Couchbaseアラート

CVE	あらすじ	影響（CVSS）	製品紹介	影響バージョン	修正版	発行日
CVE-2025-52490	Credential Disclosure Vulnerability in Sync Gateway Log Collection Process A security vulnerability was identified in Sync Gateway that, in certain situations, resulted in the unintentional disclosure of credentials associated with log collection for support. This affected the set of credentials used to initiate the log collection process. We recommend upgrading to Sync Gateway 3.2.6, which addresses this issue, and rotating any credentials that were used to initiate log collection during the affected period.	ミディアム (6.5)	Couchbase Sync Gateway	3.2.5, 3.2.4, 3.2.3, 3.2.2, 3.2.1, 3.2.0, 3.1.x, 3.0.x	3.2.6	July 2025
CVE-2025-49015	.NET SDK v3.7.1以前では、証明書のホスト名検証がスキップされる可能性があります。 .NET SDK v3.7.1およびそれ以前のバージョンでは、TLS証明書のホスト名検証がすべてのケースで正しく実施されませんでした。	ミディアム (4.9)	Couchbase .NET SDK	3.7.0, 3.6.x, 3.5.x, 3.4.x, 3.3.x, 3.2.x, 3.1.x, 3.0.x	3.7.1	2025年6月
CVE-2024-30171 CVE-2024-29857 CVE-2024-30172	バウンシー・キャッスルを1.79にアップグレード 1.78 以前の Bouncy Castle Java Cryptography API に問題が発見されました。細工された署名と公開鍵によってEd25519検証コードの無限ループが発生する可能性があります。	ミディアム (6.9)	Couchbaseサーバー	サーバー 7.6.5, 7.6.4, 7.6.3, 7.6.2, 7.6.1, 7.6.0, 7.2.6, 7.2.5, 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x	サーバー 7.6.6, 7.2.7	2025年5月
CVE-2025-46619	Windows版Couchbase Serverにローカルファイル包含の脆弱性を発見 Couchbase Server for Windowsに、システム上の機密ファイルへの不正アクセスを許すセキュリティ上の問題が発見されました。権限のレベルによって、この脆弱性は/ etc / passwdや/ etc / shadowなどのファイルへのアクセスを許可する可能性があります。	高い (8.7)	Couchbaseサーバー	サーバー 7.6.3, 7.6.2, 7.6.1, 7.6.0, 7.2.6, 7.2.5, 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.6.4, 7.2.7	2025年4月
CVE-2024-21235	JDKを17.0.13にアップデートこの脆弱性を悪用することは困難ですが、複数のプロトコルを介してネットワークにアクセスできる未認証の攻撃者は、影響を受ける製品を侵害する可能性があります。悪用に成功すると、アクセス可能なデータの不正な更新、挿入、削除、および特定のデータサブセットへの不正な読み取りアクセスが行われる可能性があります。	ミディアム (4.8)	Couchbaseサーバー	サーバー 7.6.3, 7.6.2, 7.6.1, 7.6.0, 7.2.6, 7.2.5, 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x	サーバー 7.6.4, 7.2.7	2025年4月
CVE-2024-56178	昇格ロールを持つユーザーの不正作成 security_admin_localロールを持つユーザが、「admin」ロールを持つグループに新しいユーザを作成し、意図された権限を超えた昇格権限を与える可能性がある。	ミディアム (6.9)	Couchbaseサーバー	サーバー 7.6.3, 7.6.2, 7.6.1, 7.6.0	サーバー 7.6.4	2024年12月
CVE-2024-21094 CVE-2024-21011 CVE-2024-21068 CVE-2024-21012	JDKを17.0.11にアップデートこの脆弱性により、複数のプロトコルを介してネットワークにアクセスできる認証されていない攻撃者が、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性の攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionのアクセス可能なデータの一部に対して、不正な更新、挿入、削除アクセスが行われる可能性があります。	低い (3.7)	Couchbaseサーバー	サーバー 7.6.1, 7.6.0, 7.2.5 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x	サーバー 7.6.2, 7.2.6	2024年8月
CVE-2016-2183 CVE-2016-6329	クラスタ管理ポートにSWEET32脆弱性。 TLS、SSH、IPSec プロトコルやその他のプロトコルや製品で使用されている DES およびトリプル DES 暗号には、約 40 億ブロックのバースデーバウンドがあるため、CBC モードのトリプル DES を使用した HTTPS セッション（別名「Sweet32」攻撃）で実証されているように、リモート攻撃者が長時間の暗号化セッションに対するバースデー攻撃によって平文データを取得することが容易になります。	高い (8.7)	Couchbaseサーバー	サーバー 7.2.5, 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x 4.x 3.x, 2.x	サーバー 7.6.0, 7.2.6	2024年8月
CVE-2024-25673	ヘッダ操作の脆弱性。着信HTTPリクエストのHostヘッダーが、Locationヘッダーに盲目的にコピーされた。	ミディアム (4.2)	Couchbaseサーバー	サーバー 7.6.1, 7.6.0, 7.2.5, 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.6.2, 7.2.6	2024年8月
CVE-2024-37034	リモートリンク暗号化が HALF に設定されている場合、クレデンシャルは SCRAM-SHA を使用して KV とネゴシエートされる。 SDKはデフォルトでSCRAM-SHAとネゴシエートし、MITMがPLAINクレデンシャルをネゴシエートできるようにする。	ミディアム (5.9)	Couchbaseサーバー	サーバー 7.6.0, 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x	サーバー 7.6.1, 7.2.5	2024年7月
CVE-2024-0519	v8を12.1.285.26にアップグレードしてください。 120.0.6099.224より前のGoogle ChromeのV8における境界外メモリアクセスにより、リモートの攻撃者が細工したHTMLページ経由でヒープ破壊を悪用する可能性がありました。	高い (8.8)	Couchbaseサーバー	サーバー 7.2.4, 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.6.2, 7.2.5	2024年7月
CVE-2023-50782	pyca-cryptographyを42.0.5にアップグレード。 python-cryptography パッケージに不具合が見つかりました。この問題により、リモートの攻撃者が RSA 鍵交換を使用する TLS サーバーでキャプチャされたメッセージを解読できる可能性があり、機密データやセンシティブなデータの漏洩につながる可能性があります。	高い (7.5)	Couchbaseサーバー	サーバー 7.6.1, 7.6.0	サーバー 7.6.2, 7.2.5	2024年7月
CVE-2023-49338	Query Service statsエンドポイントが認証なしでアクセス可能でした。 Query statsエンドポイントに正しい認証が実装されていなかったため、統計情報を表示できませんでした。	ミディアム (5.3)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x, 4.x	サーバー 7.2.4	2024年1月
CVE-2023-45873	データリーダロールを持つユーザがデータサービスをOOM killする可能性がある。データリーダー権限を持つユーザーが、大量のドキュメントを要求するGetKeyを送信することで、データサービスを停止させ、OOM（Out-of-Memory）エラーを引き起こす可能性がありました。	ミディアム (6.5)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.6.x, 6.5.x	サーバー 7.2.4	2024年1月
CVE-2023-45874	データ・リーダーはリーダー・スレッドにDOSをかけることができる。データ・リーダーのロールを持つユーザーは、多数のキーを要求することで、データ・サービスのリーダー・スレッドをかなりの時間ロックし、複数の接続で同じコマンドを発行することで、すべてのリーダー・スレッドをロックする可能性がある。	ミディアム (4.3)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.6.x, 6.5.x	サーバー 7.2.4	2024年1月
CVE-2023-43769	認証されていないRMIサービスのポートがアナリティクスサービスに公開された。ネットワークポート9119および9121は、Analyticsサービスによってホストされている認証されていないRMIサービスポートであり、権限昇格の原因となる可能性がありました。	クリティカル (9.1)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x	サーバー 7.2.4	2024年1月
CVE-2023-50437	otpCookieがクラスタマネージャのAPIエンドポイントserverGroupsとengageCluster2でフル管理者ロールを持つユーザに表示されました。クラスタのotpCookieが、APIエンドポイントserverGroupsのFull Adminロールを持つユーザ、およびAPIエンドポイントengageCluster2のCluster AdminとFull Adminの両方を持つユーザに流出していました。これは権限の昇格に使用される可能性があります。	高い (8.6)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.2.4	2024年1月
CVE-2023-49931	SQL++のcURLによる/diag/eval呼び出しが十分に制限されていなかった。クエリーサービスを使用してSQL++（N1QL）を介してcURLをlocalhostの/diag/evalエンドポイントに呼び出すことは完全に防止されていませんでした。	高い (8.6)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x	サーバー 7.2.4	2024年1月
CVE-2023-49932	SQL++ N1QL cURLホスト制限実装の問題。クエリーサービスのSQL++(N1QL)のcURL allowlist保護は、制限されたホストへのアクセスを防ぐのに十分ではありませんでした。	ミディアム (5.3)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x	サーバー 7.2.4	2024年1月
CVE-2023-49930	SQL++のcURL呼び出しによるdiag evalのイベント発生が十分に制限されていなかった。 Eventing Serviceを経由してSQL++（N1QL）を介してcURLをローカルホストのdiag evalエンドポイントに呼び出すことは完全に防止されていませんでした。	高い (8.6)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.5.x	サーバー 7.2.4	2024年1月
