Avvisi di Couchbase

CVE-2025-52490

Credential Disclosure Vulnerability in Sync Gateway Log Collection Process
A security vulnerability was identified in Sync Gateway that, in certain situations, resulted in the unintentional disclosure of credentials associated with log collection for support. This affected the set of credentials used to initiate the log collection process. We recommend upgrading to Sync Gateway 3.2.6, which addresses this issue, and rotating any credentials that were used to initiate log collection during the affected period.

Medio
(6.5)

Gateway di sincronizzazione Couchbase

3.2.5,
3.2.4,
3.2.3,
3.2.2,
3.2.1,
3.2.0,
3.1.x,
3.0.x

3.2.6

July 2025

CVE-2025-49015

.NET SDK v3.7.1 e precedenti potevano saltare la verifica del nome dell'host del certificato
In .NET SDK v3.7.1 e precedenti, la verifica dell'hostname per i certificati TLS non veniva applicata correttamente in tutti i casi.

Medio
(4.9)

SDK .NET di Couchbase

3.7.0,
3.6.x,
3.5.x,
3.4.x,
3.3.x,
3.2.x,
3.1.x,
3.0.x

3.7.1

Giugno 2025

CVE-2025-46619

Vulnerabilità di inclusione locale di file identificata in Couchbase Server per Windows

È stato scoperto un problema di sicurezza in Couchbase Server per Windows che potrebbe consentire l'accesso non autorizzato a file sensibili sul sistema. A seconda del livello di privilegi, questa vulnerabilità può consentire l'accesso a file come / etc / passwd o / etc / shadow.

Alto
(8.7)

Server Couchbase

Server
7.6.3,
7.6.2,
7.6.1,
7.6.0,
7.2.6,
7.2.5,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

Server
7.6.4,
7.2.7

Aprile 2025

CVE-2024-56178

Creazione non autorizzata di un utente con ruoli elevati

Un utente con il ruolo security_admin_local potrebbe creare un nuovo utente in un gruppo che ha il ruolo "admin", concedendo potenzialmente privilegi elevati oltre le autorizzazioni previste.

Medio
(6.9)

Server Couchbase

Server
7.6.3,
7.6.2,
7.6.1,
7.6.0

Server
7.6.4

Dicembre 2024

CVE-2016-2183
CVE-2016-6329

Porte di gestione dei cluster vulnerabili alla vulnerabilità SWEET32.

I cifrari DES e Triple DES, utilizzati nei protocolli TLS, SSH e IPSec e in altri protocolli e prodotti, hanno un limite di compleanno di circa quattro miliardi di blocchi, il che rende più facile per gli aggressori remoti ottenere dati in chiaro tramite un attacco di compleanno contro una sessione crittografata di lunga durata, come dimostrato da una sessione HTTPS che utilizza Triple DES in modalità CBC, alias un attacco "Sweet32".

Alto
(8.7)

Server Couchbase

Server
7.2.5,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x
4.x
3.x,
2.x

Server
7.6.0,
7.2.6

Agosto 2024

CVE-2024-37034

Le credenziali vengono negoziate con KV utilizzando SCRAM-SHA quando la crittografia del collegamento remoto è configurata per HALF.

L'SDK negozierà con SCRAM-SHA per impostazione predefinita, il che consente a un MITM di negoziare per ottenere credenziali PLAIN.

Medio
(5.9)

Server Couchbase

Server
7.6.0,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x

Server
7.6.1,
7.2.5

Luglio 2024

CVE-2023-50782

Aggiornare pyca-cryptography a 42.0.5.

È stata rilevata una falla nel pacchetto python-cryptography. Questo problema può consentire a un aggressore remoto di decifrare i messaggi catturati nei server TLS che utilizzano scambi di chiavi RSA, il che può portare all'esposizione di dati riservati o sensibili.

Alto
(7.5)

Server Couchbase

Server
7.6.1,
7.6.0

Server
7.6.2,
7.2.5

Luglio 2024

CVE-2023-45873

L'utente con il ruolo di lettore di dati potrebbe uccidere il servizio dati.

