Cette page répertorie les alertes et avis critiques pour Couchbase.
Restez informé des dernières alertes et avis critiques pour Couchbase Server en vous abonnant à nos notifications de mise à jour. Pour vous inscrire, veuillez vous enregistrer sur notre site de support et suivre cet article : Annonces – Soutien Couchbase
Alertes de sécurité d'entreprise
-
Mise à jour du moteur Javascript V8 vers 10.7.x
Le moteur Javascript v8 utilisé dans les services Couchbase Server Eventing Service, View Engine, XDCR et N1QL UDF a été mis à jour car il y avait une confusion de type dans les versions antérieures à 99.0.4844.84, ce qui permettait à un attaquant distant d’exploiter une corruption de heap via une requête malveillante.
-
Une requête HTTP élaborée vers une API REST peut provoquer une défaillance de l’allocation de mémoire pour le service de sauvegarde
Un corps de requête HTTP extrêmement volumineux (ou illimité) peut provoquer une erreur OOM (out-of-memory) dans le service de sauvegarde.
-
Mise à jour de Jackson Databind vers 2.13.4.2+ utilisée dans le service d’analyse pour résoudre les vulnérabilités
Une épuisement des ressources du service Couchbase Analytics peut se produire en raison du manque d’un contrôle permettant d’empêcher l’utilisation d’ensembles profondément imbriqués.
-
Le Couchbase Cluster Manager manque de contrôles d’accès lors du redémarrage d’un nœud de cluster
Au démarrage d’un nœud de serveur couchbase, il y a une courte période pendant laquelle le cookie de sécurité est configuré en “ nocookie ”, ce qui ne permet pas d’exercer un contrôle d’accès sur le protocole d’exploitation Erlang. Si un attaquant se connecte à ce protocole pendant cette période, il peut exécuter un code arbitraire à distance sur n’importe quel nœud du cluster à tout moment jusqu’à ce que sa connexion soit interrompue. Le code exécuté sera en cours d’exécution avec les mêmes privilèges que ceux du serveur Couchbase.
-
Les informations de connexion peuvent être échangées dans les journaux si un crash survient lors de l'intégration d'un nœud.
Lors d’une panne lors de l’ajout d’un nœud, les informations d’identification non filtrées de l’utilisateur qui effectue la requête REST peuvent être échangées dans les fichiers de journal.
-
Mise à jour d’Erlang vers la version 24.3.4.4
Lors de l’utilisation de la fonctionnalité tls/ssl dans le serveur couchbase, il est possible d’éviter l’authentification du client dans certaines situations. En particulier, toute application utilisant le serveur ssl/tls/dtls et l’option de certification client “ {verify, verify_peer} ” sont concernées par cette vulnérabilité. Des corrections ont été publiées sur les versions supportées avec les correctifs 23.3.4.15, 24.3.4.2 et 25.0.2 du runtime erlang/OTP. Seuls les clusters utilisant l’authentification basée sur les certificats sont concernés.