Alert GCSA-25025 - Aggiornamento di sicurezza per Moodle

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

alert ID: GCSA-25025
data: 18 febbraio 2025
titolo: Aggiornamento di sicurezza per Moodle

******************************************************************

:: Descrizione del problema

Sono state rilasciate nuove versioni della piattaforma di e-learning Moodle
con le quali vengono risolte 10 vulnerabilita' di sicurezza.

MSA-25-0001: Arbitrary file read risk through pdfTeX
MSA-25-0002: Feedback response viewing and deletions did not respect Separate Groups mode
MSA-25-0003: Non-searchable tags can still be discovered on the tag search page and in the tags block
MSA-25-0004: Stored XSS in ddimageortext question type
MSA-25-0005: Stored XSS risk in admin live log
MSA-25-0006: Reflected XSS via question bank filter
MSA-25-0007: Upgrade RequireJS including security fix (upstream)
MSA-25-0008: IDOR in badges allows disabling of arbitrary badges
MSA-25-0009: Teachers can evade trusttext config when restoring glossary entries
MSA-25-0010: SQL injection risk in course search module list filter

Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software interessato

Moodle versioni precedenti alla 4.5.2
Moodle versioni precedenti alla 4.4.6
Moodle versioni precedenti alla 4.3.10
Moodle versioni precedenti alla 4.1.16

L'editore specifica che le versioni precedenti alla 4.1.x sono vulnerabili
e non beneficeranno degli aggiornamenti di sicurezza.


:: Impatto

Bypass delle funzionalita' di sicurezza (SFB)
Accesso a dati riservati (ID)
Attacco all'integrita' dei dati (Data Manipulation)
Cross-site Scripting (XSS)


:: Soluzioni

Aggiornare alle versioni piu' recenti

Moodle 4.5.2, 4.4.6, 4.3.10 and 4.1.16

https://moodledev.io/general/releases
https://docs.moodle.org/405/en/Upgrading
https://download.moodle.org/releases/latest/
https://download.moodle.org/releases/security/


:: Riferimenti

Moodle - Annunci di sicurezza
https://moodle.org/security/
https://moodle.org/mod/forum/discuss.php?d=466141
https://moodle.org/mod/forum/discuss.php?d=466142
https://moodle.org/mod/forum/discuss.php?d=466143
https://moodle.org/mod/forum/discuss.php?d=466144
https://moodle.org/mod/forum/discuss.php?d=466145
https://moodle.org/mod/forum/discuss.php?d=466146
https://moodle.org/mod/forum/discuss.php?d=466147
https://moodle.org/mod/forum/discuss.php?d=466148
https://moodle.org/mod/forum/discuss.php?d=466149
https://moodle.org/mod/forum/discuss.php?d=466150

Moodle 4.5.2 release notes
https://moodledev.io/general/releases/4.5/4.5.2

Moodle 4.4.6 release notes
https://moodledev.io/general/releases/4.4/4.4.6

Moodle 4.3.10 release notes
https://moodledev.io/general/releases/4.3/4.3.10

Moodle 4.1.16 release notes
https://moodledev.io/general/releases/4.1/4.1.16

Moodle Security
https://docs.moodle.org/405/en/Security

Riferimenti CVE
I riferimenti CVE sono disponibili negli advisory originali.


GARR CERT Security Alert - subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iGsEAREIACsWIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCZ7S3Xw0cY2VydEBnYXJy
Lml0AAoJEMGcTJNlEmBCtyUAn1HK9avQDxMjLBVeTPOv/y1qtr+2AKDOzPsKFx88
PQK7huLB2/NztPg+QA==
=CePz
-----END PGP SIGNATURE-----