Un utente con il privilegio di lettore di dati potrebbe uccidere il servizio dati inviando GetKeys che richiede un numero elevato di documenti, innescando un errore OOM (Out-of-Memory).

Medio
(6.5)

Server Couchbase

Server
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.6.x,
6.5.x

Server
7.2.4

Gennaio 2024

CVE-2023-43769

Porte del servizio RMI non autenticate esposte nel servizio di analisi.

Le porte di rete 9119 e 9121 erano porte di servizio RMI non autenticate ospitate dal servizio di analisi, che potevano causare l'escalation dei privilegi.

Critico
(9.1)

Server Couchbase

Server
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x

Server
7.2.4

Gennaio 2024

CVE-2023-49931

Le chiamate cURL di SQL++ a / diag / eval non erano sufficientemente limitate.

La chiamata a cURL tramite SQL++ (N1QL) utilizzando il Query Service verso l'endpoint localhost / diag / eval non era completamente impedita.

Alto
(8.6)

Server Couchbase

Server
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x

Server
7.2.4

Gennaio 2024

CVE-2023-49930

Le chiamate cURL di SQL++ a diag eval non erano sufficientemente limitate.

La chiamata di cURL tramite SQL++ (N1QL) attraverso il Servizio eventi all'endpoint diag eval dell'host locale non era completamente impedita.

Alto
(8.6)

Server Couchbase

Server
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.5.x

Server
7.2.4

Gennaio 2024

CVE-2024-23302

Chiave privata TLS trapelata nel file di registro XDCR.

La chiave privata utilizzata per Cross Datacenter Replication (XDCR) è trapelata nel file goxdcr.log.

Basso
(2.1)

Server Couchbase

Server
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.5.x

Server
7.2.4

Gennaio 2024

CVE-2023-5678

Aggiornare a OpenSSL 3.1.4.

Le applicazioni che utilizzano le funzioni DH_generate_key() per generare una chiave X9.42 DH e le applicazioni che utilizzano DH_check_pub_key(), DH_check_pub_key_ex() o EVP_PKEY_public_check() per verificare una chiave X9.42 DH o i parametri X9.42 DH possono subire lunghi ritardi. Se la chiave o i parametri da verificare sono stati ottenuti da una fonte non attendibile, ciò può portare a un Denial of Service.

Medio
(5.3)

Server Couchbase

Server
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

Server
7.2.4

Gennaio 2024

CVE-2023-44487

Aggiornare Golang alla versione 1.20.10.

Il protocollo HTTP/2 consente di negare il servizio perché l'annullamento della richiesta può azzerare rapidamente molti flussi.

Alto
(7.5)

Server Couchbase

Server
7.2.2,
7.2.1,
7.2.0,
7.1.5,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x

Server
7.2.3,
7.1.6

Novembre 2023

CVE-2022-41723

Aggiornamento di GoLang alla versione 1.19.9.

Un flusso HTTP/2 creato in modo malevolo potrebbe causare un consumo eccessivo di CPU nel decodificatore HPACK, sufficiente a causare una negazione del servizio da un numero ridotto di piccole richieste.

Alto
(7.5)

Server Couchbase

Server
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x

Server
7.2.1,
7.1.5

Novembre 2023

CVE-2023-21930

CVE-2023-21954

CVE-2023-21967

CVE-2023-21939

CVE-2023-21938

CVE-2023-21937

CVE-2023-21968

Aggiornare OpenJDK alla versione 11.0.19.

Aggiornare OpenJDK alla versione 11.0.19 per risolvere numerosi CVE.

Alto
(7.4)

Server Couchbase

Server
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.6.x

Server
7.1.5

Novembre 2023

CVE-2023-43768

Gli utenti non autenticati possono causare l'esaurimento della memoria di memcached.

Un utente malintenzionato può facilmente mandare in crash un server memcached collegandosi al server e iniziando a inviare comandi di grandi dimensioni.

Alto
(7.5)

Server Couchbase

Server
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.6.x

Server
7.2.1,
7.1.5

Novembre 2023

CVE-2022-41881

CVE-2022-41915

Aggiornare Netty alla versione 4.1.86.Final o superiore.

