【CVE-2024-48898】Moodleに深刻な権限昇格の脆弱性、複数バージョンでセキュリティリスクが発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Moodle 4.4.0から4.4.4における権限昇格の脆弱性
Moodleの脆弱性詳細まとめ
Missing Authorizationについて
Moodleの脆弱性に関する考察
参考サイト

記事の要約

Moodleに権限のない報告書の削除が可能な脆弱性
複数バージョンに影響するセキュリティ上の欠陥
CVE-2024-48898として識別される深刻な問題

Moodle 4.4.0から4.4.4における権限昇格の脆弱性

Moodleにおいて、ユーザーが本来アクセス権限を持たない報告書のオーディエンスを削除できる深刻な脆弱性が発見され、2024年11月18日に公開された。この脆弱性は【CVE-2024-48898】として識別されており、権限のない報告書に対する不正なアクセスと削除操作が可能になるという深刻な問題を引き起こす可能性がある。^[1]

この脆弱性は複数のバージョンに影響を及ぼしており、特にMoodle 4.4.0から4.4.4、4.3.0から4.3.8、4.2.0から4.2.11、4.1.0から4.1.14、そして4.1.0以前のバージョンが影響を受けることが判明した。NVDの評価によると、この脆弱性のCVSSスコアは6.5（Medium）とされており、攻撃者は低い特権レベルで攻撃を実行できる可能性がある。

Red Hat社の報告によると、この脆弱性はCWE-862（Missing Authorization）に分類される認可制御の不備に起因している。攻撃条件の複雑さは低く、ネットワークを介したアクセスが可能であることから、適切なパッチ適用による対策が推奨されている。

Moodleの脆弱性詳細まとめ

項目	詳細
CVE番号	CVE-2024-48898
影響を受けるバージョン	4.4.0-4.4.4、4.3.0-4.3.8、4.2.0-4.2.11、4.1.0-4.1.14、4.1.0以前
脆弱性の種類	Missing Authorization (CWE-862)
CVSSスコア	6.5 (Medium)
攻撃条件	低い特権レベル、ネットワークアクセス必要
公開日	2024年11月18日

Missing Authorizationについて

Missing Authorizationとは、システムが特定の機能やリソースへのアクセスを適切に制御できていない状態を指す脆弱性のことである。以下のような特徴が挙げられる。

ユーザーの権限チェックが不十分または欠如
認証済みユーザーによる権限昇格が可能
重要なリソースへの不正アクセスのリスクが存在

Moodleの事例では、報告書のオーディエンス削除機能においてMissing Authorizationの問題が発生しており、権限のないユーザーが他のユーザーの報告書に対して削除操作を実行できる状態になっていた。この脆弱性は教育機関のデータセキュリティに重大な影響を及ぼす可能性があるため、早急な対応が必要とされている。

Moodleの脆弱性に関する考察

Moodleにおける権限管理の不備は、教育機関のセキュリティ体制に重大な警鐘を鳴らすものと考えられる。特に遠隔学習やオンライン教育が一般化している現代において、学習管理システムの脆弱性は学生や教職員の個人情報漏洩につながる可能性があることから、早急な対応と継続的な監視体制の構築が不可欠であるだろう。

今後の課題として、権限管理システムの抜本的な見直しと、定期的なセキュリティ監査の実施が挙げられる。特に複数のバージョンに影響を及ぼす脆弱性が発見されたことから、バージョン管理とセキュリティパッチの適用プロセスを改善し、迅速な対応が可能な体制を整える必要があるだろう。

教育機関のデジタルトランスフォーメーションが加速する中、Moodleのようなプラットフォームの安全性確保は最重要課題となっている。今後はAIを活用した異常検知システムの導入や、ゼロトラストセキュリティの考え方に基づいたアクセス制御の実装など、より高度なセキュリティ対策の検討が望まれる。