CVE-2025-49517: Fremde BigBlueButton-Aufzeichnungen in Moodle abrufbar
Wer in Moodle eine BigBlueButton-Aktivität öffnen durfte, konnte darüber auch Aufzeichnungen aus anderen Aktivitäten abspielen. Geprüft wurde nur der Zugang zur geöffneten Aktivität; zu welcher Aktivität die Aufzeichnung gehörte, blieb offen.
1Zusammenfassung
- Advisory
- MSA-25-0035
- System
- Moodle
- Komponente
- BigBlueButton-Aktivität (mod_bigbluebuttonbn)
- Fehlerklasse
- Fehlende Autorisierung
- Schwere
- Serious
BigBlueButton ist das Videokonferenzsystem, das Moodle als Aktivität einbindet. Jede Aufzeichnung gehört zu genau einer solchen Aktivität und soll nur für die Personen abrufbar sein, die dort berechtigt sind.
Beim Starten einer Aufzeichnung suchte Moodle sie über ihre Kennung in der gesamten Datenbank. Die Rechteprüfung bezog sich dabei allein auf die Aktivität, über die der Aufruf kam.
Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0035.
2Wer ist betroffen
Nutzende mit Zugriff auf irgendeine BigBlueButton-Aktivität.
Es reichte der Zugang zu irgendeiner BigBlueButton-Aktivität, wie ihn Studierende in ihrem eigenen Kurs haben. Von dort aus ließen sich Aufzeichnungen aus anderen Kursen starten.
3Auswirkung
Zu sehen und zu hören waren Sitzungen, an denen die Person nie teilgenommen hatte, etwa Sprechstunden oder Vorlesungen anderer Studiengänge, jeweils mit Bild und Ton der Beteiligten.
Weil solche Mitschnitte personenbezogene Daten enthalten, kann ein unberechtigter Abruf zugleich ein Datenschutzvorfall sein.
4Behebung
- Betroffene Versionen
- 5.0.0, 4.5.0 bis 4.5.4, 4.4.0 bis 4.4.8, 4.1.18 und älter
- Behoben in
- 5.0.1, 4.5.5, 4.4.9, 4.1.19
- Veröffentlicht
- 17.06.2025
- Fix im Quellcode
- 8169e32
Abgespielt wird jetzt nur, was in der eigenen, bereits nach Rechten gefilterten Aufzeichnungsliste der Aktivität steht. Zusätzlich prüft require_sesskey() nun bei diesen Aufrufen das Sitzungstoken, ebenso beim Beitreten und Abmelden.
Diese Fehlerklasse prüfen wir in jedem Projekt, das wir bauen oder auditieren. Für fremden Code als Sicherheitsaudit.
5 / Kontakt
Sollen wir Ihre Moodle-Plugins prüfen?
Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.