Bonjour,
Suite un audit demandé à un prestataire extérieur pour évaluer le niveau de sécurité de nos différents serveurs web, une défaillance de sécurité a été signalée notre service technique, concernant l’interface d’administration Moodle.
La préconisation faite par le prestataire est de ne pas permettre la connexion à l’interface d’administration Moodle depuis l’extérieur, ou depuis des adresses IP fixes non autorisées.
La problématique majeure d’un tel blocage pour moi qui suis administrateur moodle, serait de ne pas pouvoir me connecter depuis le train, lorsque je suis en déplacement, à l’hôtel…
Je précise que je ne suis pas moi-même compétent pour évaluer les risques et les solutions à envisager. C’est pourquoi je me permets ce message afin de savoir si d’autres techniciens ont rencontré ce problème, et éventuellement évoquer les solutions apportées.
Informations techniques
· Version Moodle précise : Moodle 3.2.1+ (Build: 20170127)
· Version PHP : 5.6.31
· Version MySQL : MariaDB 5.5
· Navigateur internet utilisé : Chrome, IE, Firefox
*******
Description précise du problème, mentionné par le prestataire
Deux interfaces d’administration sont publiquement accessibles sur Internet (Moodle, phpMyadmin)
Risques :
Deux interfaces d’administration découvertes au cours de l’audit sont publiquement accessibles depuis Internet.
La compromission de l’une de ces interfaces permettrait à un attaquant de disposer de l’ensemble des fonctionnalités dont elles disposent pouvant ainsi aller jusqu’à la compromission du serveur sous-jacent.
Les interfaces d’administration détectées ne sont pas protégées contre les attaques par force brute, augmentant le risque de compromission des comptes des utilisateurs de la plateforme.
- Compromission du serveur sous-jacent
- Accès à des informations techniques
- Usurpation d’identité
- Déni de service
Recommandation du prestataire:
Filtrer l’accès par IP source aux interfaces d’administration à l’aide d’un pare-feu ou d’une configuration logicielle.
*****
J’espère avoir été clair dans ma description ? Merci d'avance de l'aide que vous pourrez m'apporter.
