Cette page répertorie les alertes et avis critiques pour Couchbase.
Restez informé des dernières alertes et avis critiques pour Couchbase Server en vous abonnant à nos notifications de mise à jour. Pour vous inscrire, veuillez vous enregistrer sur notre site de support et suivre cet article : Annonces – Soutien Couchbase
Alertes de sécurité d'entreprise
-
Les informations d’authentification sont divulguées lorsque des demandes REST non valides sont reçues.
Lorsque l’endpoint REST du serveur Couchbase reçoit une requête inconnue, cette dernière est enregistrée comme erreur dans les fichiers debug.log et info.log. Le log comprend des informations d’authentification chiffrées en base-64 non modifiées. Le message d’erreur est également affiché dans l’onglet « logs » de l’interface utilisateur.
-
Mise à jour de la bibliothèque urllib3 utilisée par la CLI Couchbase vers la version 1.26.3
La bibliothèque Python urllib3, utilisée par la bibliothèque requests qui à son tour est utilisée par la CLI Couchbase, présente un problème de sécurité dans les versions de urllib3 antérieures à 1.24.2. Cette bibliothèque traite de manière incorrecte certains cas où le groupe de certificats CA souhaité diffère du registre des certificats CA de l’OS, ce qui conduit à ce que les connexions SSL soient acceptées dans des situations où une erreur de vérification est le résultat attendu.
-
Mise à jour de la bibliothèque Apache HttpClient utilisée par le service d’analyse vers la version 4.5.13
Le framework Apache HttpClient, utilisé par le service d’analyse Couchbase Server, dans les versions antérieures à la version 4.5.13 et 5.0.3, peut interpréter de manière erronée les éléments d’autorité mal formés présents dans les URIs des requêtes envoyés à la bibliothèque comme étant des objets java.net.URI et sélectionner l’hôte cible incorrect pour l’exécution de la requête.
-
Mise à jour de la bibliothèque buger/jsonparser utilisée par le Service de recherche vers la version 1.1.1
Un problème de sécurité dans la bibliothèque buger/jsonparser (parser JSON pour Go) permet à un attaquant de provoquer une déni de service (DOS) dans le service de recherche Couchbase Server.
-
Un cookie de session non effacé a été inclus dans les journaux d'audit et dans debug.log pour les actions vérifiées, où une identité de session était incluse.
Couchbase Server enregistrait les cookies de session temporaires d’un utilisateur lorsque des événements vérifiés contenant une identité de session étaient enregistrés dans le journal d’audit et dans debug.log. Un attaquant ayant accès aux données d’enregistrement pourrait utiliser cette information pour se faire passer pour un utilisateur authentifié.
-
Affichage des fuites de données d’authentification liées à l’état d’audit de l’engin dans les journaux
Une condition rare qui se déclenche lorsque l’Audit est activé pour le chiffrement View Engine et Node to Node. Si Couchbase Server n’est pas en mesure de vérifier l’hôte distant et le port d’une commande interne en provenance de l’extérieur (demande de fusion de vue), un message d’erreur est enregistré contenant des informations d’authentification non modifiées en code base64 pour un utilisateur interne ayant les privilèges d’administrateur, @ns_server. Une solution temporaire consiste à désactiver l’audit de View Engine ou l’encodage Node to Node jusqu’à ce qu’une mise à jour puisse être effectuée.