Nelle versioni precedenti alla 4.1.86.Final, può essere sollevato uno StackOverflowError durante l'analisi di un messaggio malformato a causa di una ricorsione infinita.

Basso
(2.2)

Server Couchbase

Server
6.6.6,
7.0.5,
7.1.3

Server
7.2.0,
7.1.4

Maggio 2023

CVE-2023-25016

Le credenziali possono essere trasmesse ai registri in caso di arresto anomalo durante l'unione di un nodo.

Durante il fallimento di un'unione di nodi, le credenziali non redatte dell'utente che effettua la richiesta REST possono trapelare nei file di log.

Medio
(6.3)

Server Couchbase

Server
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.x,
3.x,
2.x

Server
7.1.2,
7.0.5,
6.6.6

Gennaio 2023

CVE-2022-42004

CVE-2022-42003

Aggiornamento di Jackson Databind alla versione 2.13.4.2+ utilizzata nel servizio di analisi per risolvere le vulnerabilità.

L'esaurimento delle risorse di Couchbase Analytics Service può verificarsi a causa della mancanza di un controllo che impedisca l'uso di array profondamente annidati.

Alto
(7.5)

Server Couchbase

Server
7.1.2,
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1
6.6.0
6.5.x,
6.0.x,
5.x,
4.x

Server
7.1.3,
7.0.5,
6.6.6

Gennaio 2023

CVE-2022-1096

Aggiornamento del motore Javascript V8 alla versione 10.7.x.

Il motore Javascript v8 utilizzato in Couchbase Server Eventing Service, View Engine, XDCR e N1QL UDF è stato aggiornato perché nelle versioni precedenti alla 99.0.4844.84 esisteva una confusione di tipo che consentiva a un aggressore remoto di sfruttare potenzialmente la corruzione dell'heap tramite una richiesta artigianale.

Alto
(8.8)

Server Couchbase

Server
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.x,
5.x,
4.x,
3.x,
2.x

Server
7.1.2,
7.0.5

Gennaio 2023

CVE-2022-37026

Aggiornamento di Erlang alla versione 24.3.4.4.

Quando si utilizza la funzione tls/ssl nel server couchbase, è possibile aggirare l'autenticazione del client in determinate situazioni. In particolare, qualsiasi applicazione che utilizza il server ssl/tls/dtls e l'opzione di certificazione del client "{verify, verify_peer}" è affetta da questa vulnerabilità. Le correzioni sono state rilasciate sui binari supportati con le patch 23.3.4.15, 24.3.4.2 e 25.0.2 del runtime erlang/OTP. Sono interessati solo i cluster che utilizzano l'autenticazione basata su certificati.

Critico
(9.8)

Server Couchbase

Server
7.1.1,
7.1.0

Server
7.1.2

Novembre 2022

CVE-2022-24675

CVE-2022-23772

CVE-2022-24921

Aggiornamento di GoLang a un minimo di 1.17.9 o 1.18.1.

Aggiornato il linguaggio di programmazione Go e le librerie associate utilizzate in diversi servizi di Couchbase Server alle versioni 1.17.9+ o 1.18.1+ per risolvere numerosi CVE.

Alto
(7.5)

Server Couchbase

Server
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5x,
6.0.x,
5.x,
4.x

Server
7.1.1,
7.0.5,
6.6.6

Luglio 2022

CVE-2022-1292

Aggiornamento di openssl a 1.1.1o.

Aggiornato openssl per correggere una falla in un componente di openssl, c_rehash. Questo script esegue una scansione delle directory e prende un valore hash di ogni file .pem e .crt presente nella directory. Quindi crea collegamenti simbolici per ciascuno dei file denominati dal valore hash. Presenta una falla che consente l'iniezione di comandi nello script.

Critico
(9.8)

Server Couchbase

Server
7.1.0,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x

Server
7.1.1,
7.0.4,
6.6.6

Luglio 2022

CVE-2021-42581

Aggiornamento di ramda, una libreria javascript lato client, alla versione 0.28 utilizzata nell'interfaccia utente di Couchbase Server.

