Avvisi di Couchbase

Determinati arresti anomali rari potrebbero causare la perdita della chiave privata del certificato generato nei file di log.

Quando Sync Gateway è configurato per l'autenticazione con Couchbase Server utilizzando i certificati client X.509, le credenziali di amministrazione fornite alle API REST di amministrazione vengono ignorate, determinando un'escalation dei privilegi per gli utenti non autenticati. Le API REST pubbliche non sono interessate da questo problema. Soluzione alternativa: sostituire l'autenticazione basata su certificati X.509 con l'autenticazione basata su nome utente e password all'interno della configurazione di bootstrap.

Gli utenti non autenticati possono effettuare una chiamata API REST al gestore del cluster. Ogni richiesta HTTP che non è stata vista in precedenza dal gestore del cluster porta alla creazione di una nuova metrica. Ogni nuova metrica occupa un po' di memoria e di spazio su disco, il che può creare una perdita di memoria e di spazio su disco. Se vengono utilizzate risorse a sufficienza, ciò potrebbe causare il guasto di un nodo di Couchbase Server.

Il servizio Index esegue diversi processi di rete, Queryport, Dataport e Adminport. Questi vengono utilizzati per comunicare con altri servizi Couchbase. Questi processi partecipano alla comunicazione da nodo a nodo, ma non comunicano direttamente con le applicazioni SDK. nelle versioni interessate di Couchbase Server, questi processi di rete non applicano l'autenticazione, quindi elaboreranno le richieste inviate da utenti non autenticati. Il server Queryport può rispondere a un utente non autenticato con i risultati della scansione dell'indice. Il server Dataport può consentire a un utente non autenticato di modificare i dati indicizzati. Il server Adminport può consentire a un utente non autenticato di eseguire operazioni DDL (come Create e Drop index). Possibile soluzione alternativa: poiché queste porte vengono utilizzate solo per la comunicazione interna da parte di Couchbase Server, qualsiasi connessione/comunicazione con nodi e processi non Couchbase Server può essere disabilitata a livello di rete.

Gli endpoint diagnostici come diag/eval sono limitati e possono essere eseguiti solo dalla rete di loopback. Tuttavia, i controlli implementati per risolvere la CVE-2018-15728 non verificano correttamente se un'intestazione “X-Forwarded-For” contiene un indirizzo di loopback. Questa intestazione può essere manipolata per aggirare la restrizione di loopback. La vulnerabilità è limitata alle richieste provenienti da reti private e spazi di indirizzi condivisi, secondo la norma RFC6890. Per poter inviare con successo richieste a questi endpoint, un utente richiede privilegi amministrativi completi, indipendentemente dall'intestazione “X-Forwarded-For” utilizzata. Una soluzione alternativa per questo problema consiste nell'impostare un firewall per le richieste ai nodi di Couchbase Server che contengono intestazioni “X-Forwarded-For” negli ambienti in cui non sono richieste. Riconoscimento Mucahit Karadag / PRODAFT

Durante l'aggiunta di nodi al cluster, un arresto anomalo del Cluster Manager (ns_server) potrebbe causare la perdita della chiave privata all'interno dei file di log. Chiunque abbia accesso ai file di log potrebbe essere in grado di decrittografare le connessioni di rete sicure al cluster. Se viene utilizzato TLS, potrebbero essere acquisite le credenziali degli utenti e delle applicazioni che effettuano l'accesso al cluster.