CVE-2023-50436	クラスタ管理用の内部 Full Admin ユーザの認証情報がログファイルに漏れた。ロギングイベントにより、@ns_serverの内部管理者認証情報がエンコードされた形でdiag.logに流出しました。	低い (2.1)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.6, 7.1.5	サーバー 7.2.4	2024年1月
CVE-2024-23302	TLS 秘密鍵が XDCR ログファイルから漏れた。クロスデータセンターレプリケーション（XDCR）で使用されている秘密鍵がgoxdcr.logから流出した。	低い (2.1)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x, 4.5.x	サーバー 7.2.4	2024年1月
CVE-2023-38545	cURLを8.4.0にアップグレード。 curlの欠陥は、SOCKS5プロキシハンドシェイクのヒープベースのバッファをオーバーフローさせる。	クリティカル (9.8)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.6.x, 6.5.x	サーバー 7.2.4	2024年1月
CVE-2023-5678	OpenSSL 3.1.4にアップグレードしてください。関数DH_generate_key()を使用してX9.42 DH鍵を生成するアプリケーション、および関数DH_check_pub_key()、DH_check_pub_key_ex()、またはEVP_PKEY_public_check()を使用してX9.42 DH鍵またはX9.42 DHパラメータをチェックするアプリケーションでは、長い遅延が発生する可能性がある。チェック対象の鍵やパラメータが信頼できないソースから取得されたものである場合、サービス拒否につながる可能性がある。	ミディアム (5.3)	Couchbaseサーバー	サーバー 7.2.3, 7.2.2, 7.2.1, 7.2.0, 7.1.x, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.2.4	2024年1月
CVE-2023-44487	gRPCをv1.58.3にアップグレード。 HTTP/2プロトコルは、リクエストのキャンセルが多くのストリームを素早くリセットできるため、サービス拒否を可能にする。	高い (7.5)	Couchbaseサーバー	サーバー 7.2.2, 7.2.1, 7.2.0, 7.1.5, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.x, 5.x, 4.x	サーバー 7.2.3, 7.1.6	2023年11月
CVE-2023-44487	Golangを1.20.10にアップグレード。 HTTP/2プロトコルは、リクエストのキャンセルが多くのストリームを素早くリセットできるため、サービス拒否を可能にする。	高い (7.5)	Couchbaseサーバー	サーバー 7.2.2, 7.2.1, 7.2.0, 7.1.5, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.x, 5.x, 4.x	サーバー 7.2.3, 7.1.6	2023年11月
CVE-2023-0464	OpenSSL 1.1.1uにアップグレードしてください。 OpenSSL には、ポリシー制約を含む X.509 証明書チェーンの検証に関する脆弱性が存在します。この脆弱性を悪用すると、攻撃者は計算リソースを指数関数的に使用する悪意のある証明書チェーンを作成し、影響を受けるシステムへのサービス運用妨害 (DoS) 攻撃を引き起こす可能性があります。	高い (7.5)	Couchbaseサーバー	サーバー 7.2.0, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.2.1, 7.1.5	2023年11月
CVE-2022-41723	GoLangを1.19.9に更新。悪意を持って細工された HTTP/2 ストリームは、HPACK デコーダーに過剰な CPU 消費を引き起こし、少数の小さなリクエストからサービス拒否を引き起こすのに十分な可能性があります。	高い (7.5)	Couchbaseサーバー	サーバー 7.2.0, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.x, 5.x, 4.x	サーバー 7.2.1, 7.1.5	2023年11月
CVE-2023-3079 CVE-2023-2033	V8を11.4.185.1にアップデート。 114.0.5735.110より前のGoogle ChromeのV8における型の混乱により、リモートの攻撃者が細工したHTMLページを介してヒープ破壊を悪用する可能性がありました。	高い (8.0)	Couchbaseサーバー	サーバー 7.2.0, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.2.1, 7.1.5	2023年11月
CVE-2023-21930 CVE-2023-21954 CVE-2023-21967 CVE-2023-21939 CVE-2023-21938 CVE-2023-21937 CVE-2023-21968	OpenJDKを11.0.19にアップデート。多数の CVE を解決するため、OpenJDK をバージョン 11.0.19 に更新。	高い (7.4)	Couchbaseサーバー	サーバー 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.6.x	サーバー 7.1.5	2023年11月
CVE-2023-36667	Windows トラバーサルセキュリティの問題。 Couchbase ServerのWindows UIは、攻撃者がファイルシステムをトラバースし、Couchbaseがアクセスできるファイルを表示することができます。この脆弱性は、認証を必要としません。Couchbase Serverの管理UIのURLにフォルダ/ファイルを追加するだけで悪用可能です。	高い (7.5)	Couchbaseサーバー	サーバー 7.2.0, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.2.1, 7.1.5	2023年11月
CVE-2023-43768	認証されていないユーザがmemcachedのメモリ不足を引き起こす可能性がある。悪意のあるユーザーは、サーバーに接続し、大きなコマンドを送り始めることで、memcachedサーバーを簡単にクラッシュさせることができる。	高い (7.5)	Couchbaseサーバー	サーバー 7.2.0, 7.1.4, 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.6.x	サーバー 7.2.1, 7.1.5	2023年11月
CVE-2023-45875	7.2 クラスタに 7.0 より前のノードを追加すると、debug.log に秘密鍵が漏れる。 7.0以前のノードを7.2クラスタに追加すると、秘密鍵がdebug.logにリークされます。	ミディアム (4.4)	Couchbaseサーバー	サーバー 7.2.0	サーバー 7.2.1	2023年11月
CVE-2022-41881 CVE-2022-41915	Nettyを4.1.86.Final以上にアップデートする。 4.1.86.Finalより前のバージョンでは、不正な細工が施されたメッセージの解析時に、無限再帰によりStackOverflowErrorが発生することがありました。	低い (2.2)	Couchbaseサーバー	サーバー 6.6.6, 7.0.5, 7.1.3	サーバー 7.2.0, 7.1.4	2023年5月
CVE-2023-28470	全文検索（FTS） nsstatsエンドポイントは認証なしでアクセス可能。 api / nsstatsでのFTS statsエンドポイントは、正しい認証を実装していないため、認証なしでCouchbase Serverのバケット名、FTSインデックス名、およびFTSインデックスの設定を表示することが可能です。バケットとインデックスの内容は公開されていません。	ミディアム (5.3)	Couchbaseサーバー	サーバー 7.1.3, 7.1.2, 7.1.1, 7.1.0, 7.0.x, 6.6.x	サーバー 7.1.4	2023年3月
CVE-2023-25016	ノード参加中にクラッシュが発生すると、認証情報がログに漏れる可能性がある。ノードの結合が失敗すると、REST リクエストを行ったユーザーの修正されていない認証情報がログファイルに漏れる可能性があります。	ミディアム (6.3)	Couchbaseサーバー	サーバー 7.1.1, 7.1.0, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.1.2, 7.0.5, 6.6.6	2023年1月
CVE-2022-42951	Couchbase Cluster Managerは、クラスタノードの再起動時のアクセス制御を欠いています。 couchbaseサーバノードの起動時に、セキュリティクッキーが "nocookie "に設定される短い期間があります。この期間に攻撃者がこのプロトコルに接続すると、接続が切断されるまでの間、どのクラスタノードでも任意のコードをリモートで実行することができます。実行されたコードは、Couchbase Serverと同じ権限で実行されます。	クリティカル (9.8)	Couchbaseサーバー	サーバー 7.1.1, 7.1.0, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x	サーバー 7.1.2, 7.0.5, 6.6.6	2023年1月
CVE-2022-42004 CVE-2022-42003	アナリティクス・サービスで使用されているJackson Databindを2.13.4.2+に更新し、脆弱性を解消。深くネストされた配列の使用を防止するチェックがないため、Couchbase Analyticsサービスのリソース枯渇が発生する可能性があります。	高い (7.5)	Couchbaseサーバー	サーバー 7.1.2, 7.1.1, 7.1.0, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1 6.6.0 6.5.x, 6.0.x, 5.x, 4.x	サーバー 7.1.3, 7.0.5, 6.6.6	2023年1月
CVE-2022-42950	REST API への HTTP リクエストに細工を施すと、バックアップサービスの OOM が発生する可能性があります。 HTTPリクエスト・ボディが極端に大きい（またはバインドされていない）場合、バックアップ・サービスはOOM（メモリ不足）エラーを引き起こす可能性があります。	ミディアム (4.9)	Couchbaseサーバー	サーバー 7.1.1, 7.1.0, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0	サーバー 7.1.2, 7.0.5	2023年1月
CVE-2022-1096	V8 Javascript Engineを10.7.xにアップデート。 Couchbase Server Eventing Service、View Engine、XDCR、およびN1QL UDFで使用されるv8 Javascriptエンジンは、99.0.4844.84より前のバージョンに型の混乱があり、リモートの攻撃者が細工したリクエストを経由してヒープ破壊を悪用する可能性があるため、更新されました。	高い (8.8)	Couchbaseサーバー	サーバー 7.1.1, 7.1.0, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.1.2, 7.0.5	2023年1月
CVE-2021-41561	Apache Parquetを1.12.3に更新。攻撃者は、Couchbase Analytics Serviceでオプションとして使用されるParquetファイルを使用して、悪意のあるファイルがファイルページヘッダーに不適切な値（例えば、正の値が期待されるところ負の値）を含む場合、サービス拒否（DoS）を引き起こす可能性があります。これは、Apache Parquetライブラリを新しいバージョンに更新することで解決します。	高い (7.5)	Couchbaseサーバー	サーバー 7.1.1, 7.1.0	サーバー 7.1.2	2022年11月
CVE-2022-37026	Erlangをバージョン24.3.4.4にアップグレードしました。 couchbase サーバの tls/ssl 機能を使用すると、特定の状況下でクライアント認証をバイパスすることが可能です。具体的には、ssl/tls/dtls サーバーとクライアント認証オプション "{verify, verify_peer}" を使用しているアプリケーションは、この脆弱性の影響を受けます。erlang/OTPランタイムのパッチ23.3.4.15、24.3.4.2、25.0.2により、サポートされているトラックで修正がリリースされています。影響を受けるのは、証明書ベースの認証を使用しているクラスタのみです。	クリティカル (9.8)	Couchbaseサーバー	サーバー 7.1.1, 7.1.0	サーバー 7.1.2	2022年11月
