BDU:2022-06383: Уязвимость виртуальной обучающей среды Moodle, связанная с восстановлением в памяти недостоверных данных, позволяющая нарушителю выполнить произвольный код

Описание уязвимости Уязвимость виртуальной обучающей среды Moodle связана с небезопасной проверкой ввода при восстановлении файлов резервных копий. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем загрузки восстановленного файла
Вендор ООО «Ред Софт», ФССП России, Мартин Дугамас
Наименование ПО РЕД ОС (запись в едином реестре российских программ №3751), ОС ТД АИС ФССП России, Мoodle
Версия ПО 7.3 (РЕД ОС), ИК6 (ОС ТД АИС ФССП России), от 4.0 до 4.0.3 включительно (Мoodle), от 3.11 до 3.11.9 включительно (Мoodle), от 3.9 до 3.9.16 включительно (Мoodle)
Тип ПО Операционная система, Сетевое программное средство
Операционные системы и аппаратные платформы
Тип ошибки Восстановление в памяти недостоверных данных
Идентификатор типа ошибки CWE-502
Класс уязвимости Уязвимость архитектуры
Дата выявления 08.08.2022
Базовый вектор уязвимости
  • CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
  • CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Уровень опасности уязвимости Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Moodle:
http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-75405
https://moodle.org/mod/forum/discuss.php?d=438393

Для Ред ОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Нарушение авторизации
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются