Avvisi di Couchbase

Aggiornato openssl per correggere una falla in un componente di openssl, c_rehash. Questo script esamina le directory e crea un valore hash per ogni file .pem e .crt nella directory. Crea quindi collegamenti simbolici per ciascuno dei file nominati dal valore hash. Presenta una falla che permette l'iniezione di comandi nello script.

È stata identificata una vulnerabilità di sicurezza in Sync Gateway che, in determinate situazioni, ha portato alla divulgazione involontaria di credenziali associate alla raccolta di log per il supporto. Ciò ha interessato il set di credenziali utilizzato per avviare il processo di raccolta dei log. Si consiglia di aggiornare a Sync Gateway 3.2.6, che risolve questo problema, e di ruotare tutte le credenziali che sono state utilizzate per avviare la raccolta di log durante il periodo interessato.

Nell'SDK .NET v3.7.1 e versioni precedenti, la verifica del nome host per i certificati TLS non veniva applicata correttamente in tutti i casi.

È stata individuata una vulnerabilità nelle API di crittografia Java di Bouncy Castle nelle versioni precedenti alla 1.78. È possibile che si verifichi un ciclo infinito nel codice di verifica Ed25519 tramite una firma e una chiave pubblica appositamente create.

Questa vulnerabilità è difficile da sfruttare ma consente a un utente malintenzionato non autenticato con accesso alla rete tramite più protocolli di compromettere potenzialmente i prodotti interessati. Lo sfruttamento riuscito potrebbe comportare aggiornamenti, inserimenti o eliminazioni non autorizzati di dati accessibili, nonché accesso in lettura non autorizzato a determinati sottoinsiemi di dati.

È stata scoperta una vulnerabilità di sicurezza in Couchbase Server per Windows che potrebbe consentire l'accesso non autorizzato a file sensibili sul sistema. A seconda del livello di privilegi, questa vulnerabilità potrebbe consentire l'accesso a file come / etc / passwd o / etc / shadow.