CVE-2024-34003: Lokale Dateieinbindung über manipulierte Workshop-Sicherungen in Moodle

Im Workshop, auf Deutsch „Gegenseitige Beurteilung“, bewerten sich Teilnehmende untereinander. Wie bewertet wird, regelt die Bewertungsstrategie, etwa eine Rubrik. Wie aus den Beurteilungen am Ende eine Note wird, regelt die Auswertungsmethode. Beide sind Subplugins mit eigenem Unterverzeichnis.

Den Code des gewählten Subplugins lädt Moodle über dessen gespeicherten Namen. Nach einer Wiederherstellung stammten strategy und evaluation direkt aus der Sicherungsdatei und gingen so in den Pfad der einzubindenden Datei ein.

Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-24-0014.

Auf einer sauber eingerichteten Installation reicht das Wiederherstellungsrecht allein nicht. Hinzukommen muss ein direkter Zugang zum Dateisystem des Servers außerhalb von Moodle, wie ihn ein schlecht getrenntes Shared Hosting anderen Kunden gewähren kann.

Trifft beides zu, führt Moodle fremden PHP-Code aus, sobald der Workshop seine Strategie oder Auswertung lädt. Der Code hat dieselben Rechte wie Moodle und erreicht damit Datenbank und Dateiablage der Instanz.

clean_param() beschränkt beide Werte jetzt auf gültige Plugin-Namen: beim Wiederherstellen, beim Laden der Aktivität und beim Setzen der Auswertungsmethode. Ist die Strategie leer, endet der Aufruf mit einem Fehler, bevor Moodle nach einer Datei sucht.