Couchbase-Warnungen

Bestimmte seltene Abstürze könnten dazu führen, dass der private Schlüssel des generierten Zertifikats in die Protokolldateien durchsickert.

Wenn das Sync Gateway für die Authentifizierung beim Couchbase Server über X.509-Client-Zertifikate konfiguriert ist, werden die der Admin REST API bereitgestellten Admin-Anmeldeinformationen ignoriert, was zu einer Privilegienausweitung für nicht authentifizierte Benutzer führt. Die Public REST API ist von diesem Problem nicht betroffen. Workaround: Ersetzen Sie die auf X.509-Zertifikaten basierende Authentifizierung durch die Benutzername- und Passwort-Authentifizierung innerhalb der Bootstrap-Konfiguration.

Nicht authentifizierte Benutzer können einen REST-API-Aufruf an den Cluster-Manager absetzen. Jede HTTP-Anfrage, die der Cluster-Manager zuvor noch nicht gesehen hat, führt zur Erstellung einer neuen Metrik. Jede neue Metrik beansprucht etwas Speicher und etwas Festplattenspeicher, was zu einem Speicherleck und einem Festplattenspeicherleck führen kann. Wenn genügend Ressourcen verbraucht werden, könnte dies zum Ausfall eines Couchbase-Server-Knotens führen.

Der Index-Dienst führt mehrere Netzwerkprozesse aus: Queryport, Dataport und Adminport. Diese werden für die Kommunikation mit anderen Couchbase-Diensten verwendet. Diese Prozesse sind an der Node-zu-Node-Kommunikation beteiligt, kommunizieren jedoch nicht direkt mit SDK-Anwendungen. In den betroffenen Versionen von Couchbase Server erzwingen diese Netzwerkprozesse keine Authentifizierung und verarbeiten daher Anfragen, die von nicht authentifizierten Benutzern gesendet werden. Der Queryport-Server kann einem nicht authentifizierten Benutzer mit Index-Suchergebnissen antworten. Der Dataport-Server kann es einem nicht authentifizierten Benutzer ermöglichen, indizierte Daten zu modifizieren. Der Adminport-Server kann es einem nicht authentifizierten Benutzer ermöglichen, DDL-Operationen (wie Index erstellen und löschen) durchzuführen. Möglicher Workaround: Da diese Ports vom Couchbase Server nur für die interne Kommunikation verwendet werden, können alle Verbindungen und die Kommunikation mit Nodes und Prozessen, die keine Couchbase Server sind, auf der Netzwerkschicht deaktiviert werden.

Diagnostische Endpunkte wie diag/eval sind eingeschränkt und können nur aus dem Loopback-Netzwerk ausgeführt werden. Die zur Behebung von CVE-2018-15728 eingeführten Prüfungen überprüfen jedoch nicht korrekt, ob ein “X-Forwarded-For”-Header eine Loopback-Adresse enthält. Dieser Header kann manipuliert werden, um die Loopback-Einschränkung zu umgehen. Die Schwachstelle ist auf Anfragen beschränkt, die gemäß RFC6890 aus privaten Netzwerken und gemeinsam genutzten Adressbereichen stammen. Um erfolgreich Anfragen an diese Endpunkte stellen zu können, benötigt ein Benutzer volle administrative Privilegien, unabhängig vom verwendeten “X-Forwarded-For”-Header. Ein Workaround für dieses Problem besteht darin, in Umgebungen, in denen sie nicht benötigt werden, Anfragen an die Couchbase-Server-Knoten, die “X-Forwarded-For”-Header enthalten, per Firewall zu blockieren. Erkennung Mücahit Karadağ / PRODAFT

Während des Hinzufügens von Cluster-Knoten kann ein Absturz des Cluster Managers (ns_server) dazu führen, dass der private Schlüssel in die Protokolldateien durchsickert. Jemand, der Zugriff auf die Protokolldateien hat, kann möglicherweise sichere Netzwerkverbindungen zum Cluster entschlüsseln. Wenn TLS verwendet wird, können die Anmeldeinformationen von Benutzern und Anwendungen, die sich am Cluster anmelden, erfasst werden.