安全警报
| 严重性： | 中 |
| 项目类别： | 内部数据暴露 |
| 受影响的项目： | edx平台 |
| 记者： | 内部审查 |
| 永久网址： | https://openedx.org/CVE-2015-6671 |
在内部审查期间，我们发现使用 SAML 进行单点登录的实例在数据库中存储机密。
常见漏洞和暴露 (CVE) 项目已指定名称 CVE-2015-6671 到这个问题。 这是关于 CVE 列表 （http://CVE.mitre.org)，它标准化了安全问题的名称。
更多信息
进行此更改后，实例管理员可以选择将实例的 SAML 私钥和 OAuth2 机密存储在数据库或 ~/lms.auth.json 中。 前者是为了向后兼容而保留的； 后者现在是首选、更安全的选择。
以纯文本形式将密钥存储在数据库中本身并不是一个漏洞，而是为潜在攻击创造了更多的表面区域：如果对手能够利用其他漏洞并获得对数据库副本的访问权限，例如作为备份或只读副本，他们还可以访问 SAML 私钥。
该错误已在此修复 犯罪。
