In questa pagina sono elencati gli avvisi e i consigli critici per Couchbase.
Rimanete informati sugli ultimi avvisi e avvisi critici per Couchbase Server iscrivendovi alle nostre notifiche di aggiornamento. Per iscriversi, registrarsi sul nostro sito di supporto e seguire questo articolo: Annunci – Supporto Couchbase
Avvisi di sicurezza per le aziende
-
Aggiornamento del motore Javascript V8 a 10.7.x
Il motore Javascript v8 utilizzato nei servizi di Eventing, View Engine, XDCR e N1QL di Couchbase Server è stato aggiornato poiché in versioni precedenti a 99.0.4844.84 c’era una confusione di tipo che consentiva a un aggressore remoto di sfruttare potenzialmente la corruzione dell’heap tramite una richiesta elaborata in modo scorretto.
-
Una richiesta HTTP elaborata per l'API REST può causare un OOM nel servizio di backup
Un corpo di richiesta HTTP estremamente grande (o illimitato) può causare un errore OOM (out-of-memory) per il servizio di backup.
-
Aggiornamento di Jackson Databind a 2.13.4.2+ come utilizzato nel servizio Analytics per risolvere le vulnerabilità
L'esaurimento delle risorse del servizio Couchbase Analytics può verificarsi a causa della mancanza di un controllo per impedire l'utilizzo di array profondamente nidificati.
-
Il Couchbase Cluster Manager non dispone di controlli di accesso durante il riavvio di un nodo del cluster
Durante l’avvio di un nodo del server couchbase, c’è un breve periodo in cui il cookie di sicurezza viene impostato su “nocookie”, il che non prevede controlli di accesso al protocollo di distribuzione Erlang. Se un attaccante si connette a questo protocollo durante questo periodo, può eseguire codice arbitrario da remoto su qualsiasi nodo del cluster in qualsiasi momento, finché la connessione non viene interrotta. Il codice eseguito verrà eseguito con gli stessi privilegi del server couchbase.
-
Le credenziali possono essere trapelate nei log nel caso in cui si verifichi un guasto durante l'accesso a un nodo.
Durante un errore di connessione al nodo, le credenziali non modificate dell'utente che ha effettuato la richiesta REST possono essere trapelate nei file di log.
-
Aggiornamento di Erlang alla versione 24.3.4.4
Nell'utilizzo della funzionalità tls/ssl nel server couchbase, è possibile bypassare l'autenticazione del client in determinate situazioni. In particolare, qualsiasi applicazione che utilizzi il server ssl/tls/dtls e l'opzione di certificazione client “{verify, verify_peer}” è interessata da questa vulnerabilità. Le correzioni sono state rilasciate sulle versioni supportate con i patch 23.3.4.15, 24.3.4.2 e 25.0.2 del runtime erlang/OTP. Sono interessati solo i cluster che utilizzano l'autenticazione basata su certificato.