🇰🇷 한글 설명
Moodle에서 사용자 목록 필터가 사용자 프로필 필드에 대한 가시성 제한을 적절히 강제하지 않는 결함이 발견되었습니다. 매니저 권한을 가진 권한 있는 사용자가 직접 볼 수 없는 프로필 속성을 사용하여 사용자 목록을 필터링함으로써, 숨겨진 사용자 데이터를 추론하여 정보를 유출할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 원래는 볼 수 없는 사용자의 개인 정보를 필터링 기능을 이용해 간접적으로 알아낼 수 있는 문제입니다. 직접적인 데이터 노출은 아니지만, 필터링 조건을 통해 숨겨진 정보를 유추할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Moodle. User list filters do not properly enforce visibility restrictions on user profile fields. An authorized user with manager privileges can filter user lists using profile attributes they are not permitted to view directly, resulting in unauthorized information disclosure by inferring hidden user data.
📍 영향받는 시스템
Moodle (매니저 권한을 가진 사용자 계정이 존재하는 모든 버전)
⚔️ 공격 벡터
매니저 권한을 가진 사용자가 사용자 목록 필터링 기능을 악용하여 비공개 프로필 속성으로 검색 시도
🛡️ 대응 방법
Moodle 보안 패치를 적용하거나 사용자 프로필 필드에 대한 필터링 권한 설정을 재검토하십시오.
🔧 검증 코드
출력된 Moodle 버전을 확인하여 해당 취약점이 해결된 최신 보안 패치 버전인지 확인하십시오.
curl -s https://[MOODLE_URL]/version.php | grep -E 'release'