Ramda 0.27.0 e versioni precedenti consentono agli aggressori di compromettere l'integrità o la disponibilità di un'applicazione fornendo un oggetto artigianale (che contiene una proprietà propria "{}proto{}") come argomento della funzione, noto come inquinamento del prototipo. Gli attacchi di tipo Prototype Pollution consentono di aggirare la convalida dell'input e di innescare un'esecuzione inaspettata di JavaScript.

Critico
(9.1)

Server Couchbase

Server
7.1.0,
7.0.x

Server
7.1.1

Luglio 2022

CVE-2022-33911

I nomi dei campi non vengono eliminati nei messaggi di convalida registrati per Analytics Service.

Quando si creano indici secondari con Couchbase Server Analytics Service, ci sono alcune convalide sui campi indicizzati che vengono segnalate all'utente e registrate. Il messaggio di errore con codice ASX0013 viene utilizzato in più percorsi per segnalare e registrare la presenza di un nome di campo duplicato. I nomi dei campi in questi messaggi di convalida registrati non sono stati redatti. Anche gli errori con il codice ASX1079 hanno nomi di campi che non vengono redatti.

Basso
(1.8)

Server Couchbase

Server
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x

Server
7.0.4,
6.6.6

Giugno 2022

CVE-2022-32565

Il registro del servizio di backup lascia trapelare nomi utente e ID documento non riservati.

Se il servizio di backup non riesce a registrare un messaggio di audit, fa trapelare i dati del registro di audit nel file backup_service.log, che non viene redatto.

Basso
(1.8)

Server Couchbase

Server
7.0.x

Server
7.1.0

Giugno 2022

CVE-2022-32192

couchbase-cli perde la password master di Secrets Management come argomento della riga di comando.

Il couchbase-cli genera un processo erlang di breve durata che ha la password master come argomento del processo, il che significa che se qualcuno ottiene l'elenco dei processi in quel momento avrà la password master. Questo riguarda solo i cluster di Couchbase Server che utilizzano la funzione di gestione dei segreti.

Medio
(5.5)
 

Server Couchbase

Server
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x

Server
7.0.4,
6.6.6

Giugno 2022

CVE-2022-32560

XDCR - manca il controllo dei ruoli quando si modificano le impostazioni interne.

Nelle versioni interessate di Couchbase Server, le impostazioni interne di XDCR possono essere modificate senza alcuna autenticazione.

Medio
(4.0)

Server Couchbase

Server
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.x,
5.x,
4.x

Server
7.0.4

Giugno 2022

CVE-2021-3737

Python aggiornato alla versione 3.9.12 per risolvere un problema di negazione del servizio.
È stata riscontrata una falla in Python. Una risposta HTTP gestita in modo improprio nel codice client HTTP di Python può consentire a un aggressore remoto, che controlla il server HTTP, di far entrare lo script client in un ciclo infinito, consumando tempo di CPU. Questo problema riguarda solo i cluster che utilizzano la funzione di anteprima per gli sviluppatori, Analytics UDFs.

Alto
(7.5)

Server Couchbase

Server
7.0.3,
7.0.2,
7.0.1,
7.0.0

Server
7.0.4

Giugno 2022

CVE-2022-32193

La chiave privata potrebbe essere registrata durante un arresto anomalo del componente Cluster Manager di Couchbase Server.

Durante l'aggiunta di nodi al cluster, un arresto anomalo di Cluster Manager (ns_server) può causare la fuoriuscita della chiave privata nei file di registro. Chi ha accesso ai file di registro può essere in grado di decifrare le connessioni di rete sicure al cluster. Se si utilizza TLS, le credenziali degli utenti e delle applicazioni che accedono al cluster possono essere acquisite.

Medio
(6.3)

Server Couchbase

Server
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0

Server
7.0.4,
6.6.6

Giugno 2022

CVE-2022-32557

Index Service non applica l'autenticazione per i server TCP/TLS.

