Diese Seite listet kritische Alerts und Advisories für Couchbase auf.
Bleiben Sie auf dem Laufenden über die neuesten kritischen Alerts und Advisories für Couchbase Server, indem Sie sich für unsere Update-Benachrichtigungen anmelden. Um sich anzumelden, registrieren Sie sich bitte auf unserer Support-Seite und folgen Sie diesem Artikel: Aktivitäten – Couchbase Support
Enterprise-Sicherheitswarnungen
-
Der Erlang-Cookie verwendet einen schwachen Zufallsgenerator.
Das für die Kommunikationsübertragung innerhalb der Knoten verwendeten Cookie wurde nicht sicher generiert. Couchbase Server verwendet erlang:now() zur Bestimmung des PRNG-Algorithmus, was zu einem kleinen Suchraum für mögliche Zufallskerzen führt, die dann verwendet werden können, um den Cookie mit brutaler Kraft zu knacken und Code auf einem Remote-System auszuführen. Anerkennung: Apple-Sicherheitsteam
-
Die REST-Endpunkte für Projektor und Indexer erforderten keine Authentifizierung.
Der REST-Endpunkt „/settings“, der vom Projektorprozess bereitgestellt wird, ist ein Endpunkt, den Administratoren für verschiedene Aufgaben wie die Aktualisierung der Konfiguration und die Erfassung von Leistungsprofilen verwenden können. Dieser Endpunkt ist nicht authentifiziert und wurde so aktualisiert, dass nur authentifizierte Benutzer auf diese Verwaltungs-APIs zugreifen können. Anerkennung: Apple-Sicherheitsteam
-
JSON-Dokument mit >3.000 ‘t’-Zeichen führt zum Absturz des Indexers.
Die sekundäre Indexierung codiert die Einträge, die mit collatejson indexiert werden sollen. Wenn die Indexeinträge bestimmte Zeichen wie t, , enthalten, führt dies zu einem Pufferüberschreitung, da die kodierte Zeichenkette viel größer ist als die berechnete Größe, was dazu führt, dass der Indexer-Dienst abstürzt und neu gestartet wird. Dies wurde nun behoben, um sicherzustellen, dass der Puffer immer entsprechend der jeweiligen Eingabe erweitert wird. Anerkennung: D-Trust GmbH
-
XDCR validiert kein Zertifikat für einen Remote-Cluster.
Wenn ein ungültiger Fernclusterzertifikat als Teil der Referenzerstellung eingegeben wurde, analysierte und überprüfte XDCR die Zertifikatssignatur nicht. Anschließend akzeptierte XDCR das ungültige Zertifikat und versuchte, es zur Einrichtung zukünftiger Verbindungen zum Ferncluster zu verwenden. Dies wurde behoben. XDCR überprüft nun die Gültigkeit des Zertifikats gründlich und verhindert, dass ein Fernclusterreferenz mit einem ungültigen Zertifikat erstellt wird.
-
Die Bearbeitung der Bucket-Einstellungen in Couchbase Server ermöglicht die Authentifizierung ohne Anforderung von Anmeldeinformationen.
In Versionen von Couchbase Server vor 5.0 war der Bucket mit dem Namen “default” ein spezieller Bucket, der den Zugriff zur Lese- und Schreibfunktion ohne Authentifizierung ermöglichte. Im Zuge von Version 5.0 wurde das Verhalten aller Bucket, einschließlich “default”, geändert, sodass nur authentifizierte Benutzer mit ausreichenden Berechtigungen Zugriff erhalten konnten. Benutzer konnten jedoch unauthentifizierte und unbefugte Zugriffe auf den Bucket “default” durchführen, sofern die Eigenschaften dieses Buckets geändert wurden. Dies wurde behoben.