.x antérieures à 3.11.18
- Moodle versions antérieures à 3.9.25
Pour les risques, sont évoqués :
- L'exécution de code arbitraire à distance
- Le déni de service à distance
- L'atteinte à la confidentialité des données
- L'injection de code indirecte à distance (XSS)
Mise à jour et web application firewall !
Mise à jour immédiate : Le dépôt GIT de Moodle permet déjà d'obtenir les correctifs aux failles de sécurité. Il est conseillé de patcher au plus vite votre version de Moodle.
Que faire si, à l'approche des vacances, vous n'avez pas le temps de mettre votre plateforme e-learning en condition de cybersécurité ?
La mise en service d'un WAF (Web Application Firewall), tel que ProtectMy.site, peut vous aider à protéger votre installation de Moodle. Grâce aux règles OWASP, les injections XSS sont détectées et bloquées avant qu'elle n'atteignent votre logiciel et son hébergement. De plus, avec le firewall CrowdSec et son analyse comportementale, plus de 3 millions d'adresses IP cybermalveillantes sont déjà bloquée. Les tentatives d'exploitation de CVE pourront être bloquées dès mise à disposition de leur signature. La mise en service de ProtectMy.site est rapide.