abraxas/moodle-grades-gradeitemsMoodle 5.2.3 - Élevée - À distance - IDOR - core_grades_get_gradeitems liste les éléments de note masqués
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · moodle-grades-gradeitems
Write-up : https://abraxaslabs.tech/research/moodle-grades-gradeitems
Moodle LMS 5.2.3 - Moodle
Classe : IDOR Portée : Distante
core_grades_get_gradeitems est un service ajax ainsi que le service mobile officiel, sans clé capabilities dans services.php. validate_context est la seule barrière. Ensuite, grade_item::fetch_all extrait tous les éléments du cours. Le array_filter écarte GRADE_TYPE_NONE, les éléments de catégorie et l'élément du cours. Le masquage (hidden) ne figure pas dans ce filtre. Le service frère core_grades_get_grade_tree exige déjà moodle/grade:viewall.
Un étudiant inscrit envoie en POST {courseid} et obtient les noms des éléments de notation masqués que l'interface du carnet de notes de l'étudiant masque encore.
| ID | pas encore de CVE |
| CWE | CWE-862 / CWE-200 |
| CVSS | Moyen : 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
| Produit | Moodle |
| Affecté | 5.2.3 tag v5.2.3 (344232c15336c71b80f9aca8359ce0e0a9f3d116) |
| Auth | étudiant inscrit (moodle/grade:view ; sans viewall / viewhidden) |
| Licence | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1 uniquement |
Auteur : un étudiant inscrit au cours. Il envoie en POST le service AJAX avec {courseid}. La réponse contient des noms, des identifiants et des catégories. Le schéma de retour ne contient aucune note. Pas de RCE. Pas de LPE. Pas d'écriture de note.
| Privilège | Méthode / sink | Reconnaissance / intégrité / disponibilité | Prouvé en lab ou déduit |
|---|---|---|---|
| Lire le nom, l'id et la catégorie d'un élément de notation masqué | POST /lib/ajax/service.php?sesskey= core_grades_get_gradeitems {courseid} | Reconnaissance | Prouvé en lab. HTTP 200, les noms incluent MOODLE-GRADES-GRADEITEMS-WITNESS |
| Lire le nom, l'id et la catégorie d'un élément de notation visible | Même réponse | Reconnaissance (prévu pour les enseignants) | Prouvé en lab. les noms incluent Visible Lab Assignment |
| Même catalogue via le service mobile officiel | Même classe, services inclut MOODLE_OFFICIAL_MOBILE_SERVICE | Reconnaissance | Déduit de services.php. Le lab a utilisé AJAX. |
Parcourir des valeurs courseid séquentielles pour les cours auxquels l'étudiant peut accéder | Même méthode, ids devinés | Reconnaissance | Déduit. Le lab a utilisé l'id de cours préchargé 2 |
| Voir l'élément masqué dans l'interface du carnet de notes de l'étudiant | GET /grade/report/user/index.php?id= | n/a | Prouvé en lab fermé. hidden-in-ui=False, visible-in-ui=True |
| Appeler sans session | AJAX avec une sesskey factice | n/a | Prouvé en lab fermé. servicerequireslogin |
| Appeler en tant qu'utilisateur connecté non inscrit | AJAX d'un tiers, même courseid | n/a | Prouvé en lab fermé. requireloginerror |
| Lire les notes d'autres étudiants ou écrire des notes | n/a | n/a | Fermé. Les clés de retour sont id, itemname, category |
| RCE PHP / LPE OS | n/a | n/a | Fermé. Ce résidu est une lecture de catalogue |
Un enseignant ou un gestionnaire disposant déjà de moodle/grade:viewall voit déjà le catalogue. Les appelants invités / non authentifiés ont toujours besoin d'un contexte de cours.
Mêmes restes d'épinglage : lecture de fichier img Blackboard, injection SQL enrol_database, IDOR sur les retours de notes.
J'ai épinglé moodle/moodle v5.2.3 après MSA-26-0042/0043. Les services web de notes se trouvaient dans cette fenêtre MSA. get_gradeitems.php n'a toujours pas de require_capability. L'interface étudiant masquait déjà l'élément. Le catalogue AJAX, lui, ne le faisait pas.
Fausses pistes déjà consignées : considérer un AJAX non authentifié renvoyant 200 comme la fuite (le corps est servicerequireslogin) ; qualifier cela d'IDOR de score parce que le nom de la méthode contient grade (le schéma ne contient que des noms) ; s'attendre à ce que get_grade_tree soit le même reste (il exige déjà viewall). Un reverse shell. Du théâtre.
Moodle v5.2.3 en direct sur php:8.3-apache + MariaDB 11.4. Le seed inscrit labstudent, laisse laboutsider hors du cours, et crée un élément manuel visible ainsi qu'un élément masqué dont le nom est le témoin. run.sh copie un épinglage local ou exécute git clone --depth 1 --branch v5.2.3. L'arborescence Moodle n'est pas incluse dans ce pack.
python3 moodle-grades-gradeitems-Abraxas-Labs.py
ou
cd lab
./run.sh
Ciblez uniquement http://127.0.0.1:19590. Composez le projet moodle-grades-gradeitems. La stack est démontée après l'exécution.
SUCCESS moodle-grades-gradeitems student-ajax=200 hidden-in-ajax=yes hidden-in-ui=no visible-in-ajax=yes visible-in-ui=yes outsider-error=yes unauth-error=yes MOODLE-GRADES-GRADEITEMS-WITNESS
Après validate_context, exiger la même restriction que get_grade_tree : require_capability('moodle/grade:viewall', $context). Supprimer également les éléments masqués, sauf si l'appelant dispose de moodle/grade:viewhidden. Ajouter un cas Behat/PHPUnit : étudiant inscrit, élément manuel masqué, core_grades_get_gradeitems doit omettre cet élément (ou renvoyer 403). L'interface du carnet de notes de l'étudiant le masque déjà.
get_gradeitems.phpget_grade_tree.phpservices.php (core_grades_get_gradeitems, pas de capabilities)