Esta página enumera alertas y avisos críticos para Couchbase.
Manténgase informado sobre las últimas alertas críticas y avisos para Couchbase Server suscribiéndose a nuestras notificaciones de actualización. Para suscribirse, regístrese en nuestro sitio de soporte y siga este artículo: Anuncios – Soporte de Couchbase
Alertas de seguridad de Enterprise
-
La cookie Erlang utiliza una semilla aleatoria débil.
La cookie utilizada para la comunicación intra-nodo no se generó de forma segura. El Couchbase Server utiliza erlang:now() para generar el PRNG, lo que resulta en un espacio de búsqueda pequeño para semillas aleatorias potenciales que podrían luego ser utilizadas para atacar de forma bruta la cookie y ejecutar código en un sistema remoto. Reconocimiento: Equipo de Seguridad de Apple
-
Los puntos finales REST de Projector y Indexer no requerían autenticación.
El punto de acceso REST /settings expuesto por el proceso del proyector es un punto de acceso que los administradores pueden utilizar para diversas tareas, como la actualización de la configuración y la recopilación de perfiles de rendimiento. Este punto de acceso no está autenticado y se ha actualizado para permitir que solo los usuarios autenticados accedan a estas API administrativas. Reconocimiento: Equipo de Seguridad de Apple
-
Un documento JSON con >3k de caracteres ‘t’ provoca un fallo en el indexador.
La indexación secundaria codifica las entradas que se deben indexar mediante collatejson. Cuando las entradas de índice contenían ciertos caracteres como t, , esto provocaba un sobreescritura del buffer, ya que la cadena codificada sería mucho más grande de lo que se había registrado, lo que hacía que el servicio de indexación se cayera y se reiniciara. Ahora se ha solucionado esto para garantizar que el buffer siempre crezca según sea necesario para cualquier entrada. Reconocimiento: D-Trust GmbH
-
XDCR no valida un certificado de clúster remoto.
Cuando se introdujo un certificado de clúster remoto inválido como parte de la creación de la referencia, XDCR no realizó el análisis y verificación de la firma del certificado. Luego, aceptó el certificado inválido y intentó utilizarlo para establecer futuras conexiones al clúster remoto. Esto se ha solucionado. XDCR ahora verifica la validez del certificado de forma exhaustiva y evita que se cree una referencia a un clúster remoto con un certificado inválido.
-
La edición de las configuraciones del bucket en Couchbase Server permite la autenticación sin credenciales.
En las versiones de Couchbase Server anteriores a la 5.0, el bucket denominado “default” era un bucket especial que permitía el acceso de lectura y escritura sin autenticación. Como parte de la versión 5.0, el comportamiento de todos los buckets, incluido el “default”, se modificó para permitir el acceso únicamente por parte de usuarios autenticados con autorización suficiente. Sin embargo, se permitía el acceso no autenticado y no autorizado al bucket “default” si se modificaban las propiedades de este bucket. Esto se ha solucionado.