Moodle面临暴力破解密码攻击漏洞分析

漏洞概述

CVE-2025-62399是一个影响Moodle学习管理系统的高危漏洞，该漏洞使得系统的移动端和Web服务认证端点未能充分限制重复密码尝试，从而容易受到暴力破解攻击。

受影响版本

• = 5.0.0-beta, < 5.0.3

• = 4.5.0-beta, < 4.5.7

• = 4.2.0-beta, < 4.4.11

• < 4.1.21

修复版本

• 5.0.3
• 4.5.7
• 4.4.11
• 4.1.21

漏洞详情

Moodle的移动端和Web服务认证端点未能充分限制重复密码尝试，使得这些端点容易受到暴力破解攻击。攻击者可以利用此漏洞对用户密码进行大规模的猜测尝试。

安全评分

CVSS v3.1 评分：7.5（高危）

基础指标分析

• 攻击向量：网络（Network）
• 攻击复杂度：低（Low）
• 所需权限：无（None）
• 用户交互：无（None）
• 影响范围：未改变（Unchanged）
• 机密性影响：无（None）
• 完整性影响：无（None）
• 可用性影响：高（High）

弱点分类

CWE-307：不当限制过多的身份验证尝试

该产品未实施足够的措施来防止在短时间内多次失败的身份验证尝试，使其更容易受到暴力破解攻击。

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2025-62399
• https://access.redhat.com/security/cve/CVE-2025-62399
• https://bugzilla.redhat.com/show_bug.cgi?id=2404432
• moodle/moodle@e4d0256
• https://moodle.org/mod/forum/discuss.php?d=470388

漏洞标识

• CVE ID: CVE-2025-62399
• GHSA ID: GHSA-m58f-9pvv-8mp2

建议所有使用受影响版本的用户立即升级到相应的修复版本，以确保系统安全。