Bug Heartbleed e servidor Couchbase

A segurança deve estar no centro de qualquer produto empresarial e levamos a segurança de nossos produtos a sério. Recentemente, um vulnerabilidade grave (também conhecida como Heartbleed) foi descoberta na biblioteca OpenSSL e, como o Couchbase Server tem alguns componentes criptográficos, gostaríamos que você estivesse ciente do risco representado pela vulnerabilidade e por que o Couchbase NÃO foi afetado.

Do que se trata esse bug?

O bug do heartbleed está dentro da extensão heartbeat do OpenSSL (RFC6520).

Avaliação de vulnerabilidade para o Couchbase Server

O gerenciador de cluster do Couchbase é escrito em Erlang. No gerenciador de cluster, o OpenSSL não é usado para a lógica do handshake TLS/SSL. Em vez disso, a lógica TLS/SSL é implementada em Erlang (Fonte).

Como o Couchbase Server não utiliza a funcionalidade do OpenSSL que está vulnerável, ele é NÃO afetados por esse bug. Nenhuma versão do Couchbase (até a mais recente, inclusive) foi afetada.

Protegendo a pilha

Embora o Couchbase esteja protegido contra o bug heartbleed, talvez você também queira pensar em outros serviços executados como parte de sua pilha de aplicativos.

Normalmente, as implementações do OpenSSL estão presentes em servidores proxy de terceiros, como Apache, nginx e HAProxy. Se o seu servidor Couchbase estiver atrás de um servidor que usa o OpenSSL 1.0.1 - 1.0.1f, você deverá corrigir seus servidores proxy e reiniciar esses serviços. Você também pode considerar a atualização dos certificados SSL de seus servidores front-end.

Se você estiver executando o Couchbase no Amazon EC2, talvez queira dar uma olhada no último boletim de segurança da Amazon aqui.