Im Rahmen unseres kontinuierlichen Sicherheitsmonitorings und unserer Qualitätsstandards nach ISO 27001 haben wir eine Standardeinstellung im Moodle-Core analysiert und optimiert.
Worum geht es? In der Standardkonfiguration von Moodle sind der Gast-Rolle Berechtigungen zugewiesen, die Gästen den Einblick in Profile anderer Lernenden erlauben.
Damit wäre es theoretisch möglich, diesen Gastzugriff zu nutzen, um über einen programmierten Web-Service anhand einer Moodle-ID Name, E-Mail-Adresse und erster/letzter Zugriff von Nutzer/innen Ihrer Plattform auszulesen. Wir haben keine Hinweise darauf, dass das tatsächlich erfolgt ist. Dafür wäre auch tiefergehendes Wissen über die Architektur von Moodle notwendig.
Was haben wir getan?
Um Ihre Moodle-Instanzen präventiv zu schützen haben wir die spezifischen Gast-Rechte (moodle/user:viewdetails) auf allen von uns verwalteten Systemen global entzogen.
Sofern Sie auf Ihrer Moodle-Installation keinen Gastzugriff erlauben oder die Rechte bereits eingeschränkt haben, hat diese Änderung keine Auswirkung auf Ihr System.
Für Sie besteht aktuell kein akuter Handlungsbedarf.
Wichtiger Hinweis für Ihre Admins: Da Moodle-Administratoren auf Kundenseite die Rechtekonfiguration eigenständig wieder anpassen können, empfehlen wir Ihnen dringend, das Gast-Recht in diesem restriktiven Zustand zu belassen.
Bewertung der aktuellen Lage: Es handelt sich hierbei um eine reine Vorsichts- und Härtungsmaßnahme unsererseits. Aktuell liegen uns keine Erkenntnisse oder Hinweise darauf vor, dass diese Standardkonfiguration auf Ihren Systemen unbefugt ausgenutzt wurde oder ein unberechtigter Datenabfluss stattgefunden hat.
Für Rückfragen stehen wir Ihnen wie gewohnt zur Verfügung.