Security Alert
| Severity: | Medium |
| Kategorien: | Interne Datenexposition |
| Betroffene Projekte: | edx-Plattform |
| Reporter: | Interne Überprüfung |
| Permanente URL: | https://openedx.org/CVE-2015-6671 |
Bei der internen Überprüfung haben wir festgestellt, dass Instanzen, die SAML für die einmalige Anmeldung verwenden, Geheimnisse in der Datenbank speichern.
Die allgemeinen Schwachstellen und Gefährdungen (CVE) Projekt hat den Namen vergeben CVE-2015-6671 zu diesem Thema. Dies ist ein Eintrag auf der CVE aufführen (http://cve.mitre.org), das Namen für Sicherheitsprobleme standardisiert.
Mehr Informationen
Mit dieser Änderung können Instanzadministratoren entscheiden, den privaten SAML-Schlüssel und die OAuth2-Geheimnisse der Instanz entweder in der Datenbank oder in ~/lms.auth.json zu speichern. Ersteres wird aus Gründen der Abwärtskompatibilität beibehalten; Letzteres ist jetzt die bevorzugte, sicherere Option.
Das Speichern der Schlüssel in der Datenbank im Klartext war an sich keine Schwachstelle, sondern schuf mehr Angriffsfläche: Für den Fall, dass ein Angreifer eine andere Schwachstelle ausnutzen und Zugriff auf eine Kopie der Datenbank erlangen könnte, z B. als Backup oder Lesereplikat, dann hätten sie auch Zugriff auf den privaten SAML-Schlüssel.
Darin wurde der Fehler behoben verpflichten.
