Heute hat das Moodle Headquarter ein außerplanmäßiges Moodle Release bereitgestellt: die Moodle Version 4.5.3.
Diese Version schließt eine kritische Sicherheitslücke:
Unter bestimmten Umständen kann ein System angreifbar sein, wenn es die Moodle Versionen 4.5.0 bis 4.5.2 nutzt.
Durch dieses Problem wurden möglicherweise einige sensible Benutzerdaten offengelegt, darunter Name, E-Mail-Adresse, gehashte Passwörter, letzte Anmelde-IP und einige Metadaten.
Maßgeblich ist hierbei eine serverseitige PHP-Konfiguration.
Die gute Nachricht:
Von eLeDia gehosteten System sind davon nicht betroffen, da wir über die entsprechende Konfiguration von PHP auf unseren Servern, diese Sicherheitslücke im Vorfeld ausgeschlossen haben.
Wir werden in den kommenden Wochen zwar das Update vorbereiten und nach und nach ausrollen, können hier aber einen entspannten Zeitplan ansetzen.
Für Kunden, die ihr Hosting als SaaS von eLeDia pflegen lassen oder deren Hosting On Premise durch eLeDia gemanaged wird, ist also nichts zu tun und Warnungen des BSI o.ä. zu dieser Lücke können ignoriert werden.
Für Kunden, die nur Support von eLeDia gebucht und ihre Systeme selbst konfiguriert haben, haben wir eine Anleitung verfasst, mit der sie feststellen können, ob sie betroffen sind:
Wenn Sie Moodle 4.5 einsetzen, das interne Moodle-Authentifizierungssystem nutzen und die Einstellung zend.exception_ignore_args nicht aktiviert haben, sollten Sie schnell reagieren.
Step 1: Ist meine Moodle-Seite betroffen?
- Melden Sie sich als Website-Administrator an.
- Navigieren Sie zu Allgemein > Systemnachrichten. Unten auf der Seite wird die aktuelle Moodle-Version angezeigt.
- Wenn Sie Moodle LMS oder Moodle Workplace in den Versionen 4.5.0, 4.5.1 oder 4.5.2 betreiben, ist Ihre Website möglicherweise anfällig. Andere Versionen sind nicht betroffen.
- Prüfen Sie, ob in PHP die Option zend.exception_ignore_args deaktiviert ist
Step 2: Wie sind meine PHP-Einstellungen?
- Navigieren Sie zu Server > PHP Info.
- Suchen Sie nach zend.exception_ignore_args.
- Wenn der Wert ausgeschaltet ist, sind Sie betroffen. Ist er eingeschaltet (auf 'On' oder 1 gesetzt), sind Sie nicht betroffen.
Step 3: Installation des Patches
- Die aktuelle Version finden Sie hier: https://download.moodle.org/releases/latest/
Step 4: Schritte zum Zurücksetzen von Benutzerpasswörtern
- Als Admin können Sie alle Benutzer zwingen, ihr Passwort zu ändern, indem Sie die Option „Passwortänderung fordern“ unter Nutzer/innen > Nutzerverwaltung (Bulk).
- Das sollten Sie für Nutzer/innen tun, die sich direkt über Moodle authentifizieren, also nicht z.B. über OAuth 2 oder SSO.
Step 5: Aktivieren Sie die Multi-Faktor-Authentifizierung
- Um generell die Sicherheit von Nutzern mit direktem Passwort Login in Moodle zu erhöhen, wird die Multi-Faktor-Authentifizierung (MFA) empfohlen.
- Unter Website-Administration > Plugins > Admin-Tools > Multi-Faktor-Authentifizierung verwalten können Sie MFA im Abschnitt allgemeine MFA-Einstellungen aktivieren, indem Sie das Kästchen zur Aktivierung des Plugins anklicken.
- Wenn Sie MFA zum ersten Mal für Ihre Website konfigurieren, sollten Sie sich die Empfehlungen und Beispielkonfigurationen ansehen.
Bei Fragen wenden Sie sich gerne direkt per Mail an uns unter support@eledia.de, mit ihrem Kundennamen und dem Begriff "Moodle Release 4.5.3" im Betreff.