Avvisi di Couchbase

L'aggiornamento di openssl corregge un difetto nella componente openssl, c_rehash. Questo script esegue una scansione dei directory e calcola un valore hash per ciascun file .pem e .crt presenti nel percorso. Successivamente crea collegamenti simbolici per ciascuno dei file identificati dal valore hash. Il problema risiede nel fatto che questo script consente l'iniezione di comandi tramite script.

È stata identificata una vulnerabilità di sicurezza in Sync Gateway che, in determinate situazioni, ha portato alla divulgazione involontaria delle credenziali associate alla raccolta dei log per il supporto. Ciò ha influito sul set di credenziali utilizzate per avviare il processo di raccolta dei log. Si consiglia di aggiornare a Sync Gateway 3.2.6, che risolve questo problema, e di sostituire tutte le credenziali utilizzate per avviare la raccolta dei log durante il periodo interessato.

Nel .NET SDK v3.7.1 e versioni precedenti, la verifica dell'hostname per i certificati TLS non era applicata correttamente in tutti i casi.

Un problema è stato scoperto nelle API Java Cryptography di Bouncy Castle prima della versione 1.78. Un loop infinito del codice di verifica Ed25519 può verificarsi tramite una firma e una chiave pubblica manipolate.

Questa vulnerabilità è difficile da sfruttare, ma consente a un attaccante non autenticato con accesso alla rete tramite diversi protocolli di compromettere potenzialmente i prodotti interessati. Un'esplorazione riuscita potrebbe comportare aggiornamenti, inserzioni o cancellazioni non autorizzate dei dati accessibili, nonché un accesso non autorizzato a determinati sottoinsiemi di dati.

È stato scoperto un problema di sicurezza in Couchbase Server per Windows che potrebbe consentire l'accesso non autorizzato a file sensibili sul sistema. A seconda del livello di privilegi, questa vulnerabilità potrebbe consentire l'accesso a file come /etc/passwd o /etc/shadow.