Il servizio Indice esegue diversi processi di rete, Queryport, Dataport e Adminport. Questi processi sono utilizzati per comunicare con altri servizi Couchbase. Questi processi partecipano alla comunicazione tra nodi, ma non comunicano direttamente con le applicazioni SDK. Nelle versioni interessate di Couchbase Server, questi processi di rete non applicano l'autenticazione e quindi elaborano le richieste inviate da utenti non autenticati.

Il server Queryport può rispondere a un utente non autenticato con i risultati della scansione dell'indice.

Il server Dataport può consentire a un utente non autenticato di modificare i dati indicizzati.

Il server Adminport può consentire a un utente non autenticato di eseguire operazioni DDL (come la creazione e la cancellazione di indici).

Possibile soluzione: Poiché queste porte sono utilizzate solo per la comunicazione interna di Couchbase Server, qualsiasi connessione/comunicazione con nodi e processi diversi da Couchbase Server può essere disabilitata a livello di rete.

Alto
(8.2)

Server Couchbase

Server
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.x,
5.x,
4.x

Server
7.0.4

Giugno 2022

CVE-2022-32563

Le credenziali dell'amministratore non vengono verificate quando si utilizza l'autenticazione del certificato client X.509 da Sync Gateway a Couchbase Server.

Quando Sync Gateway è configurato per l'autenticazione con Couchbase Server utilizzando certificati client X.509, le credenziali di amministrazione fornite all'Admin REST API vengono ignorate, con conseguente escalation dei privilegi per gli utenti non autenticati. L'API REST pubblica non è interessata da questo problema.

Soluzione: Sostituire l'autenticazione basata su certificati X.509 con l'autenticazione con nome utente e password all'interno della configurazione di bootstrap.

Critico
(9.8)

Gateway di sincronizzazione Couchbase

Gateway di sincronizzazione Couchbase:
3.0.0,
3.0.1

3.0.2

Giugno 2022

CVE-2022-26311

Segreti non redatti nei log raccolti da ambienti Kubernetes.

Couchbase Operator 2.2.0 ha introdotto un'ottimizzazione che ha semplificato la raccolta dei log. Quando vengono raccolti i log, lo strumento di supporto "cbopinfo" viene utilizzato per raccogliere le risorse Kubernetes necessarie per ottenere informazioni sullo stato delle risorse previste e sullo stato attuale delle risorse. Prima delle versioni interessate, i dati segreti venivano eliminati, ma questa funzionalità non è stata mantenuta nel nuovo metodo di raccolta. Di conseguenza, i registri avrebbero erroneamente contenuto password, token e chiavi private nell'ambito della raccolta dei registri. Per impostazione predefinita, questo ambito sarà limitato allo spazio dei nomi di Kubernetes in cui risiede il cluster di Couchbase Server sotto ispezione. Fa eccezione il caso in cui sia stato specificato il flag --system, nel qual caso saranno esposti tutti i segreti della piattaforma. I log vengono utilizzati per identificare e risolvere i problemi dei clienti, pertanto sono interessati solo i clienti che hanno fornito i log con le versioni degli strumenti specificate. Couchbase farà in modo che tutti i registri interessati che sono stati forniti vengano redatti.

Alto
(7.2)

Operatore nativo del cloud di Couchbase

2.2.0,
2.2.1,
2.2.2

2.2.3

Marzo 2022

CVE-2021-43963

Sync Gateway memorizza in modo insicuro le credenziali del bucket di Couchbase Server

Le credenziali del bucket utilizzate da Sync Gateway per leggere e scrivere i dati in Couchbase Server venivano memorizzate in modo insicuro nei metadati dei documenti di sincronizzazione scritti nel bucket. Gli utenti con accesso in lettura potevano utilizzare queste credenziali per ottenere l'accesso in scrittura. Il problema non riguarda i cluster in cui Sync Gateway è autenticato con certificati client x.509. Questo problema non riguarda nemmeno i cluster in cui l'accesso al bucket condiviso non è abilitato su Sync Gateway.

