Chamilo LMS has Weak REST API Key Generation (Predictable)

Die CVE-2026-33710-Schwachstelle in Chamilo LMS betrifft Versionen vor 1.11.38 und 2.0.0-RC.3. Das System generiert REST-API-Schlüssel mithilfe einer vorhersehbaren Formel: md5(time() + (user_id * 5) - rand(10000, 10000)). Das Problem besteht darin, dass die Funktion rand(10000, 10000) immer den Wert 10000 zurückgibt, was die Formel zu md5(timestamp + user_id*5 - 10000) vereinfacht. Dies ermöglicht einem Angreifer, der einen Benutzernamen und eine ungefähre Schlüsselgenerierungszeit kennt, einen Brute-Force-Angriff zu starten, um den API-Schlüssel zu erhalten. Unautorisierter Zugriff über die API könnte die Manipulation von Daten, die Erstellung von Benutzern oder die Ausführung unautorisierter Aktionen innerhalb des LMS ermöglichen.

Educational institutions and organizations utilizing Chamilo LMS for online learning are at risk. Specifically, deployments with weak password policies or limited access controls are more vulnerable. Organizations using older, unpatched versions of Chamilo LMS are particularly exposed.

• php: Examine Chamilo LMS configuration files for the vulnerable API key generation code. Search for the md5(time() + (user_id * 5) - rand(10000, 10000)) pattern.

// Example: Search for the vulnerable code snippet
<?php
$api_key = md5(time() + (user_id * 5) - rand(10000, 10000));
?>

• generic web: Monitor access logs for unusual API key usage patterns, particularly failed authentication attempts originating from unexpected IP addresses. • generic web: Check for unusual user activity within the LMS, such as unauthorized modifications to course content or student data.

1. 2026-04-10Disclosure

   disclosure

2. 2026-04-10Patch

   patch

1. Reserviert2026-03-23
2. Veröffentlicht2026-04-10
3. Geändert2026-04-13
4. EPSS aktualisiert2026-04-18

Die Lösung für diese Schwachstelle besteht darin, Chamilo LMS auf Version 1.11.38 oder 2.0.0-RC.3 oder höher zu aktualisieren. Diese Versionen implementieren eine sicherere Methode zur Generierung von API-Schlüsseln, die die inhärente Vorhersagbarkeit der vorherigen Formel beseitigt. Es wird empfohlen, dieses Update so schnell wie möglich anzuwenden, um das Risiko einer Ausnutzung zu mindern. Überprüfen Sie außerdem die API-Sicherheitspolitiken, einschließlich der regelmäßigen Schlüsselrotation und der Implementierung robuster Authentifizierungsmechanismen, wie z. B. die Zwei-Faktor-Authentifizierung, um die Systemsicherheit zu erhöhen.