何が起きたか
シード検証済み (10月21日公開): AI採点コントローラーのエンドポイントは所有権チェックを実行せず、認証済みユーザーは他の学生の提出物のAI採点を取得できる。
なぜ重要か
AI支援採点は成長中のLMS機能である。試行ごとの認可が欠如しているため、学生は列挙により他の学生のAI採点結果を大規模に読み取ったり改ざんしたりできる。
攻撃経路
認証済みユーザーは、対象のexeId/questionIdを指定してopen_answer_gradeエンドポイントにリクエストを送信する。このエンドポイントには受験試行の所有者に関する認可チェックがなく、他の学生のAI採点結果が返され/適用される。
影響を受けるシステム
Chamilo LMS 2.0.0-alpha.4 – < 2.0.0-RC.3 (AiController::openAnswerGrade)
緩和策
Chamilo 2.0.0-RC.3以上にアップグレードするか、AiController::openAnswerGradeに認可チェックを適用する。