Alertes Couchbase

Cette page répertorie les alertes et avis critiques pour Couchbase.

Restez informé des dernières alertes et avis critiques pour Couchbase Server en vous abonnant à nos notifications de mise à jour. Pour vous inscrire, veuillez vous enregistrer sur notre site de support et suivre cet article : Annonces – Soutien Couchbase

Alertes de sécurité d'entreprise

  • Jusqu'à la version 1.7.11 de core-io (et en conséquence jusqu'à Java SDK 2.7.11), la vérification de l'hôte lors des connexions TLS/SSL n'est pas activée et peut représenter un risque de sécurité dans certains environnements.

    Java 6 (JDK 1.6 – la version de base du SDK plus ancienne) n’a pas supporté la vérification de l’hôte de sortie de l’emballage. Une fois que le SDK a été déplacé vers Java 7 (Java 1.7) en tant que base de référence, il était possible d’ajouter cette fonctionnalité. Cela s’est produit dans jvm-core 1.7.11 (ce qui correspond à java-client 2.7.11). Il n’est pas possible dans les versions précédentes d’ajouter cette fonctionnalité manuellement en tant que solution de contournement, car les moyens de la personnaliser en conséquence ne sont pas disponibles. Notez que, afin de ne pas compromettre les applications qui dépendent du comportement précédent, la vérification de l’hôte n’est toujours pas activée par défaut, mais elle peut être activée dans la configuration du SDK (la classe CouchbaseEnvironment).

    Produits :

    SDK Java Couchbase,
    Couchbase Spark Connector,
    Connecteur Couchbase Kafka,
    (Connecteurs selon le Java SDK ou Core-IO)

    Impact :

    Haute (7,5)

    Affecte la version :

    1.7.10,
    1.6.0,
    1.5.0,
    1.4.0,
    1.3.0,
    1.2.0,
    1.1.0,
    1.0.0

    Correction de la version :

    2.7.11

    CVE :

  • Le port 8092 ne possède pas l'encodage X-XSS.

    Certaines entreprises exigent que les points d’accès REST API incluent des en-têtes liés à la sécurité dans les réponses REST. Ces en-têtes tels que X-Frame-Options et X-Content-Type-Options sont généralement recommandés ; toutefois, certains professionnels de la sécurité de l’information recherchent également les en-têtes X-Permitted-Cross-Domain-Policies et X-XSS-Protection, qui sont plus généralement applicables aux points d’accès HTML ; ces en-têtes sont désormais inclus dans les réponses de l’API REST Couchbase Server Views (port 8092).

    Produits :

    Serveur Couchbase

    Impact :

    Moyen (5,4)

    Affecte la version :

    5.5.0,
    5.1.2

    Correction de la version :

    6.0.2

    CVE :

  • Éviter l'injection de N1QL dans Sync Gateway via les clés startkey et endkey _all_docs.

    Un attaquant ayant accès à l’API REST publique de Sync Gateway a pu lancer des commandes supplémentaires N1QL et extraire des données sensibles ou exécuter des fonctions N1QL arbitraires via les paramètres “ startkey ” et “ endkey ” de l’endpoint “ _all_docs ”. En lançant des requêtes imbriquées comportant des opérations CPU-intenses, ils auraient pu provoquer une augmentation de l’utilisation des ressources et des conditions de déni de service. L’endpoint « _all_docs » n’est pas requis pour la réplication Couchbase Mobile et l’accès externe à cet endpoint REST a été bloqué afin de remédier à ce problème. Reconnaissance : Denis Werner/HiSolutions AG

    Produits :

    Couchbase Sync Gateway

    Impact :

    Haute (7,6)

    Affecte la version :

    2.1.2

    Correction de la version :

    2.5.0,
    2.1.3

    CVE :

  • Le commandement stat block Memcached “connections” émet un nom d’utilisateur non filtré.

    Les informations relatives au système soumises à Couchbase dans le cadre d’un rapport de bug incluaient les noms d’utilisateur de tous les utilisateurs actuellement connectés au système, même si le log avait été supprimé pour des raisons de confidentialité. Cela a été corrigé afin que les noms d’utilisateur soient correctement marqués dans les journaux et que les noms soient hachés lors de la suppression des journaux.

    Produits :

    Serveur Couchbase

    Impact :

    Moyen (6,5)

    Affecte la version :

    6.0.0,
    5.5.3,
    5.5.2,
    5.5.1,
    5.5.0

    Correction de la version :

    6.0.1,
    5.5.4

    CVE :

  • L’endpoint de débogage pour l’événement doit implémenter une authentification.

    Le service eventing expose un profil de diagnostic du système via une borne HTTP qui n’exige pas de données d’identification sur un port réservé uniquement au trafic interne. Cette situation a été corrigée et nécessite désormais des données d’identification valides pour accéder au service.

    Produits :

    Serveur Couchbase

    Impact :

    Haute (7,1)

    Affecte la version :

    6.0.0,
    5.5.0

    Correction de la version :

    6.0.1

    CVE :

  • L’endpoint /diag/eval n’est pas limité au localhost.

    Couchbase Server a exposé l’endpoint ‘/diag/eval’, qui, par défaut, est disponible sur les ports TCP/8091 et/ou TCP/18091. Authentifié les utilisateurs qui ont ‘Administrateur complet‘Le rôle assigné pourrait envoyer un code Erlang arbitraire à l’endpoint ‘diag/eval’ de l’API, et ce code serait ensuite exécuté dans le système d’exploitation sous les privilèges de l’utilisateur qui a démarré Couchbase. Reconnaissance : Équipe de sécurité d'Apple

    Produits :

    Serveur Couchbase

    Impact :

    Haute (8,8)

    Affecte la version :

    5.5.1,
    5.5.0,
    5.1.1,
    5.0.1,
    5.0.0,
    4.6.5,
    4.5.1,
    4.1.2,
    4.0.0

    Correction de la version :

    6.0.0,
    5.5.2

    CVE :

Laissez la prolifération des bases de données dans le passé

Chaque ajout d'un élément à un autre revient à une facture supplémentaire, et vous devez gérer davantage de choses. Évaluez combien vous pourriez économiser en 2 minutes.

Calculez maintenant