CVE-2022-32556	秘密鍵は特定のクラッシュでログファイルに漏れる。稀に発生するクラッシュにより、生成された証明書の秘密鍵がログファイルに漏れることがある。	ミディアム (6.3)	Couchbaseサーバー	サーバー 7.1.0, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x, 4.x, 3.x	サーバー 7.1.1, 7.0.4, 6.6.6	2022年7月
CVE-2022-24675 CVE-2022-23772 CVE-2022-24921	GoLangを最低1.17.9または1.18.1に更新。複数のCouchbase Serverサービスで使用されているGoプログラミング言語と関連ライブラリをバージョン1.17.9+または1.18.1+に更新し、多数のCVEを解決しました。	高い (7.5)	Couchbaseサーバー	サーバー 7.1.0, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5x, 6.0.x, 5.x, 4.x	サーバー 7.1.1, 7.0.5, 6.6.6	2022年7月
CVE-2020-36518	jackson-databind ライブラリをバージョン 2.13.2.2 に更新。 2.13.0以前のjackson-databindは、ネストされたオブジェクトの大きな深さを介してJava StackOverflow例外およびサービス拒否を可能にします。このライブラリは、Couchbase Server Analytics Serviceで使用されています。	ミディアム (6.5)	Couchbaseサーバー	サーバー 7.1.0, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x	サーバー 7.1.1, 7.0.4, 6.6.6	2022年7月
CVE-2022-1292	opensslを1.1.1oに更新。 openssl を更新し、openssl のコンポーネント c_rehash の欠陥を修正しました。このスクリプトはディレクトリをスキャンし、ディレクトリ内の各 .pem ファイルと .crt ファイルのハッシュ値を取得します。そして、ハッシュ値で指定された各ファイルのシンボリックリンクを作成します。このスクリプトには、コマンド・インジェクションを許す欠陥がある。	クリティカル (9.8)	Couchbaseサーバー	サーバー 7.1.0, 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x	サーバー 7.1.1, 7.0.4, 6.6.6	2022年7月
CVE-2022-34826	暗号化された秘密鍵のパスフレーズがログに漏れる可能性がある。 Couchbase Server 7.1.0以降では、暗号化されたTLS秘密鍵を解除するためにCouchbase Serverにパスフレーズを提供することが可能です。このパスフレーズは、データサービス以外のCouchbaseサービスのいずれかが起動しているときに、Base64エンコードされた文字列としてログファイルに流出していることが判明しました。これは、オプションの暗号化TLSキー機能が使用されている場合、Index Service、Query Service、Analytics Service、Backup Service、およびEventing Serviceに影響します。攻撃者が中間者攻撃やネットワーク通信の解読などの攻撃を行うには、ログや秘密鍵にアクセスできる必要があることに注意してください。これらのファイルへのアクセスを制限するためにオペレーティング・システムの保護を使用することは、効果的な緩和策となり得る。	ミディアム (4.4)	Couchbaseサーバー	サーバー 7.1.0	サーバー 7.1.1	2022年7月
CVE-2021-42581	Couchbase ServerのUIで使用されているクライアント側のJavaScriptライブラリであるramdaをバージョン0.28に更新しました。 Ramda 0.27.0 およびそれ以前のバージョンでは、プロトタイプ汚染として知られる、細工されたオブジェクト (独自のプロパティ "{}proto{}" を含む) を関数の引数として供給することで、攻撃者がアプリケーションの完全性や可用性を侵害する可能性があります。プロトタイプ汚染タイプの攻撃は、入力検証を迂回し、予期しないjavascriptの実行を誘発します。	クリティカル (9.1)	Couchbaseサーバー	サーバー 7.1.0, 7.0.x	サーバー 7.1.1	2022年7月
CVE-2021-44906	Couchbase ServerのUIで使用されるクライアント側のJavaScriptライブラリ、js-beautifyを1.14.3に更新しました。 js-beautifyには、既知の脆弱性を持つ依存関係、Minimistがあります。Minimist <=1.2.5 には、ファイル index.js の関数 setKey() (69-95行目) を介したプロトタイプ汚染 (Prototype Pollution) の脆弱性があります。プロトタイプ汚染攻撃は、入力検証をバイパスし、予期しないjavascriptの実行を誘発します。	クリティカル (9.8)	Couchbaseサーバー	サーバー 7.1.0, 7.0.x	サーバー 7.1.1	2022年7月
CVE-2022-33911	アナリティクスサービスのログ検証メッセージでは、フィールド名は編集されません。 Couchbase Server Analyticsサービスでセカンダリインデックスを作成するとき、ユーザーに報告され、ログに記録されるインデックスされたフィールド上のいくつかの検証があります。コードASX0013のエラーメッセージは、フィールド名が重複していることを報告し、ログに記録するために複数のパスで使用されます。これらのログに記録された検証メッセージのフィールド名は編集されません。また、コード ASX1079 のエラーは、フィールド名が編集されません。	低い (1.8)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x	サーバー 7.0.4, 6.6.6	2022年6月
CVE-2022-33173	アナリティクス・リモートリンクは、TLSポートを決定するために一時的に非TLS接続にダウングレードすることがあります。 encryption=fullで設定されたAnalyticsリモートリンクのTLS接続の確立に失敗した場合、ランタイムは認証にSCRAM-SHAを使用してリモートクラスタへの非TLS接続を試みることで、(デフォルト以外の)TLSポートの検出を試みます。SCRAM-SHAでは認証情報は共有されませんが、システムがTLS接続を指定する所定の暗号化レベルをダウングレードするとは考えられません。このフォールバックメカニズムは削除され、最初にTLS接続を確立できなかった場合、リンク設定の一部として正しいTLSポートが提供されるまで、CONNECT LINKは単に失敗します。	低い (2.0)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0	サーバー 7.0.4, 6.6.6	2022年6月
CVE-2022-32565	バックアップサービスのログから、編集されていないユーザー名とドキュメントIDが漏れる。バックアップサービスが監査メッセージのログに失敗すると、監査ログデータがbackup_service.logに漏れます。	低い (1.8)	Couchbaseサーバー	サーバー 7.0.x	サーバー 7.1.0	2022年6月
CVE-2020-14040	golang.org/x/text パッケージを 0.3.4 以降に更新してください。 golang.org/x/text/encoding/unicode パッケージで、UTF-16 デコーダが無限ループに入り、プログラムがクラッシュしたりメモリ不足になったりする可能性がありました。	高い (7.5)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x	サーバー 7.0.4, 6.6.6	2022年6月
CVE-2022-32192	couchbase-cliはコマンドライン引数として秘密管理マスターパスワードを漏らす。 couchbase-cliは、プロセス引数としてマスターパスワードを持つ非常に短命のerlangプロセスをスポーンし、これは、誰かがその時点でプロセスリストを取得した場合、彼らはマスターパスワードを持っていることを意味します。これは、シークレット管理機能を利用するCouchbase Serverクラスタにのみ影響します。	ミディアム (5.5)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x	サーバー 7.0.4, 6.6.6	2022年6月
CVE-2022-32562	操作は、古いRBACパーミッションを使用しているコレクションで成功する可能性があります。 RBACロールにコレクションレベルのパーミッション（例えば、query_select[src:_default:Collection1]）が含まれている場合、コレクション名が削除され、バケットに再作成されても、コレクションレベルのパーミッションは有効です。これにより、コレクションが削除されたときにパーミッションが削除されたはずなのに、そのロールを持つユーザがコレクションにアクセスできるようになります。	高い (8.8)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0	サーバー 7.0.4	2022年6月
CVE-2022-32560	XDCR - 内部設定を変更する際の役割チェックが欠けている。 Couchbase Serverの影響を受けるバージョンでは、XDCRの内部設定は、認証なしで変更することができます。	ミディアム (4.0)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.x, 5.x, 4.x	サーバー 7.0.4	2022年6月
CVE-2022-32564	couchbase-cli: server-eshell がクラスタマネージャクッキーをリークする。影響を受けるバージョンのCouchbase Serverでは、'server-eshell'コマンドを使用する際、Erlangの "cookie "が'erl'へのコマンドライン引数経由で渡されます。これにより、'couchbase-cli'プロセスの引数を読むことができるすべての人に "cookie "が漏れます。このクッキーはクラスタの管理タスクを実行するために使用される可能性があるため、秘密にしておく必要があります。	高い (7.8)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.1.0, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x, 4.x, 3.x, 2.x, 1.x	サーバー 7.0.4, 6.6.6	2022年6月
CVE-2021-3737	サービス拒否の問題に対処するため、Python が 3.9.12 に更新されました。 Python に不具合が発見されました。PythonのHTTPクライアントコードでHTTPレスポンスが不適切に処理されると、HTTPサーバーを制御するリモートの攻撃者がクライアントスクリプトを無限ループに入らせ、CPU時間を消費させる可能性があります。この問題は、開発者プレビュー機能の Analytics UDF を使用しているクラスタにのみ影響します。	高い (7.5)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0	サーバー 7.0.4	2022年6月
CVE-2022-32558	サンプルバケツのロードは、障害時に内部ユーザーパスワードを漏らす可能性がある。サンプルバケット(beer-sample, gamesim-sample, travel-sample)の読み込みに失敗すると、@ns_server の内部管理ユーザのパスワードがログ(debug.log, error.log, info.log, reports.log)に漏れることがあります。ns_serverアカウントを使用して管理操作を行うことができます。	ミディアム (6.4)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0	サーバー 7.0.4, 6.6.6	2022年6月