Medio
(6.5)

Gateway di sincronizzazione Couchbase

Gateway di sincronizzazione
2.8.2,
2.8.1,
2.8.0,
2.7.x

Gateway di sincronizzazione 2.8.3

Ottobre 2021

CVE-2021-42763

Credenziali esposte nel registro degli errori di arresto anomalo da un backtrace

Come parte di una raccolta di log cbcollect_info, Couchbase Server raccoglie le informazioni sui processi di tutti i processi in esecuzione nella VM Erlang. Il problema si verifica quando il gestore del cluster inoltra una richiesta HTTP dall'interfaccia utente collegabile (query workbench, ecc.) al servizio specifico. Nel backtrace, l'intestazione Basic Auth inclusa nella richiesta HTTP contiene le credenziali utente "@" del nodo che elabora la richiesta dell'interfaccia utente. Affinché il problema si verifichi, le informazioni sul processo devono essere attivate nel momento esatto in cui una richiesta dell'interfaccia utente collegabile viene gestita dal gestore del cluster.

Alto
(8.8)

Server Couchbase

Severo
7.0.1,
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.5.x

Server
6.6.3,
7.0.2

Ottobre 2021

CVE-2020-36242

Aggiornamento del pacchetto Python cryptography alla versione 3.3.2

Nel pacchetto di crittografia precedente alla versione 3.3.2 per Python, utilizzato dagli strumenti a riga di comando di Couchbase Server, alcune sequenze di chiamate di aggiornamento per crittografare simmetricamente valori multi-GB potrebbero causare un overflow di interi e un buffer overflow in tale strumento.

Critico
(9.1)

Server Couchbase

Severo
7.0.1,
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.5.x

Server
6.6.3,
7.0.2

Ottobre 2021

CVE-2021-35945

Un pacchetto di rete appositamente creato e inviato da un utente malintenzionato può mandare in crash memcached.

Questo può causare l'indisponibilità del servizio dati. Si consiglia di utilizzare un firewall per consentire solo al traffico di rete delle applicazioni di comunicare con il cluster di Couchbase Server.

Alto
(8.2)

Server Couchbase

Server
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.6.x,
4.5.x

Server
6.6.3,
7.0.1

Settembre 2021

CVE-2021-23840

CVE-2021-3450

CVE-2021-3449

Aggiornare OpenSSL alla versione 1.1.1k

Risolti diversi problemi di sicurezza in OpenSSL, uno dei quali potrebbe causare l'arresto anomalo del server TLS in caso di invio di un messaggio ClientHello di rinegoziazione creato male da un client.

Medio/Alto
(5.9,
7.4,
7.5)

Server Couchbase

Server
6.6.2,
6.6.1,
6.6.0,
6.5.x

Server 6.6.3

Agosto 2021

CVE-2021-31158

Le espressioni di tabella comuni (CTE) di N1QL gestivano il controllo degli accessi in modo non corretto.

Le query N1QL Common Table Expression non rispettavano correttamente i controlli di sicurezza RBAC, consentendo l'accesso in lettura a utenti che non disponevano dell'autorizzazione richiesta.

Medio
(6.5)

Server Couchbase

Server
6.6.1,
6.6.0,
6.5.2,
6.5.1,
6.5.0

Server 6.6.2

Febbraio 2020

CVE-2020-9040

Fino a core-io 1.7.11 (e di conseguenza Java SDK 2.7.11), la verifica dell'hostname sulle connessioni TLS/SSL non è abilitata e può costituire un rischio per la sicurezza in alcuni ambienti.

Java 6 (JDK 1.6 - la versione di base del vecchio SDK) non supportava la verifica dell'hostname. Una volta che l'SDK è passato a Java 7 (Java 1.7) come versione di base, è stato possibile aggiungere il supporto. Ciò è avvenuto in jvm-core 1.7.11 (che si traduce in java-client 2.7.11). Nelle versioni precedenti non è possibile aggiungerlo manualmente come workaround, perché non sono presenti le strutture per personalizzarlo di conseguenza. Si noti che per non interrompere le applicazioni che si basano sul vecchio comportamento, la verifica dell'hostname è ancora disabilitata per impostazione predefinita, ma può essere abilitata nella configurazione dell'SDK (classe CouchbaseEnvironment).

