Wie Sie wissen, steht das Moodle Release 5.0 bevor. Um Ihnen weiterhin den gewohnt guten Support und eine stabile Leistung garantieren zu können, müssen wir die Einführung dieses Releases jedoch etwas verzögern.
Wir werden daher vorerst bei der Version 4.5 bleiben und lediglich das anstehende Sicherheitsupdate 4.5.5 einspielen. Der Grund für diese Entscheidung ist, dass die neue Moodle 5.0 Version einige umfangreiche Änderungen an der Infrastruktur mit sich bringt. Die Vorbereitungen hierfür sind sehr intensiv und erfordern unsere volle Konzentration.
Wir werden uns zunächst auf diese infrastrukturellen Anpassungen konzentrieren, bevor wir auf die neue 5er-Version wechseln. Dieser Prozess wird voraussichtlich etwa einen Monat in Anspruch nehmen.
In dieser Zeit werden wir die Infrastruktur in der Nacht umstellen, um die Wartungszeiten zu minimieren.
Zum Update 4.5.5 Dieses Release ist ein Bug-fix und Security-fix update, die genauen Anpassungen können sie hier nachverfolgen:
https://moodledev.io/general/releases/4.5/4.5.5
Unsere Entwicklungskollegen haben die Sicherheitslücken ausgewertet und die kritischsten Punkte für Sie zusammengefasst:
1. Kritische Schwachstelle im MathJax-Filter (CVE-2025-49512):
Eine gravierende Sicherheitslücke betrifft den MathJax-Filter zur Darstellung mathematischer Gleichungen. Nach einem Versionswechsel wird die Sicherheitskomponente ui/safe offenbar nicht mehr geladen. Dies ermöglicht es Lehrpersonen – unbeabsichtigt oder böswillig – beliebiges JavaScript einzubetten, das beim Aufruf durch andere Nutzer:innen ausgeführt werden kann (Cross-Site-Scripting).
2. Potenzielle SQL-Injection in einer Core-Bibliothek (CVE-2025-46337):
Eine weitere Schwachstelle betrifft eine zentrale Bibliothek zur Kommunikation mit PostgreSQL-Datenbanken. Zwar wird die betroffene Funktion weder im Moodle-Kernsystem noch voraussichtlich in 99,9 % aller Erweiterungen genutzt, dennoch wird zur Vorsicht ein Patch bereitgestellt, um jede potenzielle SQL-Injection-Risikoquelle zuverlässig zu eliminieren.
3. Fehlerhafte DNS-Prüfmechanismen mit möglicher RCE-Gefahr (CVE-2025-49514):
Eine kritische Lücke ergibt sich aus einem sogenannten TOCTOU-Fehler (Time-of-Check to Time-of-Use). Während bei der Eingabe von URLs in Komponenten wie dem Filepicker oder Kalender eine DNS-Prüfung inklusive Abgleich mit einer Blockliste erfolgt, entfällt diese Sicherheitsprüfung bei der tatsächlichen Nutzung der Ressourcen. Ein Angreifer könnte dadurch beispielsweise eine DNS-Rebind-Attacke durchführen und interne Ressourcen wie etwa den IMDSv1-Service von AWS ansprechen – was im Extremfall bis zur Remote Code Execution führen könnte (Server-Side Request Forgery).
4. Unzureichende Zugriffskontrolle bei versteckten Kursen (CVE-2025-49515):
Durch gezielte Manipulation von URLs ist es möglich, auf Metadaten versteckter Kurse zuzugreifen – einschließlich Kursnamen und Namen der Kursverantwortlichen. Dies stellt eine Verletzung des Zugriffsschutzes dar und fällt unter das bekannte Problem der Insecure Direct Object References (IDOR).
5. Zugriff auf fremde BigBlueButton-Aufzeichnungen (CVE-2025-49517):
Im BigBlueButton-Modul besteht eine Sicherheitslücke, durch die Lernende mit Zugriff auf die Aufzeichnungen eines Kurses mittels spezifischer Requests unter Umständen auch Zugriff auf andere, nicht freigegebene Aufzeichnungen erhalten können – auch dies ein Fall von mangelnder Zugriffskontrolle (IDOR).
Die beschriebenen Sicherheitslücken treten zwar insgesamt sehr selten auf, doch um die Sicherheit vollumfänglich zu gewährleisten, beginnen wir bereits nächste Woche mit dem Roll-out der Version 4.5.5.
Vielen Dank für Ihr Verständnis.