CVE-2025-3642: Remote Code Execution im EQUELLA-Repository von Moodle
Das EQUELLA-Repository hat seine Dateiverweise mit unserialize() gelesen und dabei jede Klasse zugelassen. Lehrende konnten über manipulierte Verweise Code auf dem Server ausführen.
1Zusammenfassung
- Advisory
- MSA-25-0024
- System
- Moodle
- Komponente
- EQUELLA-Repository (repository_equella)
- Fehlerklasse
- Remote Code Execution (unsichere Deserialisierung)
- Schwere
- Serious
EQUELLA ist eine Plattform für Lernmaterialien, die Moodle als Repository anbinden kann. Eingebundenes Material bleibt dort, in Moodle liegt nur ein gespeicherter Verweis.
Diesen Verweis las das Repository an mehreren Stellen ein, etwa beim Abrufen und beim Synchronisieren einer Datei. Keine davon schränkte die erlaubten Klassen ein.
Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0024.
2Wer ist betroffen
Lehrende und Manager auf Websites, die EQUELLA als Repository eingebunden haben.
Betroffen sind in der Standardkonfiguration die Konten von Lehrenden und Managern, die Dateien aus Repositorys in Kurse einbinden.
Ohne aktiviertes EQUELLA-Repository bestand die Lücke nicht. Sie gehört zur selben Reihe wie CVE-2025-3641 im Dropbox-Repository und wurde im selben Release behoben.
3Auswirkung
Wer eigenen Code auf dem Moodle-Server ausführen kann, liest die Datenbank-Zugangsdaten aus und kommt an Daten aus allen Kursen. Ein Lehrauftrag in einem Kurs genügte dafür als Startpunkt.
4Behebung
- Betroffene Versionen
- 4.5.0 bis 4.5.3, 4.4.0 bis 4.4.7, 4.3.0 bis 4.3.11, 4.1.17 und älter
- Behoben in
- 4.5.4, 4.4.8, 4.3.12, 4.1.18
- Veröffentlicht
- 22.04.2025
- Fix im Quellcode
- 630fbf6
Die Verweise laufen jetzt über eine gemeinsame Methode, die mit unserialize_object() arbeitet und nur einfache Datenobjekte erzeugt.
Bis zum Update lässt sich das Risiko vermeiden, indem das EQUELLA-Repository deaktiviert wird.
Diese Fehlerklasse prüfen wir in jedem Projekt, das wir bauen oder auditieren. Für fremden Code als Sicherheitsaudit.
5 / Kontakt
Sollen wir Ihre Moodle-Plugins prüfen?
Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.