Alerta de Segurança
| Gravidade: | Suporte: |
| Categoria: | Exposição de dados internos |
| Projetos afetados: | plataforma edx |
| Repórter: | Revisão interna |
| URL permanente: | https://openedx.org/CVE-2015-6671 |
Durante a revisão interna, descobrimos que as instâncias que usam SAML para login único armazenam segredos no banco de dados.
As Vulnerabilidades e Exposições Comuns (CVE) projeto atribuiu o nome CVE-2015-6671 a esta questão. Esta é uma entrada no CVE lista (http://cve.mitre.org), que padroniza nomes para problemas de segurança.
Mais informações
Com essa alteração em vigor, os administradores da instância podem optar por armazenar a chave privada SAML da instância e os segredos OAuth2 no banco de dados ou em ~/lms.auth.json. O primeiro é mantido para compatibilidade com versões anteriores; o último é agora a opção preferida e mais segura.
Armazenar as chaves no banco de dados em texto simples não era em si uma vulnerabilidade, mas criava mais área de superfície para um ataque potencial: no caso de um adversário conseguir explorar alguma outra vulnerabilidade e obter acesso a uma cópia do banco de dados, como como um backup ou uma réplica de leitura, eles também teriam acesso à chave privada SAML.
O bug foi corrigido neste comprometer-se.
