Alertas de Couchbase

Un atacante puede utilizar archivos Parquet, tal como los utiliza opcionalmente el Servicio de Analítica de Couchbase, para provocar una Denegación de Servicio (DoS) si los archivos maliciosos contienen valores inadecuados en el encabezado de página del archivo (por ejemplo, valores negativos donde se espera un valor positivo). Esto se resuelve actualizando la biblioteca Apache Parquet a una versión posterior.

js-beautify tiene una dependencia con una vulnerabilidad conocida, Minimist. Minimist <=1.2.5 es vulnerable a la contaminación de prototipos (Prototype Pollution) a través del archivo index.js, función setKey() (líneas 69-95). Los ataques de contaminación de prototipos permiten omitir la validación de entradas y activar una ejecución de JavaScript inesperada.

Ramda 0.27.0 y versiones anteriores permiten a los atacantes comprometer la integridad o la disponibilidad de la aplicación mediante el suministro de un objeto manipulado (que contiene una propiedad propia “{}proto{}”) como argumento para la función, lo que se conoce como contaminación de prototipos. Los ataques de tipo contaminación de prototipos permiten omitir la validación de entradas y desencadenar la ejecución inesperada de JavaScript.

En Couchbase Server 7.1.0 y versiones posteriores, es posible proporcionar una frase de contraseña a Couchbase Server para desbloquear una clave privada TLS cifrada. Se descubrió que esta frase de contraseña se filtraba en los archivos de registro como una cadena codificada en Base64 cuando uno de los servicios de Couchbase, que no fuera el Servicio de Datos, se estaba iniciando. Esto afecta al Servicio de Indexación, el Servicio de Consultas, el Servicio de Analítica, el Servicio de Respaldo y el Servicio de Eventos si se utiliza la función opcional de claves TLS cifradas. Tenga en cuenta que un atacante necesita tener acceso a los registros, así como a la clave privada, para poder realizar ataques como un ataque de intermediario (man-in-the-middle) o descifrar la comunicación de red. El uso de protecciones del sistema operativo para restringir el acceso a estos archivos puede ser una estrategia de mitigación eficaz.

jackson-databind, en versiones anteriores a la 2.13.0, permite una excepción Java StackOverflow y denegación de servicio a través de una gran profundidad de objetos anidados. Esta biblioteca es utilizada por el Servicio de Análisis de Couchbase Server.

Se actualizaron el lenguaje de programación Go y las bibliotecas asociadas utilizadas en múltiples servicios de Couchbase Server a las versiones 1.17.9+ o 1.18.1+ para resolver numerosas CVE.