In questa pagina sono elencati gli avvisi e i consigli critici per Couchbase.
Rimanete informati sugli ultimi avvisi e avvisi critici per Couchbase Server iscrivendovi alle nostre notifiche di aggiornamento. Per iscriversi, registrarsi sul nostro sito di supporto e seguire questo articolo: Annunci – Supporto Couchbase
Avvisi di sicurezza per le aziende
-
Creazione non autorizzata di un utente con ruoli elevati
Un utente con la funzione di sicurezza_admin_local potrebbe creare un nuovo utente in un gruppo che abbia la funzione ‘admin’, concedendo potenzialmente privilegi superiori a quelli previsti dalla licenza.
-
Vulnerabilità relativa alla manipolazione degli header
L'header Host di una richiesta HTTP in arrivo è stato copiato ciecamente nell'header Location.
-
Le porte di gestione dei cluster sono vulnerabili alla vulnerabilità SWEET32
Le cifre DES e Triple DES, utilizzate nei protocolli TLS, SSH e IPSec e in altri protocolli e prodotti, hanno un periodo di validità legato a circa quattro miliardi di blocchi, il che rende più facile agli aggressori remoti ottenere dati in chiaro tramite un attacco di questo tipo contro una sessione crittografata di lunga durata, come dimostrato da una sessione HTTPS che utilizza la cifratura Triple DES in modalità CBC, noto anche come attacco “Sweet32”.
-
Aggiornare JDK a 17.0.11
La vulnerabilità consente agli attaccanti non autenticati in possesso di accesso alla rete tramite diversi protocolli di compromettere Oracle Java SE, Oracle GraalVM per JDK e Oracle GraalVM Enterprise Edition. Gli attacchi riusciti con questa vulnerabilità possono comportare l’accesso non autorizzato a alcuni dati accessibili di Oracle Java SE, Oracle GraalVM per JDK e Oracle GraalVM Enterprise Edition.
-
Aggiornare pyca/cryptography a 42.0.5
È stato riscontrato un difetto nel pacchetto python-cryptography. Questo problema potrebbe consentire a un aggressore remoto di decifrare i messaggi acquisiti nei server TLS che utilizzano la trasmissione di chiavi RSA, il che potrebbe portare alla divulgazione di dati confidenziali o sensibili.
-
Aggiornamento a v8 12.1.285.26
L'accesso non autorizzato ai dati di memoria in V8 in Google Chrome prima della versione 120.0.6099.224 consentiva a un aggressore remoto di sfruttare potenzialmente la corruzione dell'heap tramite una pagina HTML manipolata.