Couchbase-Warnungen

Das Paket golang.org/x/text/encoding/unicode, das dazu führen kann, dass der UTF-16-Decoder in eine Endlosschleife gerät, was zum Absturz des Programms oder zum Aufbrauchen des Arbeitsspeichers führt.

Wenn der Sicherungsdienst es versäumt, eine Audit-Meldung zu protokollieren, gibt er die Audit-Protokolldaten ungeschützt in die backup_service.log aus, die nicht bereinigt wird.

Beim Fehlschlagen des Aufbaus einer TLS-Verbindung für eine mit encryption=full konfigurierte Analytics Remote Link versuchte die Laufzeit, den (nicht standardmäßigen) TLS-Port zu ermitteln, indem sie eine Nicht-TLS-Verbindung zum Remote-Cluster unter Verwendung von SCRAM-SHA zur Authentifizierung versuchte. Obwohl bei SCRAM-SHA keine Anmeldeinformationen weitergegeben werden, ist es möglicherweise unerwartet, dass das System das vorgeschriebene Verschlüsselungsniveau herabstuft, das eine TLS-Verbindung vorschrieb. Dieser Fallback-Mechanismus wurde entfernt, und wenn der Aufbau einer TLS-Verbindung zunächst fehlschlägt, schlägt die CONNECT LINK nun einfach fehl, bis der korrekte TLS-Port als Teil der Link-Konfiguration angegeben wird.

Beim Erstellen von Sekundärindizes mit dem Couchbase Server Analytics Service gibt es einige Validierungen der indizierten Felder, die dem Benutzer gemeldet und protokolliert werden. Die Fehlermeldung mit dem Code ASX0013 wird in mehreren Pfaden verwendet, um zu melden und zu protokollieren, dass ein doppelter Feldname vorliegt. Die Feldnamen in diesen protokollierten Validierungsmeldungen werden nicht redigiert. Außerdem enthalten Fehler mit dem Code ASX1079 Feldnamen, die nicht redigiert werden.

Administratoren, die einem Cluster einen nicht vertrauenswürdigen Knoten hinzufügen, riskieren unbeabsichtigt die Übertragung des Cluster-Cookies, das geheim bleiben sollte. Dies kann durch die Implementierung einer TLS-Verschlüsselung mit von einer Zertifizierungsstelle (CA) signierten Zertifikaten behoben werden. Ab der Couchbase Server-Version 7.1.0 ist bei der Verwendung von TLS ein vertrauenswürdiges Zertifikat auf dem hinzukommenden Knoten erforderlich. Erkennung Ofir Hamam, Sicherheitsforscher am Advanced Security Center von EY Israel

Couchbase Operator 2.2.0 hat eine Optimierung eingeführt, die die Protokollsammlung vereinfachte. Bei der Protokollsammlung wird das Support-Tool “cbopinfo” verwendet, um Kubernetes-Ressourcen zu sammeln, die erforderlich sind, um Einblick in den gewünschten Ressourcenzustand und den aktuellen Ressourcenstatus zu erhalten. Vor den betroffenen Versionen wurden geheime Daten geschwärzt, diese Funktionalität wurde jedoch in der neuen Sammlungsmethode nicht beibehalten. Infolgedessen enthielten Protokolle fälschlicherweise Passwörter, Token und private Schlüssel im Bereich der Protokollsammlung. Standardmäßig ist dieser Bereich auf den Kubernetes-Namespace beschränkt, in dem sich der zu untersuchende Couchbase Server-Cluster befindet. Die Ausnahme hiervon ist, wenn das Flag –system angegeben wurde, in welchem Fall alle Secrets auf der Plattform offengelegt wurden. Protokolle werden verwendet, um Kundenprobleme zu identifizieren und zu beheben, daher sind nur Kunden betroffen, die Protokolle mit den angegebenen Tool-Versionen bereitgestellt haben. Couchbase stellt sicher, dass alle betroffenen Protokolle, die zur Verfügung gestellt wurden, geschwärzt werden.