CVE-2025-3638: CSRF bei der Analyseanfrage im Brickfield-Tool von Moodle
Eine Barrierefreiheitsanalyse im Brickfield-Tool ließ sich von einer fremden Webseite aus anfordern, sobald eine berechtigte Person diese Seite öffnete.
1Zusammenfassung
- Advisory
- MSA-25-0021
- System
- Moodle
- Komponente
- Brickfield Accessibility Toolkit (tool_brickfield)
- Fehlerklasse
- Cross-Site Request Forgery (CSRF)
- Schwere
- Minor
Brickfield prüft Kursinhalte auf Barrierefreiheit. Wer eine Analyse anfordert, stellt sie nur in eine Warteschlange; die eigentliche Arbeit erledigt später eine geplante Aufgabe.
Der Aufruf, der diese Anforderung entgegennimmt, kam ohne Prüfung des sesskey aus. Moodle konnte deshalb nicht unterscheiden, ob die Anforderung aus dem eigenen Kursmenü stammte oder von einer anderen Website im selben Browser abgeschickt wurde.
Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0021.
2Wer ist betroffen
Angemeldete Personen, die im Brickfield-Tool Analysen anfordern dürfen.
Damit etwas passiert, muss eine Person mit dem Analyse-Recht während ihrer Moodle-Sitzung die präparierte Seite aufrufen. Wer diese Seite betreibt, benötigt selbst keinerlei Zugang zur Instanz.
3Auswirkung
Die Folge ist eine ungeplante Analyse für einen Kurs, die bei der nächsten Ausführung der geplanten Aufgaben Rechenzeit auf dem Server belegt. Auf Kursinhalte und Berechtigungen wirkt sie sich nicht aus.
4Behebung
- Betroffene Versionen
- 4.5.0 bis 4.5.3, 4.4.0 bis 4.4.7, 4.3.0 bis 4.3.11, 4.1.17 und älter
- Behoben in
- 4.5.4, 4.4.8, 4.3.12, 4.1.18
- Veröffentlicht
- 22.04.2025
- Fix im Quellcode
- 91e6ad4
Bevor eine Kursanalyse in die Warteschlange kommt, ruft Moodle jetzt require_sesskey() auf. Fehlt das Token, bricht die Anfrage ab.
Diese Fehlerklasse prüfen wir in jedem Projekt, das wir bauen oder auditieren. Für fremden Code als Sicherheitsaudit.
5 / Kontakt
Sollen wir Ihre Moodle-Plugins prüfen?
Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.