CVE-2025-3636: Zugriff auf fremde RSS-Feeds im RSS-Block von Moodle
Die Seite, die im RSS-Block den Inhalt eines Feeds anzeigt, fragte nur nach der ID. Wem der Feed gehörte, spielte für sie keine Rolle.
1Zusammenfassung
- Advisory
- MSA-25-0019
- System
- Moodle
- Komponente
- RSS-Block (block_rss_client)
- Fehlerklasse
- Insecure Direct Object Reference (IDOR)
- Schwere
- Minor
Im RSS-Block kann jede Person externe Feeds hinterlegen und selbst entscheiden, ob andere sie mitnutzen dürfen. Für die Anzeige eines Feeds lud Moodle den Datensatz allein über seine numerische ID.
Weil diese IDs fortlaufend vergeben werden, war damit jeder gespeicherte Feed erreichbar, auch die privaten.
Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0019.
2Wer ist betroffen
Jedes angemeldete Konto außer dem Gastzugang.
Vor dem Fix verlangte die Seite lediglich eine Anmeldung; ausgeschlossen war nur der Gastzugang. Studierende konnten sie also genauso nutzen wie Lehrende, und ein eigenes Recht für den RSS-Block war nicht nötig.
3Auswirkung
Lesbar wurde, was andere privat abonniert hatten, denn Moodle ruft die hinterlegte Adresse selbst ab und zeigt das Ergebnis an. Bei einem öffentlichen Nachrichtenfeed ist das belanglos.
Enthält die Feed-Adresse dagegen einen persönlichen Zugangsschlüssel und liefert interne Inhalte, konnten fremde Konten diese Inhalte mitlesen. Daten, die in Moodle selbst gespeichert sind, blieben unberührt.
4Behebung
- Betroffene Versionen
- 4.5.0 bis 4.5.3, 4.4.0 bis 4.4.7, 4.3.0 bis 4.3.11, 4.1.17 und älter
- Behoben in
- 4.5.4, 4.4.8, 4.3.12, 4.1.18
- Veröffentlicht
- 22.04.2025
- Fix im Quellcode
- 0bd9720
Die Seite prüft jetzt die Rechte zum Verwalten eigener beziehungsweise freigegebener Feeds. Geladen wird nur noch ein Feed, der der anfragenden Person gehört oder den sie mit dem passenden Recht als freigegebenen Feed sehen darf.
Diese Fehlerklasse prüfen wir in jedem Projekt, das wir bauen oder auditieren. Für fremden Code als Sicherheitsaudit.
5 / Kontakt
Sollen wir Ihre Moodle-Plugins prüfen?
Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.