In questa pagina sono elencati gli avvisi e i consigli critici per Couchbase.
Rimanete informati sugli ultimi avvisi e avvisi critici per Couchbase Server iscrivendovi alle nostre notifiche di aggiornamento. Per iscriversi, registrarsi sul nostro sito di supporto e seguire questo articolo: Annunci – Supporto Couchbase
Avvisi di sicurezza per le aziende
-
Le credenziali vengono negoziate con KV utilizzando SCRAM-SHA quando la crittografia della connessione remota è configurata per HALF.
SDK negozierà di default con SCRAM-SHA, il che consente a un MITM di negoziare per le credenziali PLAIN
-
Aggiornamento a OpenSSL 3.1.4
Le applicazioni che utilizzano le funzioni DH_generate_key() per generare una chiave DH X9.42 e le applicazioni che utilizzano DH_check_pub_key(), DH_check_pub_key_ex() o EVP_PKEY_public_check() per verificare una chiave DH X9.42 o parametri X9.42 DH possono riscontrare lunghe latenze. In presenza di una chiave o di parametri che sono stati ottenuti da una fonte non attendibile, ciò può portare a un attacco Denial of Service.
-
Aggiornare cURL a 8.4.0
Il difetto presente in curl provoca il superamento del limite di un buffer basato su heap durante la handshake del proxy SOCKS5.
-
La chiave privata TLS è trapelata nel file di log di XDCR
La chiave privata utilizzata per la replica Cross Datacenter (XDCR) è stata divulgata nel file goxdcr.log
-
Le credenziali dell'utente Full Admin interno per la gestione del cluster sono trapelate nel file di log
Un evento di logging ha causato la fuga delle credenziali interne @ns_server admin in forma codificata nel file diag.log.
-
Le chiamate cURL di Eventing SQL++ a /diag/eval non erano sufficientemente limitate
La chiamata a cURL tramite SQL++ (N1QL) tramite il servizio Eventing al punto di accesso /diag/eval del host locale non è stata completamente impedita.