Ginny Hà
VIP Members
-
04/06/2014
-
88
-
689 bài viết
Lỗ hổng trên CMS Moodle ảnh hưởng tới hàng nghìn website học trực tuyến
Các đơn vị, tổ chức sử dụng hệ thống quản lý học tập Moodle cần cập nhật bản vá sớm nhất có thể để khắc phục các lỗi cho phép hacker chiếm quyền kiểm soát máy chủ web.
Moodle là nền tảng mã nguồn mở được các tổ chức, trường học sử dụng để xây dựng các trang web học trực tuyến. Nền tảng hiện được hơn 78.000 trang web e-learning tại 234 quốc gia sử dụng, với số người dùng lên tới hơn 100 triệu.
Một tuần trước, Moodle đã phát hành bản cập nhật cho các phiên bản 3.2.2, 3.1.5, 3.0.9 và 2.7.19. Các chuyên gia của hãng lưu ý "một số vấn đề liên quan đến an ninh đã được khắc phục". Tuy nhiên, hãng không cung cấp thêm chi tiết về lỗ hổng hay mức độ ảnh hưởng.
Thứ 2 vừa qua, thông tin về lỗ hổng đã được chuyên gia Netanel Rubin – cũng là người phát hiện ra lỗ hổng công bố chi tiết. Bản thân từng vấn đề này không nghiêm trọng. Tuy nhiên, khi kết hợp lại có thể cho phép hacker tạo các tài khoản quản trị ẩn và thực thi mã PHP độc hại trên máy chủ.
Theo mô tả của chuyên gia, việc khai thác lợi dụng các giả thuyết (assumption) sai do người phát triển tạo ra như lỗi logic, Object Injection, SQL injection kép và dashboard quản trị vượt quyền.
Vấn đề logic bắt nguồn từ việc thực hiện lại một chức năng nào đó mà không tính đến chức năng ban đầu do các nhà phát triển đặt ra. Theo các chuyên gia, đó là kết quả của việc "có quá nhiều code, quá nhiều nhà phát triển và thiếu dữ liệu".
Rubin cho biết: "Hãy nhớ rằng các lỗ hổng logic có thể và sẽ xảy ra trên hầu hết các hệ thống có cơ sở code lớn. Các vấn đề an ninh do nguyên nhân tương tự, chắc chắn không chỉ có Moodle".
Một yếu tố phần nào giúp hạn chế tác động của vấn đề đó là việc khai thác đòi hỏi phải có một tài khoản trên trang web mục tiêu. Tuy nhiên, điều này không phải là hàng rào bảo vệ chắc chắn bởi rất nhiều người dùng đăng ký các website này.
Việc chiếm được quyền quản trị trên nền tảng Moodle không chỉ nguy hiểm bởi hacker có thể cài đặt 1 backdoor PHP bằng cách tải lên các plug-in hoặc template độc hại, mà còn bởi các cài đặt của Moodle lưu trữ các thông tin cá nhân và thông tin nhạy cảm về các học viên online.
Moodle là nền tảng mã nguồn mở được các tổ chức, trường học sử dụng để xây dựng các trang web học trực tuyến. Nền tảng hiện được hơn 78.000 trang web e-learning tại 234 quốc gia sử dụng, với số người dùng lên tới hơn 100 triệu.
Một tuần trước, Moodle đã phát hành bản cập nhật cho các phiên bản 3.2.2, 3.1.5, 3.0.9 và 2.7.19. Các chuyên gia của hãng lưu ý "một số vấn đề liên quan đến an ninh đã được khắc phục". Tuy nhiên, hãng không cung cấp thêm chi tiết về lỗ hổng hay mức độ ảnh hưởng.
Thứ 2 vừa qua, thông tin về lỗ hổng đã được chuyên gia Netanel Rubin – cũng là người phát hiện ra lỗ hổng công bố chi tiết. Bản thân từng vấn đề này không nghiêm trọng. Tuy nhiên, khi kết hợp lại có thể cho phép hacker tạo các tài khoản quản trị ẩn và thực thi mã PHP độc hại trên máy chủ.
Theo mô tả của chuyên gia, việc khai thác lợi dụng các giả thuyết (assumption) sai do người phát triển tạo ra như lỗi logic, Object Injection, SQL injection kép và dashboard quản trị vượt quyền.
Vấn đề logic bắt nguồn từ việc thực hiện lại một chức năng nào đó mà không tính đến chức năng ban đầu do các nhà phát triển đặt ra. Theo các chuyên gia, đó là kết quả của việc "có quá nhiều code, quá nhiều nhà phát triển và thiếu dữ liệu".
Rubin cho biết: "Hãy nhớ rằng các lỗ hổng logic có thể và sẽ xảy ra trên hầu hết các hệ thống có cơ sở code lớn. Các vấn đề an ninh do nguyên nhân tương tự, chắc chắn không chỉ có Moodle".
Một yếu tố phần nào giúp hạn chế tác động của vấn đề đó là việc khai thác đòi hỏi phải có một tài khoản trên trang web mục tiêu. Tuy nhiên, điều này không phải là hàng rào bảo vệ chắc chắn bởi rất nhiều người dùng đăng ký các website này.
Việc chiếm được quyền quản trị trên nền tảng Moodle không chỉ nguy hiểm bởi hacker có thể cài đặt 1 backdoor PHP bằng cách tải lên các plug-in hoặc template độc hại, mà còn bởi các cài đặt của Moodle lưu trữ các thông tin cá nhân và thông tin nhạy cảm về các học viên online.
Nguồn: ComputerWorld