CVE-2022-32193	秘密鍵は、Couchbase ServerのCluster Managerコンポーネントのクラッシュ時にログに記録される可能性があります。クラスタノードの追加を実行中にクラスタマネージャ(ns_server)がクラッシュすると、秘密鍵がログファイルに流出する可能性があります。ログファイルにアクセスできる誰かが、クラスタへのセキュアなネットワーク接続を解読できる可能性があります。TLSが使用されている場合、クラスタにログインするユーザやアプリケーションの認証情報が取得される可能性があります。	ミディアム (6.3)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.5, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0	サーバー 7.0.4, 6.6.6	2022年6月
CVE-2022-32561	CVE-2018-15728に対するこれまでの緩和策は、診断用エンドポイントが依然としてネットワークからアクセス可能であることが判明したため、不十分であることが判明した。 diag/evalなどの診断エンドポイントは制限されており、ループバックネットワークからのみ実行できる。しかし、CVE-2018-15728に対処するために導入されたチェックは、"X-Forwarded-For "ヘッダーにループバックアドレスが含まれているかどうかを正しくチェックしていません。このヘッダーはループバックの制限を回避するために操作することができる。この脆弱性は、RFC6890に従って、プライベートネットワークと共有アドレス空間から発信されるリクエストに限定される。これらのエンドポイントへのリクエストを成功裏に発行できるようにするには、「X-Forwarded-For」ヘッダーの使用に関係なく、ユーザーは完全な管理者権限を必要とする。この問題の回避策は、"X-Forwarded-For "ヘッダが不要な環境では、"X-Forwarded-For "ヘッダを含むCouchbase Serverノードへのリクエストをファイアウォールすることです。表彰される：ムカヒト・カラダグ / PRODAFT	高い (8.8)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.6.4, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x	サーバー 6.6.5, 7.0.4	2022年6月
CVE-2022-32557	Index Service は、TCP/TLS サーバーに対して認証を強制しない。 Index Serviceは、いくつかのネットワークプロセス、Queryport、Dataport、Adminportを実行します。これらは、他のCouchbaseサービスと通信するために使用されます。これらのプロセスは、ノード間の通信に参加しますが、SDKアプリケーションと直接通信しません。影響を受けるバージョンのCouchbase Serverでは、これらのネットワークプロセスは認証を強制しないため、認証されていないユーザーから送信されたリクエストを処理します。 Queryportサーバは認証されていないユーザに対してインデックススキャン結果を応答することができます。 Dataportサーバーは、認証されていないユーザーがインデックスされたデータを変更することを許可することができます。 Adminport サーバは、認証されていないユーザが DDL 操作（インデックスの作成や削除など）を実行できるようにすることができます。可能な回避策これらのポートは、Couchbase Serverの内部通信にのみ使用されるため、Couchbase Server以外のノードやプロセスとの接続/通信は、ネットワーク層で無効にすることができます。	高い (8.2)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.x, 5.x, 4.x	サーバー 7.0.4	2022年6月
CVE-2022-32559	ランダムなhttpリクエストは、漏れたメトリクスにつながる。認証されていないユーザはクラスタマネージャにREST APIコールを行うことができます。クラスタマネージャが以前に見たことのない各httpリクエストは、新しいメトリックの作成につながります。新しいメトリックはそれぞれメモリとディスクスペースを消費するため、メモリリークとディスクスペースリークが発生する可能性があります。十分なリソースが使用されると、Couchbase Serverノードが故障する可能性があります。	高い (7.5)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0	サーバー 7.0.4	2022年6月
CVE-2022-32563	Sync GatewayからCouchbase ServerにX.509クライアント証明書認証を使用する場合、管理者認証情報が検証されません。 Sync GatewayがX.509クライアント証明書を使用してCouchbase Serverと認証するように構成されている場合、Admin REST APIに提供された管理者資格情報が無視され、認証されていないユーザーの権限昇格が発生します。パブリックREST APIは、この問題の影響を受けません。回避策ブートストラップ構成内で、X.509証明書ベースの認証をユーザー名とパスワードによる認証に置き換える。	クリティカル (9.8)	Couchbase Sync Gateway	Couchbase Sync Gateway： 3.0.0, 3.0.1	3.0.2	2022年6月
CVE-2021-33504	信頼されていないノードの追加は、クラスタの秘密を収穫するために操作することができる。信頼されていないノードをクラスタに追加する管理者は、秘密のままであるべきクラスタクッキーを不注意で送信する危険性があります。これは、認証局が署名した証明書を使用してTLS暗号化を展開することによって対処することができます。TLSを使用する場合、信頼できる証明書は、Couchbase Serverのバージョン7.1.0から着信ノード上に存在する必要があります。表彰される： EYイスラエル・アドバンスド・セキュリティ・センターのセキュリティ研究者、オフィール・ハマム氏	高い (7.6)	Couchbaseサーバー	サーバー 7.0.3, 7.0.2, 7.0.1, 7.0.0, 6.x, 5.x, 4.x, 3.x, 2.x	サーバー 7.1.0	2022年5月
CVE-2022-26311	Kubernetes環境から収集されたログで、冗長化されない秘密。 Couchbase Operator 2.2.0では、ログ収集を簡素化する最適化が導入されました。ログが収集されるとき、サポートツール - "cbopinfo" - は、意図されたリソースの状態、および現在のリソースの状態を把握するために必要なKubernetesリソースを収集するために使用されます。影響を受けるバージョン以前では、秘密データは再編集されていましたが、この機能は新しい収集方法では保持されていませんでした。その結果、ログには、ログ収集の範囲内にあるパスワード、トークン、秘密鍵が誤って含まれていました。デフォルトでは、このスコープは、検査対象のCouchbase Serverクラスタが存在するKubernetes名前空間に限定されます。これに対する例外は、-systemフラグが指定された場合で、この場合、プラットフォーム上のすべての秘密が公開されます。ログは顧客の問題を特定し、修復するために使用されるため、指定されたツールバージョンでログを提供した顧客のみが影響を受けます。Couchbaseは、提供されたすべての影響を受けるログが冗長化されることを保証します。	高い (7.2)	Couchbaseクラウドネイティブオペレーター	2.2.0, 2.2.1, 2.2.2	2.2.3	2022年3月
CVE-2021-44228	Apache Log4Jの2.15.0へのアップデート Couchbase Analytics Serviceで使用されるApache Log4Jユーティリティの重大な問題は、潜在的なリモートコード実行（RCE）と機密データの抽出を防ぐために更新が必要です。	クリティカル (10)	Couchbaseサーバー	サーバー 7.0.2, 7.0.1, 7.0.0, 6.6.3, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x	サーバー 7.0.3, 6.6.4	2021年12月
CVE-2021-43963	Sync GatewayがCouchbase Serverのバケット認証情報を安全に保存しない Sync GatewayがCouchbase Serverのデータを読み書きするために使用するバケット認証情報は、バケットに書き込まれた同期ドキュメント内のメタデータに安全に保存されていませんでした。読み取りアクセス権を持つユーザーは、書き込みアクセス権を取得するためにこれらの資格情報を使用することができました。この問題は、Sync Gatewayがx.509クライアント証明書で認証されているクラスタには影響しません。また、この問題は Sync Gateway で共有バケットアクセスが有効になっていないクラスタには影響しません。	ミディアム (6.5)	Couchbase Sync Gateway	同期ゲートウェイ 2.8.2, 2.8.1, 2.8.0, 2.7.x	シンクゲートウェイ 2.8.3	2021年10月
CVE-2021-37842	XDCRのremoteCluster認証情報をredactしないログリモートクラスタのXDCR資格情報は、デバッグログに漏れる可能性があります。設定キーの墓石パージは、Couchbase Server 7.0.0で追加されました。この問題は、ログに記録されている設定キーに墓石パージャータイムスタンプが接続されている場合に発生します。	高い (7.6)	Couchbaseサーバー	サーバー 7.0.1, 7.0.0	サーバー 7.0.2	2021年10月
CVE-2021-42763	バックトレースからクラッシュエラーログに暴露された認証情報 cbcollect_infoログ収集の一部として、Couchbase ServerはErlang VMで実行されているすべてのプロセスのプロセス情報を収集します。問題は、クラスタマネージャがプラグイン可能なUI（クエリワークベンチなど）から特定のサービスにHTTPリクエストを転送するときに発生します。バックトレースでは、HTTPリクエストに含まれるBasic Authヘッダーに、UIリクエストを処理するノードの"@"ユーザー認証情報があります。この問題が発生するためには、クラスタ・マネージャによってプラグイン可能なUIリクエストが処理される正確な瞬間にプロセス情報がトリガされる必要があります。	高い (8.8)	Couchbaseサーバー	セヴァン 7.0.1, 7.0.0, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x, 4.5.x	サーバー 6.6.3, 7.0.2	2021年10月
CVE-2021-33503	Pythonのurllib3を1.26.5以上にアップデートする。 Couchbase Serverのコマンドラインツールで使用される1.26.5以前のurllib3に問題が発見されました。これらのツールに、authorityコンポーネントに多くの@文字を含むURLが提供されると、authority正規表現が壊滅的なバックトラックを示し、URLがパラメータとして渡されるか、HTTPリダイレクトを介してリダイレクトされた場合、コマンドラインツールのサービス拒否を引き起こします。	高い (7.5)	Couchbaseサーバー	サーバー 7.0.1, 7.0.0, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x	サーバー 6.6.3, 7.0.2	2021年10月
CVE-2020-36242	Python暗号パッケージの3.3.2への更新 Couchbase Serverコマンドラインツールで使用されるPython用3.3.2以前の暗号化パッケージでは、複数GBの値を対称的に暗号化するための更新呼び出しの特定のシーケンスにより、そのツールで整数オーバーフローとバッファオーバーフローが発生する可能性があります。	クリティカル (9.1)	Couchbaseサーバー	セヴァン 7.0.1, 7.0.0, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x, 4.5.x	サーバー 6.6.3, 7.0.2	2021年10月
CVE-2021-35944	攻撃者から送信された特別に細工されたネットワーク・パケットは、memcached をクラッシュさせる可能性がある。これは、データサービスが利用できなくなる可能性があります。ファイアウォールを使用して、アプリケーションからのネットワークトラフィックのみがCouchbase Serverクラスタと通信できるようにすることをお勧めします。	高い (8.2)	Couchbaseサーバー	サーバー 7.0.0, 6.6.2, 6.6.1, 6.6.0, 6.5.x	サーバー 6.6.3, 7.0.1	2021年9月
CVE-2021-35945	攻撃者から送信された特別に細工されたネットワーク・パケットは、memcached をクラッシュさせる可能性がある。これは、データサービスが利用できなくなる可能性があります。ファイアウォールを使用して、アプリケーションからのネットワークトラフィックのみがCouchbase Serverクラスタと通信できるようにすることをお勧めします。	高い (8.2)	Couchbaseサーバー	サーバー 7.0.0, 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x, 4.6.x, 4.5.x	サーバー 6.6.3, 7.0.1	2021年9月
