Heartbleed Bug y Couchbase Server

La seguridad debe estar en el corazón de cualquier producto empresarial y nosotros nos tomamos muy en serio la seguridad de nuestros productos. Recientemente, un vulnerabilidad grave (también conocido como Heartbleed) fue descubierto en la librería OpenSSL y dado que Couchbase Server tiene algunos componentes criptográficos, queríamos que conocieras el riesgo que supone la vulnerabilidad y por qué Couchbase NO está afectado.

¿A qué se debe este fallo?

En insecto heartbleed está dentro de la extensión heartbeat de OpenSSL (RFC6520).

Evaluación de la vulnerabilidad de Couchbase Server

El gestor de clústeres de Couchbase está escrito en Erlang. En el gestor de clústeres, OpenSSL no se utiliza para la lógica de enlace TLS/SSL. En su lugar, la lógica TLS/SSL se implementa en Erlang (Fuente).

Debido a que Couchbase Server no utiliza la funcionalidad de OpenSSL que es vulnerable, es NO afectadas por este fallo. Ninguna versión de Couchbase (hasta la más reciente inclusive) está afectada.

Asegurar la pila

Aunque Couchbase está protegido contra el fallo heartbleed, es posible que también desee pensar en otros servicios que se ejecutan como parte de su pila de aplicaciones -

Normalmente, las implementaciones de OpenSSL están presentes en servidores proxy de terceros como Apache, nginx y HAProxy. Si tu Couchbase Server está detrás de un servidor de este tipo que usa OpenSSL 1.0.1 - 1.0.1f, deberías parchear tus servidores proxy y reiniciar estos servicios. También podrías considerar refrescar los certificados SSL de tus servidores frontend.

Si está ejecutando Couchbase en Amazon EC2, es posible que desee comprobar el último boletín de seguridad de Amazon aquí.