Couchbase-Warnungen

Die aktualisierte Version von openssl behebt einen Fehler in der OpenSSL-Komponente c_rehash. Dieser Skript scannt Verzeichnisse und erstellt für jede .pem- und .crt-Datei im Verzeichnis einen Hashwert. Anschließend werden für jede Datei, die mit dem Hashwert benannt ist, symbolische Verknüpfungen erstellt. Dieser Fehler ermöglicht die Injektion von Befehlen in den Skript.

In Sync Gateway wurde eine Sicherheitslücke identifiziert, die in bestimmten Situationen zu einer unbeabsichtigten Weitergabe von Anmeldeinformationen führte, die für die Support-Verwaltung verwendet wurden. Dies betraf das Set an Anmeldeinformationen, das zur Initiierung des Log-Verwalteprozesses verwendet wurde. Wir empfehlen daher die Aktualisierung auf Sync Gateway 3.2.6, da diese Sicherheitslücke behoben wird und alle Anmeldeinformationen, die während des betroffenen Zeitraums zur Initiierung des Log-Verwalteprozesses verwendet wurden, ausgewechselt werden.

In .NET SDK v3.7.1 und früheren Versionen wurde die Hostnamen-Verifizierung für TLS-Zertifikate in allen Fällen nicht ordnungsgemäß durchgeführt.

In den Java-Kryptographie-APIs von Bouncy Castle wurde ein Problem entdeckt, das vor 1.78 auftrat. Durch eine konstruierte Signatur und den öffentlichen Schlüssel kann es zu einer unendlichen Schleife mit dem Ed25519-Verifizierungscode kommen.

Diese Sicherheitslücke ist schwer zu ausnutzen, ermöglicht jedoch einem nicht authentifizierten Angreifer mit Netzwerkzugriff über mehrere Protokolle, die betroffenen Produkte potenziell zu kompromittieren. Ein erfolgreicher Angriff könnte zu nicht autorisierten Aktualisierungen, Einfügen oder Löschungen von zugänglichen Daten sowie zu nicht autorisierten Leserechten zu bestimmten Datensubgruppen führen.

In Couchbase Server für Windows wurde ein Sicherheitsrisiko entdeckt, das zu unbefugten Zugriffen auf sensible Dateien im System führen könnte. Je nach den Berechtigungen kann diese Sicherheitslücke den Zugriff auf Dateien wie /etc/passwd oder /etc/shadow ermöglichen.