CVE-2021-35943	外部で管理されているユーザーは、RFC4513に従って、空のパスワードを使用することはできません。外部認証に使用されるLDAPまたはActive Directoryサーバーが安全でない未認証バインドを許可するように設定されている場合、Couchbase Server Cluster Managerは空のパスワードで外部ユーザーを認証することを許可します。 LDAPサーバーは、resultCodeが "unwillingToPerform "の認証なしバインド(Unauthenticated Bind)リクエストに失敗するように設定することで、この発生を防ぐことができる。	クリティカル (9.8)	Couchbaseサーバー	サーバー 6.6.2, 6.6.1, 6.6.0, 6.5.x	サーバー 6.6.3	2021年8月
CVE-2021-23840 CVE-2021-3450 CVE-2021-3449	OpenSSLをバージョン1.1.1kにアップデートする。そのうちのひとつは、クライアントから悪意を持って細工された再ネゴシエーションの ClientHello メッセージが送信された場合、TLS サーバーがクラッシュする可能性がある。	中／高 (5.9, 7.4, 7.5)	Couchbaseサーバー	サーバー 6.6.2, 6.6.1, 6.6.0, 6.5.x	サーバー 6.6.3	2021年8月
CVE-2019-10768	AngularJSを1.8.0にアップデートする Couchbase UIで使用されているAngularで、merge()関数を変更することでサービス拒否を引き起こす可能性がある問題。	高い (7.5)	Couchbaseサーバー	サーバー 6.6.2, 6.6.1, 6.6.0, 6.5.x, 6.0.x, 5.x, 4.6.x, 4.5.x	サーバー 6.6.3	2021年8月
CVE-2021-31158	N1QL 共通テーブル式（CTE）のアクセス制御の処理に誤りがありました。 Common Table Expression N1QLクエリがRBACセキュリティ制御に正しく対応しておらず、必要な権限を持たないユーザーに読み取りアクセス権を与えていました。	ミディアム (6.5)	Couchbaseサーバー	サーバー 6.6.1, 6.6.0, 6.5.2, 6.5.1, 6.5.0	サーバー 6.6.2	2020年2月
CVE-2019-14863	FTS UIをangular 1.6.9にアップグレードする Full Text Seachのユーザーインターフェースには、いくつかの既知の深刻度の高いセキュリティ脆弱性が存在するAngularJS 1.4.7が使用されています。これらのAngularJSライブラリは、これらの脆弱性に対処したより新しいバージョンのAngularに更新されています。	高い (7.4)	Couchbaseサーバー	6.0.2, 5.5.5	6.5.0	2020年1月
CVE-2020-9040	core-io 1.7.11（および結果としてJava SDK 2.7.11）までは、TLS/SSL接続時のホスト名検証は有効になっておらず、特定の環境ではセキュリティリスクとなる可能性があります。 Java 6（JDK 1.6、旧SDKベースラインバージョン）では、ホスト名検証をそのままではサポートしていなかった。SDKがベースラインとしてJava 7（Java 1.7）に移行すると、サポートを追加することが可能になった。これは、jvm-core 1.7.11（これはjava-client 2.7.11に翻訳される）で起こりました。それ以前のバージョンでは、それに応じてカスタマイズする機能が公開されていないため、回避策として手動で追加することはできません。古い動作に依存するアプリケーションを破壊しないために、ホスト名検証はデフォルトではまだ無効ですが、SDKの設定（CouchbaseEnvironmentクラス）で有効にすることができることに注意してください。	高い (7.5)	Couchbase Java SDK Couchbase Sparkコネクタ Couchbase Kafkaコネクタ (コネクタはJava SDKまたはCore-IOに依存します。）	1.7.10, 1.6.0, 1.5.0, 1.4.0, 1.3.0, 1.2.0, 1.1.0, 1.0.0	2.7.11	2019年4月
CVE-2020-9039	プロジェクターとインデクサーのRESTエンドポイントでは、認証が必要ありませんでした。プロジェクタープロセスで公開される /settings REST エンドポイントは、管理者が設定の更新やパフォーマンスプロファイルの収集など、さまざまなタスクに使用できるエンドポイントです。このエンドポイントは認証されていませんでしたが、認証されたユーザーのみがこれらの管理APIにアクセスできるように更新されました。表彰される：アップル・セキュリティ・チーム	高い (7.6)	Couchbaseサーバー	5.5.1, 5.5.0, 5.0.1, 5.0.0, 4.6.x, 4.5.x, 4.1.x, 4.0.x	6.5.0 6.0.0 5.5.2 5.1.2	2018年9月
CVE-2020-9042	Couchbase Serverは、認証されていないリクエストに対してWWW-Authenticateレスポンスを返します。 Server REST API は認証されていないリクエストに対して {{WWW-Authenticate}} ヘッダで応答する。問題は、これらの認証情報がブラウザによってキャッシュされることで、管理者がブラウザを使って REST API リクエストの結果をチェックした場合に、ハッカーが CSRF を使ってクラスタを攻撃できるようになることです。この動作は couchbase-cli (couchbase-cli setting-security --set --disable-www-authenticate 1 -c localhost:8091 -u -p ) を使って無効にすることができます。既存のツールやスクリプトを壊す可能性があるため、デフォルトでは無効になっていません。表彰される：アップル・セキュリティ・チーム	ミディアム (6.3)	Couchbaseサーバー	6.0.0	6.5.1	2020年4月
CVE-2019-11464	ポート8092にX-XSS保護ヘッダがない企業によっては、REST API のエンドポイントが REST レスポンスにセキュリティ関連のヘッダを含めることを要求している。X-Frame-OptionsやX-Content-Type-Optionsのようなヘッダは一般的に推奨されますが、情報セキュリティの専門家の中には、HTMLエンドポイントにより一般的に適用されるX-Permitted-Cross-Domain-PoliciesやX-XSS-Protectionも含めることを求める人もいます。これらのヘッダは現在、Couchbase Server Views REST API（ポート8092）からの応答に含まれています。	ミディアム (5.4)	Couchbaseサーバー	5.5.0 5.1.2	6.0.2	2019年3月
CVE-2019-9039	Syncゲートウェイで_all_docs startkey、endkey経由のN1QLインジェクションを防ぐ Sync Gateway のパブリック REST API にアクセスできる攻撃者は、"_all_docs" エンドポイント上のパラメータ "startkey" および "endkey" を通じて、追加の N1QL ステートメントを発行して機密データを抽出したり、任意の N1QL 関数を呼び出したりすることが可能でした。CPU に負荷のかかる操作でネストされたクエリーを発行することにより、リソースの使用量の増加やサービス拒否状態を引き起こすことができた可能性があります。all_docsエンドポイントはCouchbase Mobileレプリケーションには必要なく、この問題を軽減するためにこのRESTエンドポイントへの外部アクセスはブロックされています。表彰される：デニス・ヴェルナー/HiSolutions AG	高い (7.6)	Couchbase Sync Gateway	2.1.2	2.5.0 2.1.3	2019年2月
CVE-2019-11466	イベント・デバッグ・エンドポイントは認証を強制しなければならない。イベント発生サービスは、内部トラフィック専用に設定されたポートで、認証情報を必要としないHTTPエンドポイントを介してシステム診断プロファイルを公開します。これは改善され、アクセスするために有効な認証情報が必要になりました。	高い (7.1)	Couchbaseサーバー	6.0.0 5.5.0	6.0.1	2018年12月
CVE-2019-11465	Memcachedの "connections "統計ブロック・コマンドが、リダクトされていないユーザー名を出力する。バグレポートの一部としてCouchbaseに提出されたシステム情報には、プライバシーのためにログが編集されていたとしても、現在システムにログインしているすべてのユーザーのユーザー名が含まれていた。これは、ログにユーザー名が適切にタグ付けされ、ログが再編集される際にハッシュアウトされるように修正された。	ミディアム (6.5)	Couchbaseサーバー	6.0.0, 5.5.3, 5.5.2, 5.5.1, 5.5.0	6.0.1 5.5.4	2019年1月
CVE-2018-15728	diag/evalエンドポイントはlocalhostにロックされていません。 Couchbase Serverは、デフォルトでは、TCP/8091および/またはTCP/18091で利用可能な'/diag/eval'エンドポイントを公開しました。認証済みを持っているユーザーフル管理者割り当てられたロールは、APIの'diag/eval'エンドポイントに任意のErlangコードを送信することができ、そのコードはその後、Couchbaseの起動に使用されたユーザーの権限で、基礎となるオペレーティングシステムで実行される。表彰される：アップル・セキュリティ・チーム	高い (8.8)	Couchbaseサーバー	5.5.1, 5.5.0, 5.1.1, 5.0.1, 5.0.0, 4.6.5, 4.5.1, 4.1.2, 4.0.0	6.0.0 5.5.2	2018年10月
CVE-2019-11495	Erlangクッキーは弱いランダムシードを使います。ノード内通信に使用されるクッキーは安全に生成されませんでした。Couchbase Serverはerlang:now()を使用してPRNGをシードし、その結果、潜在的なランダムなシードのための小さな検索空間が発生します。表彰される：アップル・セキュリティ・チーム	高い (7.9)	Couchbaseサーバー	5.1.1	6.0.0	2018年9月
CVE-2019-11467	3k文字以上の'˶'を含むJSONドキュメントがインデクサをクラッシュさせます。セカンダリインデックスは、collatejsonを使用してインデックスされるエントリをエンコードします。インデックス・エントリーに「♪」「」のような特定の文字が含まれる場合、エンコードされた文字列が説明されているよりもはるかに大きくなるため、バッファ・オーバーランが発生し、インデクサ・サービスがクラッシュして再起動する原因となっていました。これは、バッファがどのような入力に対しても常に必要に応じて大きくなるように改善されました。表彰される： DトラストGmbH	ミディアム (5.8)	Couchbaseサーバー	5.5.0, 4.6.3	5.1.2, 5.5.2	2018年8月
CVE-2019-11497	XDCRはリモートクラスタ証明書を検証しません。無効なリモートクラスタ証明書が参照作成の一部として入力された場合、XDCRは証明書の署名を解析およびチェックしませんでした。そのため、XDCRは無効な証明書を受け入れ、その証明書を使用してリモートクラスタへの今後の接続を確立しようとしました。これは修正されました。XDCRは証明書の有効性を徹底的にチェックするようになり、無効な証明書でリモートクラスタ参照が作成されないようになりました。	高い (7.5)	Couchbaseサーバー	5.0.0	5.5.0	2018年6月
CVE-2019-11496	Couchbase Serverのバケット設定を編集すると、認証情報なしで認証できるようになります。 Couchbase Serverの5.0以前のバージョンでは、「default」という名前のバケットは、認証なしで読み取りと書き込みアクセスを許可する特別なバケットでした。5.0の一部として、"default "を含むすべてのバケットの動作は、十分な権限を持つ認証ユーザーのアクセスを許可するように変更されました。しかし、"default" バケツのプロパティが編集された場合、ユーザは認証されていない不正なアクセスを許可されていました。これは修正されました。	高い (8.7)	Couchbaseサーバー	5.0.0	5.1.0 5.5.0	2017年12月