Alto
(7.5)

SDK Java di Couchbase
Connettore Couchbase Spark
Connettore Kafka di Couchbase
(I connettori dipendono da Java SDK o Core-IO)

1.7.10,
1.6.0,
1.5.0,
1.4.0,
1.3.0,
1.2.0,
1.1.0,
1.0.0

2.7.11

Aprile 2019

CVE-2020-9042

Couchbase Server restituisce una risposta WWW-Authenticate alle richieste non autenticate.

L'API REST del server risponde con un'intestazione {{WWW-Authenticate}} alle richieste non autenticate che consente all'utente di autenticarsi tramite una finestra di dialogo utente/password in un browser web. Il problema è che queste credenziali vengono memorizzate nella cache dal browser, il che consente a un hacker di utilizzare CSRF per attaccare un cluster nel caso in cui un amministratore abbia utilizzato il proprio browser per controllare i risultati di una richiesta API REST. Questo comportamento può essere disabilitato utilizzando couchbase-cli (couchbase-cli setting-security --set --disable-www-authenticate 1 -c localhost:8091 -u -p ). Questa funzione non è disabilitata per impostazione predefinita, in quanto potrebbe interrompere gli strumenti o gli script esistenti.

Riconoscimento: Team di sicurezza Apple

Medio
(6.3)

Server Couchbase

6.0.0

6.5.1

Aprile 2020

CVE-2019-9039

Prevenire l'iniezione di N1QL in Sync Gateway tramite _all_docs startkey, endkey

Un utente malintenzionato con accesso all'API REST pubblica di Sync Gateway è stato in grado di emettere dichiarazioni N1QL aggiuntive ed estrarre dati sensibili o chiamare funzioni N1QL arbitrarie attraverso i parametri "startkey" e "endkey" sull'endpoint "_all_docs". Emettendo query annidate con operazioni ad alta intensità di CPU, potrebbero essere in grado di causare un aumento dell'utilizzo delle risorse e condizioni di negazione del servizio. L'endpoint _all_docs non è necessario per la replica di Couchbase Mobile e l'accesso esterno a questo endpoint REST è stato bloccato per mitigare il problema.

Riconoscimento: Denis Werner/HiSolutions AG

Alto
(7.6)

Gateway di sincronizzazione Couchbase

2.1.2

2.5.0
2.1.3

Febbraio 2019

CVE-2019-11465

Il comando di blocco delle statistiche di Memcached "connections" emette un nome utente non redatto

Le informazioni di sistema inviate a Couchbase come parte di una segnalazione di bug includevano i nomi utente di tutti gli utenti attualmente connessi al sistema, anche se il registro era stato redatto per motivi di privacy.

Questo problema è stato risolto in modo che i nomi utente siano etichettati correttamente nei registri e vengano eliminati quando i registri vengono redatti.

Medio
(6.5)

Server Couchbase

6.0.0,
5.5.3,
5.5.2,
5.5.1,
5.5.0

6.0.1
5.5.4

Gennaio 2019

CVE-2019-11495

Il cookie Erlang utilizza un seme casuale debole.

Il cookie utilizzato per la comunicazione all'interno del nodo non è stato generato in modo sicuro. Couchbase Server utilizza erlang:now() per alimentare il PRNG, il che comporta un piccolo spazio di ricerca per potenziali semi casuali che potrebbero essere utilizzati per forzare il cookie ed eseguire codice contro un sistema remoto.

Riconoscimento:  Team di sicurezza Apple

Alto
(7.9)

Server Couchbase

5.1.1

6.0.0

Settembre 2018

CVE-2019-11497

XDCR non convalida il certificato di un cluster remoto.

Quando un certificato di cluster remoto non valido veniva inserito come parte della creazione del riferimento, XDCR non analizzava e controllava la firma del certificato. Accettava quindi il certificato non valido e tentava di utilizzarlo per stabilire connessioni future al cluster remoto. Questo problema è stato risolto. Ora XDCR controlla accuratamente la validità del certificato e impedisce la creazione di un riferimento al cluster remoto con un certificato non valido.

Alto
(7.5)

Server Couchbase

5.0.0

5.5.0

Giugno 2018