🇰🇷 한글 설명
Moodle에서 사용자를 코스에 등록하며 그룹을 지정할 때, 선택된 그룹이 해당 코스에 속해 있는지 검증하지 않는 결함이 발견되었습니다. 권한이 있는 교사 사용자가 이를 악용하여 자신이 접근 권한이 없는 다른 코스의 그룹에 사용자를 추가할 수 있습니다.
💡 쉬운 설명
선생님 권한을 가진 사람이 원래 관리할 수 없는 다른 수업의 그룹에 학생들을 몰래 집어넣을 수 있는 보안 약점입니다. 그룹이 올바른 수업에 속해 있는지 확인하는 절차가 빠져 있어 발생합니다.
🇺🇸 원문 (English)
A flaw was found in Moodle. When enrolling a user into a course while assigning them to a group, the application does not verify whether the selected group actually belongs to that course. An authenticated user with teacher privileges could exploit this flaw to add users to groups within courses they do not have authorization to access.
📍 영향받는 시스템
Moodle (그룹 할당 및 코스 등록 기능 사용 시)
⚔️ 공격 벡터
인증된 교사 권한을 이용한 그룹 ID 조작을 통한 권한 밖 코스 그룹 등록
🛡️ 대응 방법
Moodle 보안 패치 적용 및 그룹 할당 시 코스 소속 여부 검증 로직 확인
🔧 검증 코드
출력된 Moodle 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 대조합니다.
curl -s https://[YOUR_MOODLE_URL]/version.php | grep -E 'release'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access