CVE-2025-52490

Credential Disclosure Vulnerability in Sync Gateway Log Collection Process
A security vulnerability was identified in Sync Gateway that, in certain situations, resulted in the unintentional disclosure of credentials associated with log collection for support. This affected the set of credentials used to initiate the log collection process. We recommend upgrading to Sync Gateway 3.2.6, which addresses this issue, and rotating any credentials that were used to initiate log collection during the affected period.

ミディアム
(6.5)

Couchbase Sync Gateway

3.2.5,
3.2.4,
3.2.3,
3.2.2,
3.2.1,
3.2.0,
3.1.x,
3.0.x

3.2.6

July 2025

CVE-2025-49015

.NET SDK v3.7.1以前では、証明書のホスト名検証がスキップされる可能性があります。
.NET SDK v3.7.1およびそれ以前のバージョンでは、TLS証明書のホスト名検証がすべてのケースで正しく実施されませんでした。

ミディアム
(4.9)

Couchbase .NET SDK

3.7.0,
3.6.x,
3.5.x,
3.4.x,
3.3.x,
3.2.x,
3.1.x,
3.0.x

3.7.1

2025年6月

CVE-2024-30171
CVE-2024-29857
CVE-2024-30172

バウンシー・キャッスルを1.79にアップグレード
1.78 以前の Bouncy Castle Java Cryptography API に問題が発見されました。細工された署名と公開鍵によってEd25519検証コードの無限ループが発生する可能性があります。

ミディアム
(6.9)

Couchbaseサーバー

サーバー
7.6.5,
7.6.4,
7.6.3,
7.6.2,
7.6.1,
7.6.0,
7.2.6,
7.2.5,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x

サーバー
7.6.6,
7.2.7

2025年5月

CVE-2025-46619

Windows版Couchbase Serverにローカルファイル包含の脆弱性を発見

Couchbase Server for Windowsに、システム上の機密ファイルへの不正アクセスを許すセキュリティ上の問題が発見されました。権限のレベルによって、この脆弱性は/ etc / passwdや/ etc / shadowなどのファイルへのアクセスを許可する可能性があります。

高い
(8.7)

Couchbaseサーバー

サーバー
7.6.3,
7.6.2,
7.6.1,
7.6.0,
7.2.6,
7.2.5,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.6.4,
7.2.7

2025年4月

CVE-2024-21235

JDKを17.0.13にアップデート

この脆弱性を悪用することは困難ですが、複数のプロトコルを介してネットワークにアクセスできる未認証の攻撃者は、影響を受ける製品を侵害する可能性があります。悪用に成功すると、アクセス可能なデータの不正な更新、挿入、削除、および特定のデータサブセットへの不正な読み取りアクセスが行われる可能性があります。

ミディアム
(4.8)

Couchbaseサーバー

サーバー
7.6.3,
7.6.2,
7.6.1,
7.6.0,
7.2.6,
7.2.5,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x

サーバー
7.6.4,
7.2.7

2025年4月

CVE-2024-56178

昇格ロールを持つユーザーの不正作成

security_admin_localロールを持つユーザが、「admin」ロールを持つグループに新しいユーザを作成し、意図された権限を超えた昇格権限を与える可能性がある。

ミディアム
(6.9)

Couchbaseサーバー

サーバー
7.6.3,
7.6.2,
7.6.1,
7.6.0

サーバー
7.6.4

2024年12月

CVE-2024-21094
CVE-2024-21011
CVE-2024-21068
CVE-2024-21012

JDKを17.0.11にアップデート

この脆弱性により、複数のプロトコルを介してネットワークにアクセスできる認証されていない攻撃者が、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性の攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionのアクセス可能なデータの一部に対して、不正な更新、挿入、削除アクセスが行われる可能性があります。

低い
(3.7)

Couchbaseサーバー

サーバー
7.6.1,
7.6.0,
7.2.5
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x

サーバー
7.6.2,
7.2.6

2024年8月

CVE-2016-2183
CVE-2016-6329

クラスタ管理ポートにSWEET32脆弱性。

TLS、SSH、IPSec プロトコルやその他のプロトコルや製品で使用されている DES およびトリプル DES 暗号には、約 40 億ブロックのバースデーバウンドがあるため、CBC モードのトリプル DES を使用した HTTPS セッション（別名「Sweet32」攻撃）で実証されているように、リモート攻撃者が長時間の暗号化セッションに対するバースデー攻撃によって平文データを取得することが容易になります。

高い
(8.7)

Couchbaseサーバー

サーバー
7.2.5,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x
4.x
3.x,
2.x

サーバー
7.6.0,
7.2.6

2024年8月

CVE-2024-25673

ヘッダ操作の脆弱性。

着信HTTPリクエストのHostヘッダーが、Locationヘッダーに盲目的にコピーされた。

ミディアム
(4.2)

Couchbaseサーバー

サーバー
7.6.1,
7.6.0,
7.2.5,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.6.2,
7.2.6

2024年8月

CVE-2024-37034

リモートリンク暗号化が HALF に設定されている場合、クレデンシャルは SCRAM-SHA を使用して KV とネゴシエートされる。

SDKはデフォルトでSCRAM-SHAとネゴシエートし、MITMがPLAINクレデンシャルをネゴシエートできるようにする。

ミディアム
(5.9)

Couchbaseサーバー

サーバー
7.6.0,
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x

サーバー
7.6.1,
7.2.5

2024年7月

CVE-2024-0519

v8を12.1.285.26にアップグレードしてください。

120.0.6099.224より前のGoogle ChromeのV8における境界外メモリアクセスにより、リモートの攻撃者が細工したHTMLページ経由でヒープ破壊を悪用する可能性がありました。

高い
(8.8)

Couchbaseサーバー

サーバー
7.2.4,
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.6.2,
7.2.5

2024年7月

CVE-2023-50782

pyca-cryptographyを42.0.5にアップグレード。

python-cryptography パッケージに不具合が見つかりました。この問題により、リモートの攻撃者が RSA 鍵交換を使用する TLS サーバーでキャプチャされたメッセージを解読できる可能性があり、機密データやセンシティブなデータの漏洩につながる可能性があります。

高い
(7.5)

Couchbaseサーバー

サーバー
7.6.1,
7.6.0

サーバー
7.6.2,
7.2.5

2024年7月

CVE-2023-49338

Query Service statsエンドポイントが認証なしでアクセス可能でした。

Query statsエンドポイントに正しい認証が実装されていなかったため、統計情報を表示できませんでした。

ミディアム
(5.3)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.x

サーバー
7.2.4

2024年1月

CVE-2023-45873

データリーダロールを持つユーザがデータサービスをOOM killする可能性がある。

データリーダー権限を持つユーザーが、大量のドキュメントを要求するGetKeyを送信することで、データサービスを停止させ、OOM（Out-of-Memory）エラーを引き起こす可能性がありました。

ミディアム
(6.5)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.6.x,
6.5.x

サーバー
7.2.4

2024年1月

CVE-2023-45874

データ・リーダーはリーダー・スレッドにDOSをかけることができる。

データ・リーダーのロールを持つユーザーは、多数のキーを要求することで、データ・サービスのリーダー・スレッドをかなりの時間ロックし、複数の接続で同じコマンドを発行することで、すべてのリーダー・スレッドをロックする可能性がある。

ミディアム
(4.3)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.6.x,
6.5.x

サーバー
7.2.4

2024年1月

CVE-2023-43769

認証されていないRMIサービスのポートがアナリティクスサービスに公開された。

ネットワークポート9119および9121は、Analyticsサービスによってホストされている認証されていないRMIサービスポートであり、権限昇格の原因となる可能性がありました。

クリティカル
(9.1)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x

サーバー
7.2.4

2024年1月

CVE-2023-50437

otpCookieがクラスタマネージャのAPIエンドポイントserverGroupsとengageCluster2でフル管理者ロールを持つユーザに表示されました。

クラスタのotpCookieが、APIエンドポイントserverGroupsのFull Adminロールを持つユーザ、およびAPIエンドポイントengageCluster2のCluster AdminとFull Adminの両方を持つユーザに流出していました。これは権限の昇格に使用される可能性があります。

高い
(8.6)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.2.4

2024年1月

CVE-2023-49931

SQL++のcURLによる/diag/eval呼び出しが十分に制限されていなかった。

クエリーサービスを使用してSQL++（N1QL）を介してcURLをlocalhostの/diag/evalエンドポイントに呼び出すことは完全に防止されていませんでした。

高い
(8.6)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x

サーバー
7.2.4

2024年1月

CVE-2023-49932

SQL++ N1QL cURLホスト制限実装の問題。

クエリーサービスのSQL++(N1QL)のcURL allowlist保護は、制限されたホストへのアクセスを防ぐのに十分ではありませんでした。

ミディアム
(5.3)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x

サーバー
7.2.4

2024年1月

CVE-2023-49930

SQL++のcURL呼び出しによるdiag evalのイベント発生が十分に制限されていなかった。

Eventing Serviceを経由してSQL++（N1QL）を介してcURLをローカルホストのdiag evalエンドポイントに呼び出すことは完全に防止されていませんでした。

