CVE-2025-11346

W ILIAS do wersji 9.21/10.9/11.2 odkryto lukę w funkcji ilObjMediaObjectGUI::uploadMultipleSubtitleFileObject w komponencie MediaPool, która pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 9.22, 10.10 i 11.3 łagodzi problem.

ILIAS przed wersjami 9.22, 10.10 i 11.3 zawiera nieuwierzytelnioną podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie serializowanych obiektów przez punkt końcowy uwierzytelniania LTI i wywołanie deserializacji przez punkt końcowy wylogowania Shibboleth. Atakujący mogą zapisać dowolne serializowane obiekty w magazynie sesji, a następnie wykorzystać dostępny gadżet POP przez nieograniczoną deserializację w punkcie wylogowania, aby zapisać treść PHP kontrolowaną przez atakującego w ścieżce dostępnej z sieci i osiągnąć zdalne wykonanie kodu jako użytkownik serwera WWW.

ILIAS przed wersjami 9.24, 10.12 i 11.5 zawiera podatność wstrzyknięcia obiektu PHP, która pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia lub importu testów na deserializację dowolnych obiektów poprzez spreparowane archiwa testów. Atakujący mogą wstrzyknąć złośliwy atrybut sekwencji tst_sequence, który jest przekazywany do unserialize(), wykorzystując łańcuchy gadżetów Guzzle lub Monolog do zapisu plików PHP i wykonania kodu.

ILIAS w wersjach przed 9.24, 10.12 i 11.5 zawiera podatność nieograniczonego przesyłania plików w obsłudze obrazów przy imporcie pytań QTI (ilQtiMatImageSecurity). Uwierzytelnieni autorzy mogą przesłać wykonywalne pliki, a atakujący z uprawnieniami do importu puli pytań może zaimportować spreparowane archiwum zapisujące plik .htaccess i plik PHP do katalogu obrazów serwowanych przez WWW, uzyskując zdalne wykonanie kodu jako użytkownik serwera WWW.

ILIAS w wersjach przed 9.24, 10.x przed 10.12 oraz 11.x przed 11.5 zawiera podatność na wstrzyknięcie argumentów w assImagemapQuestionGUI. Autorzy pytań mogą wstrzykiwać opcje konwersji ImageMagick poprzez nazwy przesyłanych plików graficznych, co pozwala na zapis pliku PHP w katalogu web root i zdalne wykonanie kodu.

W ILIAS 6.23, 7 przed 7.22 oraz 8.1 wykryto problem umożliwiający atakującemu wykonanie dowolnego kodu poprzez przesłanie pliku ZIP.

ILIAS w wersjach przed 9.23, 10.11 i 11.4 zawiera podatność na obejście autoryzacji w ilObjGroupGUI, gdzie funkcje saveMapSettingsObject() i updateGroupTypeObject() wykonują operacje zmieniające stan bez sprawdzenia uprawnień do zapisu. Uwierzytelnieni użytkownicy z tylko dostępem do odczytu grupy mogą wysyłać żądania POST, aby modyfikować ustawienia mapy grupy i przypisania szablonów dydaktycznych, zmieniając tryby grupy i uprawnienia dla wszystkich członków.

Podatność na wstrzykiwanie SQL w ILIAS przed wersjami 9.22, 10.10 i 11.3 występuje w tabeli kosza repozytorium, gdzie pole sortowania nawigacji tabeli z żądań HTTP jest przekazywane bezpośrednio do klauzuli ORDER BY zapytania SQL bez walidacji względem zadeklarowanych kolumn sortowalnych. Uwierzytelnieni użytkownicy z uprawnieniami zapisu na dowolnym kontenerze mogą wstrzykiwać dowolny SQL przez parametr sortowania, a ponieważ w warstwie bazy danych włączone jest wykonywanie wielu instrukcji, skumulowane zapytania umożliwiają pełny odczyt i zapis bazy danych oraz przejęcie konta administratora.

ILIAS przed wersjami 9.22, 10.10 i 11.3 zawiera podatność na dowolny odczyt plików w metodzie SOAP addFile, która umożliwia uwierzytelnionym użytkownikom odczyt plików serwera poprzez dostarczenie spreparowanego XML z importami w trybie COPY. Atakujący mogą konstruować bezwzględne ścieżki plików przez nieizolowany katalog importu i pobierać wrażliwe pliki, w tym pliki konfiguracyjne zawierające poświadczenia bazy danych i hasła konfiguracyjne.

W systemie ILIAS Learning Management System 11.0 wykryto podatność na iniekcję SQL w funkcji ilTrQuery::executeQueries pliku class.ilTrQuery.php komponentu śledzenia postępów w nauce. Manipulacja argumentem troup_table_nav umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny.