In questa pagina sono elencati gli avvisi e i consigli critici per Couchbase.
Rimanete informati sugli ultimi avvisi e avvisi critici per Couchbase Server iscrivendovi alle nostre notifiche di aggiornamento. Per iscriversi, registrarsi sul nostro sito di supporto e seguire questo articolo: Annunci – Supporto Couchbase
Avvisi di Sicurezza Aziendale
-
Il cookie di Erlang utilizza un seme casuale debole.
Il cookie utilizzato per la comunicazione tra nodi non è stato generato in modo sicuro. Couchbase Server utilizza erlang:now() per inizializzare il PRNG, il che si traduce in un piccolo spazio di ricerca per potenziali seed casuali che potrebbero poi essere utilizzati per effettuare un attacco di brute force sul cookie ed eseguire codice su un sistema remoto. Riconoscimento Team di sicurezza Apple
-
Gli endpoint REST del proiettore e dell'indicizzatore non richiedevano autenticazione.
L'endpoint REST /settings esposto dal processo del proiettore è un endpoint che gli amministratori possono utilizzare per varie attività come l'aggiornamento della configurazione e la raccolta di profili di prestazione. L'endpoint non era autenticato ed è stato aggiornato per consentire l'accesso a queste API amministrative solo agli utenti autenticati. Riconoscimento Team di sicurezza Apple
-
Un documento JSON con più di 3k caratteri ‘t’ manda in crash l'indicizzatore.
L'indicizzazione secondaria codifica le voci da indicizzare utilizzando collatejson. Quando le voci dell'indice contenevano determinati caratteri come t, , ciò causava un sovraccarico del buffer poiché la stringa codificata risultava molto più grande del previsto, provocando il blocco e il riavvio del servizio di indicizzazione. Questo problema è stato ora risolto per garantire che il buffer si espanda sempre secondo necessità per qualsiasi input. Riconoscimento D-Trust GmbH
-
XDCR non valida il certificato di un cluster remoto.
Quando è stato inserito un certificato di cluster remoto non valido come parte della creazione del riferimento, XDCR non ha analizzato e controllato la firma del certificato. Ha quindi accettato il certificato non valido e ha tentato di utilizzarlo per stabilire future connessioni al cluster remoto. Questo problema è stato risolto. Ora XDCR verifica a fondo la validità del certificato e impedisce la creazione di un riferimento di cluster remoto con un certificato non valido.
-
La modifica delle impostazioni del bucket in Couchbase Server consente l'autenticazione senza credenziali.
Nelle versioni di Couchbase Server precedenti alla 5.0, il bucket denominato “default” era un bucket speciale che consentiva l'accesso in lettura e scrittura senza autenticazione. Con la versione 5.0, il comportamento di tutti i bucket, incluso “default”, è stato modificato per consentire l'accesso solo a utenti autenticati con autorizzazioni sufficienti. Tuttavia, agli utenti era consentito l'accesso non autenticato e non autorizzato al bucket “default” se le proprietà di questo bucket venivano modificate. Questo problema è stato risolto.