高い
(8.6)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.5.x

サーバー
7.2.4

2024年1月

CVE-2023-50436

クラスタ管理用の内部 Full Admin ユーザの認証情報がログファイルに漏れた。

ロギングイベントにより、@ns_serverの内部管理者認証情報がエンコードされた形でdiag.logに流出しました。

低い
(2.1)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.6,
7.1.5

サーバー
7.2.4

2024年1月

CVE-2024-23302

TLS 秘密鍵が XDCR ログファイルから漏れた。

クロスデータセンターレプリケーション（XDCR）で使用されている秘密鍵がgoxdcr.logから流出した。

低い
(2.1)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.5.x

サーバー
7.2.4

2024年1月

CVE-2023-38545

cURLを8.4.0にアップグレード。

curlの欠陥は、SOCKS5プロキシハンドシェイクのヒープベースのバッファをオーバーフローさせる。

クリティカル
(9.8)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.6.x,
6.5.x

サーバー
7.2.4

2024年1月

CVE-2023-5678

OpenSSL 3.1.4にアップグレードしてください。

関数DH_generate_key()を使用してX9.42 DH鍵を生成するアプリケーション、および関数DH_check_pub_key()、DH_check_pub_key_ex()、またはEVP_PKEY_public_check()を使用してX9.42 DH鍵またはX9.42 DHパラメータをチェックするアプリケーションでは、長い遅延が発生する可能性がある。チェック対象の鍵やパラメータが信頼できないソースから取得されたものである場合、サービス拒否につながる可能性がある。

ミディアム
(5.3)

Couchbaseサーバー

サーバー
7.2.3,
7.2.2,
7.2.1,
7.2.0,
7.1.x,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.2.4

2024年1月

CVE-2023-44487

gRPCをv1.58.3にアップグレード。

HTTP/2プロトコルは、リクエストのキャンセルが多くのストリームを素早くリセットできるため、サービス拒否を可能にする。

高い
(7.5)

Couchbaseサーバー

サーバー
7.2.2,
7.2.1,
7.2.0,
7.1.5,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x

サーバー
7.2.3,
7.1.6

2023年11月

CVE-2023-44487

Golangを1.20.10にアップグレード。

HTTP/2プロトコルは、リクエストのキャンセルが多くのストリームを素早くリセットできるため、サービス拒否を可能にする。

高い
(7.5)

Couchbaseサーバー

サーバー
7.2.2,
7.2.1,
7.2.0,
7.1.5,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x

サーバー
7.2.3,
7.1.6

2023年11月

CVE-2023-0464

OpenSSL 1.1.1uにアップグレードしてください。

OpenSSL には、ポリシー制約を含む X.509 証明書チェーンの検証に関する脆弱性が存在します。この脆弱性を悪用すると、攻撃者は計算リソースを指数関数的に使用する悪意のある証明書チェーンを作成し、影響を受けるシステムへのサービス運用妨害 (DoS) 攻撃を引き起こす可能性があります。

高い
(7.5)

Couchbaseサーバー

サーバー
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.2.1,
7.1.5

2023年11月

CVE-2022-41723

GoLangを1.19.9に更新。

悪意を持って細工された HTTP/2 ストリームは、HPACK デコーダーに過剰な CPU 消費を引き起こし、少数の小さなリクエストからサービス拒否を引き起こすのに十分な可能性があります。

高い
(7.5)

Couchbaseサーバー

サーバー
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x

サーバー
7.2.1,
7.1.5

2023年11月

CVE-2023-3079

CVE-2023-2033

V8を11.4.185.1にアップデート。

114.0.5735.110より前のGoogle ChromeのV8における型の混乱により、リモートの攻撃者が細工したHTMLページを介してヒープ破壊を悪用する可能性がありました。

高い
(8.0)

Couchbaseサーバー

サーバー
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.2.1,
7.1.5

2023年11月

CVE-2023-21930

CVE-2023-21954

CVE-2023-21967

CVE-2023-21939

CVE-2023-21938

CVE-2023-21937

CVE-2023-21968

OpenJDKを11.0.19にアップデート。

多数の CVE を解決するため、OpenJDK をバージョン 11.0.19 に更新。

高い
(7.4)

Couchbaseサーバー

サーバー
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.6.x

サーバー
7.1.5

2023年11月

CVE-2023-36667

Windows トラバーサルセキュリティの問題。

Couchbase ServerのWindows UIは、攻撃者がファイルシステムをトラバースし、Couchbaseがアクセスできるファイルを表示することができます。この脆弱性は、認証を必要としません。Couchbase Serverの管理UIのURLにフォルダ/ファイルを追加するだけで悪用可能です。

高い
(7.5)

Couchbaseサーバー

サーバー
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.2.1,
7.1.5

2023年11月

CVE-2023-43768

認証されていないユーザがmemcachedのメモリ不足を引き起こす可能性がある。

悪意のあるユーザーは、サーバーに接続し、大きなコマンドを送り始めることで、memcachedサーバーを簡単にクラッシュさせることができる。

高い
(7.5)

Couchbaseサーバー

サーバー
7.2.0,
7.1.4,
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.6.x

サーバー
7.2.1,
7.1.5

2023年11月

CVE-2023-45875

7.2 クラスタに 7.0 より前のノードを追加すると、debug.log に秘密鍵が漏れる。

7.0以前のノードを7.2クラスタに追加すると、秘密鍵がdebug.logにリークされます。

ミディアム
(4.4)

Couchbaseサーバー

サーバー
7.2.0

サーバー
7.2.1

2023年11月

CVE-2022-41881

CVE-2022-41915

Nettyを4.1.86.Final以上にアップデートする。

4.1.86.Finalより前のバージョンでは、不正な細工が施されたメッセージの解析時に、無限再帰によりStackOverflowErrorが発生することがありました。

低い
(2.2)

Couchbaseサーバー

サーバー
6.6.6,
7.0.5,
7.1.3

サーバー
7.2.0,
7.1.4

2023年5月

CVE-2023-28470

全文検索（FTS） nsstatsエンドポイントは認証なしでアクセス可能。

api / nsstatsでのFTS statsエンドポイントは、正しい認証を実装していないため、認証なしでCouchbase Serverのバケット名、FTSインデックス名、およびFTSインデックスの設定を表示することが可能です。バケットとインデックスの内容は公開されていません。

ミディアム
(5.3)

Couchbaseサーバー

サーバー
7.1.3,
7.1.2,
7.1.1,
7.1.0,
7.0.x,
6.6.x

サーバー
7.1.4

2023年3月

CVE-2023-25016

ノード参加中にクラッシュが発生すると、認証情報がログに漏れる可能性がある。

ノードの結合が失敗すると、REST リクエストを行ったユーザーの修正されていない認証情報がログファイルに漏れる可能性があります。

ミディアム
(6.3)

Couchbaseサーバー

サーバー
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.1.2,
7.0.5,
6.6.6

2023年1月

CVE-2022-42951

Couchbase Cluster Managerは、クラスタノードの再起動時のアクセス制御を欠いています。

couchbaseサーバノードの起動時に、セキュリティクッキーが "nocookie "に設定される短い期間があります。この期間に攻撃者がこのプロトコルに接続すると、接続が切断されるまでの間、どのクラスタノードでも任意のコードをリモートで実行することができます。実行されたコードは、Couchbase Serverと同じ権限で実行されます。

クリティカル
(9.8)

Couchbaseサーバー

サーバー
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x

サーバー
7.1.2,
7.0.5,
6.6.6

2023年1月

CVE-2022-42004

CVE-2022-42003

アナリティクス・サービスで使用されているJackson Databindを2.13.4.2+に更新し、脆弱性を解消。

深くネストされた配列の使用を防止するチェックがないため、Couchbase Analyticsサービスのリソース枯渇が発生する可能性があります。

高い
(7.5)

Couchbaseサーバー

サーバー
7.1.2,
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1
6.6.0
6.5.x,
6.0.x,
5.x,
4.x

サーバー
7.1.3,
7.0.5,
6.6.6

2023年1月

CVE-2022-42950

REST API への HTTP リクエストに細工を施すと、バックアップサービスの OOM が発生する可能性があります。

HTTPリクエスト・ボディが極端に大きい（またはバインドされていない）場合、バックアップ・サービスはOOM（メモリ不足）エラーを引き起こす可能性があります。

ミディアム
(4.9)

Couchbaseサーバー

サーバー
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0

サーバー
7.1.2,
7.0.5

2023年1月

CVE-2022-1096

V8 Javascript Engineを10.7.xにアップデート。

Couchbase Server Eventing Service、View Engine、XDCR、およびN1QL UDFで使用されるv8 Javascriptエンジンは、99.0.4844.84より前のバージョンに型の混乱があり、リモートの攻撃者が細工したリクエストを経由してヒープ破壊を悪用する可能性があるため、更新されました。

高い
(8.8)

Couchbaseサーバー

サーバー
7.1.1,
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.1.2,
7.0.5

2023年1月

CVE-2021-41561

Apache Parquetを1.12.3に更新。

攻撃者は、Couchbase Analytics Serviceでオプションとして使用されるParquetファイルを使用して、悪意のあるファイルがファイルページヘッダーに不適切な値（例えば、正の値が期待されるところ負の値）を含む場合、サービス拒否（DoS）を引き起こす可能性があります。これは、Apache Parquetライブラリを新しいバージョンに更新することで解決します。

高い
(7.5)

Couchbaseサーバー

サーバー
7.1.1,
7.1.0

サーバー
7.1.2

2022年11月

CVE-2022-37026

Erlangをバージョン24.3.4.4にアップグレードしました。

couchbase サーバの tls/ssl 機能を使用すると、特定の状況下でクライアント認証をバイパスすることが可能です。具体的には、ssl/tls/dtls サーバーとクライアント認証オプション "{verify, verify_peer}" を使用しているアプリケーションは、この脆弱性の影響を受けます。erlang/OTPランタイムのパッチ23.3.4.15、24.3.4.2、25.0.2により、サポートされているトラックで修正がリリースされています。影響を受けるのは、証明書ベースの認証を使用しているクラスタのみです。

クリティカル
(9.8)

