Bei Moodle gibt es eine Schwachstelle, über die Angreifer Informationen aus H5P-Inhaltsdateien einsehen können, obwohl ihnen dafür die nötige Berechtigung fehlt. Ursache ist eine unzureichende Zugriffskontrolle rund um diese H5P-Dateien. Betroffen sind damit Moodle-Installationen, die H5P-Inhalte nutzen — also interaktive Lernmaterialien, die in Kursen bereitgestellt werden. Der Fall ist besonders relevant für Betreiber von Lernplattformen, weil Moodle häufig genau dort eingesetzt wird, wo Inhalte gezielt nur bestimmten Kursen, Gruppen oder Teilnehmenden zugänglich sein sollen. Wenn diese Trennung nicht sauber greift, wird aus einem Lerninhalt schnell ein unbeabsichtigtes Datenleck.
Wenn Kursmaterial nicht mehr nur im Kurs bleibt
Moodle lebt von Rechten und Rollen: Lehrende stellen Inhalte bereit, Teilnehmende sehen ausgewählte Materialien, Gäste oder Außenstehende sollen je nach Konfiguration gar nichts oder nur begrenzte Inhalte abrufen können. Die gemeldete Schwachstelle betrifft genau diese Schutzlinie. Bei H5P-Inhaltsdateien wird der Zugriff nicht ausreichend kontrolliert. Dadurch kann ein Angreifer H5P-Inhalte einsehen, ohne dafür berechtigt zu sein.
H5P wird in Moodle genutzt, um Lerninhalte interaktiv aufzubereiten. Das können beispielsweise eingebettete Übungen, Präsentationen oder andere didaktische Inhalte sein. Technisch liegen diese Inhalte als Dateien beziehungsweise Inhaltspakete vor, die Moodle ausliefert. Entscheidend ist dabei nicht nur, ob ein Inhalt irgendwo auf dem Server existiert, sondern ob die anfragende Person ihn auch sehen darf. Genau an dieser Stelle liegt das Problem: Die Prüfung der Berechtigung reicht nicht aus, um unbefugten Zugriff zuverlässig zu verhindern.
Die Schwachstelle fällt in die Kategorie Informationsoffenlegung. Das klingt zunächst weniger spektakulär als Schadcode oder die vollständige Übernahme eines Systems, kann für Lernplattformen aber trotzdem heikel sein. Lernmaterialien sind oft nicht öffentlich gedacht. Sie können interne Kursunterlagen, noch nicht freigegebene Inhalte oder Materialien enthalten, die nur einer bestimmten Gruppe zur Verfügung stehen sollen. Wenn solche Inhalte außerhalb des vorgesehenen Kontextes sichtbar werden, ist die Vertraulichkeit der Plattform verletzt.
Was Angreifer ausnutzen können
Der Angriffsweg zielt auf H5P-Inhaltsdateien und die fehlende oder unzureichende Zugriffskontrolle. Ein Angreifer muss nicht die fachliche Rolle haben, für die der Inhalt bestimmt ist. Entscheidend ist, dass die Plattform den Zugriff auf die Datei nicht streng genug an die Moodle-Berechtigungen koppelt. So kann ein Inhalt erreichbar sein, obwohl er aus Sicht des Kurs- oder Rechtekonzepts nicht erreichbar sein dürfte.
Für Betreiber ist das deshalb unangenehm, weil die Schwachstelle nicht zwingend an einer auffälligen Stelle sichtbar wird. Ein Kurs kann auf den ersten Blick korrekt konfiguriert sein: Teilnehmende sehen nur ihre Kurse, Gäste haben keinen Zugriff, Materialien sind in Moodle passend einsortiert. Wenn jedoch die darunterliegenden H5P-Dateien separat abrufbar sind, läuft die eigentliche Schutzlogik ins Leere. Das Problem sitzt also nicht bei der didaktischen Freigabe im Kurs, sondern bei der Kontrolle des Dateizugriffs.
Besonders kritisch wird das in Umgebungen mit vielen Kursen, wechselnden Gruppen und externen Teilnehmenden. Dort verlassen sich Betreiber darauf, dass Moodle Inhalte sauber voneinander trennt. Eine unberechtigte Einsicht in H5P-Inhalte kann diese Trennung aufweichen. Auch wenn die Schwachstelle keine Veränderung von Inhalten beschreibt, reicht das Lesen geschützter Daten aus, um Vertrauen in die Plattform zu beschädigen.
Warum Berechtigungen bei Lernplattformen besonders zählen
Lernplattformen unterscheiden sich von klassischen Webseiten: Inhalte sind nicht einfach öffentlich oder privat, sondern oft fein abgestuft. Ein Material kann nur für einen Kurs bestimmt sein, innerhalb eines Kurses erst ab einem bestimmten Zeitpunkt sichtbar werden oder nur für bestimmte Gruppen gedacht sein. Moodle bildet solche Szenarien über Rollen, Kurskontexte und Zugriffsbeschränkungen ab. Eine Schwachstelle bei Inhaltsdateien unterläuft dieses Modell an einer sensiblen Stelle.
Bei H5P kommt hinzu, dass Inhalte häufig direkt in Lernabläufe eingebunden sind. Sie erscheinen für Nutzerinnen und Nutzer wie ein normaler Bestandteil des Kurses, bestehen technisch aber aus Dateien, die ausgeliefert werden müssen. Damit entsteht eine klare Anforderung: Die Datei darf nur dann erreichbar sein, wenn auch der zugehörige Moodle-Kontext den Zugriff erlaubt. Fehlt diese Bindung oder ist sie zu schwach, können Inhalte aus ihrem geschützten Rahmen herausfallen.
Betreiber sollten den Vorfall daher nicht als Randthema behandeln. Informationsabfluss bedeutet nicht nur, dass personenbezogene Daten betroffen sein müssen. Auch Unterrichtsmaterial, interne Schulungsinhalte, Aufgabenstellungen oder vorbereitete Kursbausteine können schützenswert sein. Wer Moodle produktiv nutzt, sollte prüfen, wo H5P eingesetzt wird und wie stark diese Inhalte vom Rollen- und Kurskonzept abhängen.
Für den praktischen Umgang zählt jetzt vor allem, die eigene Moodle-Umgebung aufmerksam zu behandeln und H5P-Inhalte nicht als automatisch geschützt anzusehen. Betreiber sollten die Zugriffspfade auf solche Inhalte prüfen, vorhandene Rechtekonzepte kontrollieren und verfügbare Sicherheitsmaßnahmen zeitnah umsetzen.
- Moodle-Installation prüfen: Klären Sie, ob H5P-Inhaltsdateien auf der Plattform genutzt werden.
- Zugriffe kontrollieren: Testen Sie, ob H5P-Inhalte außerhalb berechtigter Kurse erreichbar sind.
- Rechtekonzept nachziehen: Beschränken Sie Kurs- und Dateizugriffe auf die wirklich nötigen Rollen.
- Sicherheitsupdates einplanen: Spielen Sie bereitgestellte Korrekturen für Moodle zügig ein.
