تنبيه الأمان

أثناء المراجعة الداخلية ، اكتشفنا أن المثيلات التي تستخدم SAML لتسجيل الدخول الأحادي على أسرار المتجر في قاعدة البيانات.

نقاط الضعف والتعرض الشائعة (CVE) قام المشروع بتعيين الاسم CVE-2015-6671 لهذه القضية. هذا هو الدخول على CVE قائمة (http://CVE.mitre.org) ، الذي يوحد الأسماء لمشاكل الأمان.

مزيد من المعلومات

مع تطبيق هذا التغيير ، يمكن لمسؤولي المثيلات اختيار تخزين المفتاح الخاص لـ SAML الخاص بالمثيل وأسرار OAuth2 إما في قاعدة البيانات أو في ~ / lms.auth.json. يتم الاحتفاظ بالأول من أجل التوافق مع الإصدارات السابقة ؛ هذا الأخير هو الآن الخيار المفضل والأكثر أمانًا.

لم يكن تخزين المفاتيح في قاعدة البيانات بنص عادي ثغرة أمنية في حد ذاته ، ولكنه خلق مساحة أكبر لهجوم محتمل: في حالة تمكن الخصم من استغلال بعض الثغرات الأمنية الأخرى والوصول إلى نسخة من قاعدة البيانات ، مثل كنسخة احتياطية أو نسخة متماثلة للقراءة ، فسيكون بإمكانهم أيضًا الوصول إلى المفتاح الخاص لـ SAML. 

تم إصلاح الخلل في هذا ارتكب.