[upki-fed:01441] MoodleのShibbolethプラグインの脆弱性につきまして(CVE-2021-40691)

[Takeshi Nishimura <xxxxxxx@xxxxxxxxx>]

学認情報交換MLのみなさま、
NIIの西村です。

MoodleのShibbolethプラグインにつきまして、再び深刻度Seriousの脆弱性が
公表されました。MoodleをShibboleth認証で運用している方は、
下記情報をご参照の上至急対応をご検討ください。

※ Shibboleth自体の脆弱性ではございません

MSA-21-0032: Session Hijack risk when Shibboleth authentication is enabled
ソフトウェア: Moodle
CVE番号: CVE-2021-40691
修正バージョン: 3.11.3, 3.10.7 and 3.9.10

詳細:
https://moodle.org/mod/forum/discuss.php?d=427103

また、これに関して追加の情報をお持ちの方がいらっしゃいましたらご提供いただけました
ら幸いです。

> 2021/07/30 15:25、Takeshi Nishimura <xxxxxxx@xxxxxxxxx>のメール:
> 
> 情報交換MLのみなさま、
> NIIの西村です。
> 
> MoodleのShibbolethプラグインにつきまして、RCE（リモートコード実行）の脆弱性が
> 存在します。MoodleをShibboleth認証で運用している方は、
> 下記情報をご参照の上至急対応をご検討ください。
> 
> ※ Shibboleth自体の脆弱性ではございません
> 
> MSA-21-0022: Remote code execution risk when Shibboleth authentication is enabled
> ソフトウェア: Moodle
> CVE番号: CVE-2021-36394
> 修正バージョン: 3.11.1, 3.10.5 and 3.9.8
> 
> 詳細:
> https://moodle.org/mod/forum/discuss.php?d=424799
> https://haxolot.com/posts/2021/moodle_pre_auth_shibboleth_rce_part1/
> 
> また、これに関して追加の情報をお持ちの方がいらっしゃいましたらご提供いただけました
> ら幸いです。

-- 
西村健
国立情報学研究所 TEL:03-4212-2890
★在宅勤務の場合もありますので、基本的にメールでご連絡ください★
⌘