Couchbaseサーバー

サーバー
7.1.1,
7.1.0

サーバー
7.1.2

2022年11月

CVE-2022-32556

秘密鍵は特定のクラッシュでログファイルに漏れる。

稀に発生するクラッシュにより、生成された証明書の秘密鍵がログファイルに漏れることがある。

ミディアム
(6.3)

Couchbaseサーバー

サーバー
7.1.0,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.x,
3.x

サーバー
7.1.1,
7.0.4,
6.6.6

2022年7月

CVE-2022-24675

CVE-2022-23772

CVE-2022-24921

GoLangを最低1.17.9または1.18.1に更新。

複数のCouchbase Serverサービスで使用されているGoプログラミング言語と関連ライブラリをバージョン1.17.9+または1.18.1+に更新し、多数のCVEを解決しました。

高い
(7.5)

Couchbaseサーバー

サーバー
7.1.0,
7.0.4,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5x,
6.0.x,
5.x,
4.x

サーバー
7.1.1,
7.0.5,
6.6.6

2022年7月

CVE-2020-36518

jackson-databind ライブラリをバージョン 2.13.2.2 に更新。

2.13.0以前のjackson-databindは、ネストされたオブジェクトの大きな深さを介してJava StackOverflow例外およびサービス拒否を可能にします。このライブラリは、Couchbase Server Analytics Serviceで使用されています。

ミディアム
(6.5)

Couchbaseサーバー

サーバー
7.1.0,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x

サーバー
7.1.1,
7.0.4,
6.6.6

2022年7月

CVE-2022-1292

opensslを1.1.1oに更新。

openssl を更新し、openssl のコンポーネント c_rehash の欠陥を修正しました。このスクリプトはディレクトリをスキャンし、ディレクトリ内の各 .pem ファイルと .crt ファイルのハッシュ値を取得します。そして、ハッシュ値で指定された各ファイルのシンボリックリンクを作成します。このスクリプトには、コマンド・インジェクションを許す欠陥がある。

クリティカル
(9.8)

Couchbaseサーバー

サーバー
7.1.0,
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x

サーバー
7.1.1,
7.0.4,
6.6.6

2022年7月

CVE-2022-34826

暗号化された秘密鍵のパスフレーズがログに漏れる可能性がある。

Couchbase Server 7.1.0以降では、暗号化されたTLS秘密鍵を解除するためにCouchbase Serverにパスフレーズを提供することが可能です。このパスフレーズは、データサービス以外のCouchbaseサービスのいずれかが起動しているときに、Base64エンコードされた文字列としてログファイルに流出していることが判明しました。これは、オプションの暗号化TLSキー機能が使用されている場合、Index Service、Query Service、Analytics Service、Backup Service、およびEventing Serviceに影響します。攻撃者が中間者攻撃やネットワーク通信の解読などの攻撃を行うには、ログや秘密鍵にアクセスできる必要があることに注意してください。これらのファイルへのアクセスを制限するためにオペレーティング・システムの保護を使用することは、効果的な緩和策となり得る。

ミディアム
(4.4)

Couchbaseサーバー

サーバー
7.1.0

サーバー
7.1.1

2022年7月

CVE-2021-42581

Couchbase ServerのUIで使用されているクライアント側のJavaScriptライブラリであるramdaをバージョン0.28に更新しました。

Ramda 0.27.0 およびそれ以前のバージョンでは、プロトタイプ汚染として知られる、細工されたオブジェクト (独自のプロパティ "{}proto{}" を含む) を関数の引数として供給することで、攻撃者がアプリケーションの完全性や可用性を侵害する可能性があります。プロトタイプ汚染タイプの攻撃は、入力検証を迂回し、予期しないjavascriptの実行を誘発します。

クリティカル
(9.1)

Couchbaseサーバー

サーバー
7.1.0,
7.0.x

サーバー
7.1.1

2022年7月

CVE-2021-44906

Couchbase ServerのUIで使用されるクライアント側のJavaScriptライブラリ、js-beautifyを1.14.3に更新しました。

js-beautifyには、既知の脆弱性を持つ依存関係、Minimistがあります。Minimist <=1.2.5 には、ファイル index.js の関数 setKey() (69-95行目) を介したプロトタイプ汚染 (Prototype Pollution) の脆弱性があります。プロトタイプ汚染攻撃は、入力検証をバイパスし、予期しないjavascriptの実行を誘発します。

クリティカル
(9.8)

Couchbaseサーバー

サーバー
7.1.0,
7.0.x

サーバー
7.1.1

2022年7月

CVE-2022-33911

アナリティクスサービスのログ検証メッセージでは、フィールド名は編集されません。

Couchbase Server Analyticsサービスでセカンダリインデックスを作成するとき、ユーザーに報告され、ログに記録されるインデックスされたフィールド上のいくつかの検証があります。コードASX0013のエラーメッセージは、フィールド名が重複していることを報告し、ログに記録するために複数のパスで使用されます。これらのログに記録された検証メッセージのフィールド名は編集されません。また、コード ASX1079 のエラーは、フィールド名が編集されません。

低い
(1.8)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x

サーバー
7.0.4,
6.6.6

2022年6月

CVE-2022-33173

アナリティクス・リモートリンクは、TLSポートを決定するために一時的に非TLS接続にダウングレードすることがあります。

encryption=fullで設定されたAnalyticsリモートリンクのTLS接続の確立に失敗した場合、ランタイムは認証にSCRAM-SHAを使用してリモートクラスタへの非TLS接続を試みることで、(デフォルト以外の)TLSポートの検出を試みます。SCRAM-SHAでは認証情報は共有されませんが、システムがTLS接続を指定する所定の暗号化レベルをダウングレードするとは考えられません。このフォールバックメカニズムは削除され、最初にTLS接続を確立できなかった場合、リンク設定の一部として正しいTLSポートが提供されるまで、CONNECT LINKは単に失敗します。

低い
(2.0)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0

サーバー
7.0.4,
6.6.6

2022年6月

CVE-2022-32565

バックアップサービスのログから、編集されていないユーザー名とドキュメントIDが漏れる。

バックアップサービスが監査メッセージのログに失敗すると、監査ログデータがbackup_service.logに漏れます。

低い
(1.8)

Couchbaseサーバー

サーバー
7.0.x

サーバー
7.1.0

2022年6月

CVE-2020-14040

golang.org/x/text パッケージを 0.3.4 以降に更新してください。

golang.org/x/text/encoding/unicode パッケージで、UTF-16 デコーダが無限ループに入り、プログラムがクラッシュしたりメモリ不足になったりする可能性がありました。

高い
(7.5)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x

サーバー
7.0.4,
6.6.6

2022年6月

CVE-2022-32192

couchbase-cliはコマンドライン引数として秘密管理マスターパスワードを漏らす。

couchbase-cliは、プロセス引数としてマスターパスワードを持つ非常に短命のerlangプロセスをスポーンし、これは、誰かがその時点でプロセスリストを取得した場合、彼らはマスターパスワードを持っていることを意味します。これは、シークレット管理機能を利用するCouchbase Serverクラスタにのみ影響します。

ミディアム
(5.5)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x

サーバー
7.0.4,
6.6.6

2022年6月

CVE-2022-32562

操作は、古いRBACパーミッションを使用しているコレクションで成功する可能性があります。

RBACロールにコレクションレベルのパーミッション（例えば、query_select[src:_default:Collection1]）が含まれている場合、コレクション名が削除され、バケットに再作成されても、コレクションレベルのパーミッションは有効です。これにより、コレクションが削除されたときにパーミッションが削除されたはずなのに、そのロールを持つユーザがコレクションにアクセスできるようになります。

高い
(8.8)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0

サーバー
7.0.4

2022年6月

CVE-2022-32560

XDCR - 内部設定を変更する際の役割チェックが欠けている。

Couchbase Serverの影響を受けるバージョンでは、XDCRの内部設定は、認証なしで変更することができます。

ミディアム
(4.0)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.x,
5.x,
4.x

サーバー
7.0.4

2022年6月

CVE-2022-32564

couchbase-cli: server-eshell がクラスタマネージャクッキーをリークする。

影響を受けるバージョンのCouchbase Serverでは、'server-eshell'コマンドを使用する際、Erlangの "cookie "が'erl'へのコマンドライン引数経由で渡されます。これにより、'couchbase-cli'プロセスの引数を読むことができるすべての人に "cookie "が漏れます。このクッキーはクラスタの管理タスクを実行するために使用される可能性があるため、秘密にしておく必要があります。

高い
(7.8)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.1.0,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.x,
3.x,
2.x,
1.x

サーバー
7.0.4,
6.6.6

2022年6月

CVE-2021-3737

サービス拒否の問題に対処するため、Python が 3.9.12 に更新されました。
Python に不具合が発見されました。PythonのHTTPクライアントコードでHTTPレスポンスが不適切に処理されると、HTTPサーバーを制御するリモートの攻撃者がクライアントスクリプトを無限ループに入らせ、CPU時間を消費させる可能性があります。この問題は、開発者プレビュー機能の Analytics UDF を使用しているクラスタにのみ影響します。

高い
(7.5)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0

サーバー
7.0.4

2022年6月

CVE-2022-32558

サンプルバケツのロードは、障害時に内部ユーザーパスワードを漏らす可能性がある。

サンプルバケット(beer-sample, gamesim-sample, travel-sample)の読み込みに失敗すると、@ns_server の内部管理ユーザのパスワードがログ(debug.log, error.log, info.log, reports.log)に漏れることがあります。ns_serverアカウントを使用して管理操作を行うことができます。

ミディアム
(6.4)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0

サーバー
7.0.4,
6.6.6

2022年6月

CVE-2022-32193

秘密鍵は、Couchbase ServerのCluster Managerコンポーネントのクラッシュ時にログに記録される可能性があります。

クラスタノードの追加を実行中にクラスタマネージャ(ns_server)がクラッシュすると、秘密鍵がログファイルに流出する可能性があります。ログファイルにアクセスできる誰かが、クラスタへのセキュアなネットワーク接続を解読できる可能性があります。TLSが使用されている場合、クラスタにログインするユーザやアプリケーションの認証情報が取得される可能性があります。

ミディアム
(6.3)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.5,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0

サーバー
7.0.4,
6.6.6

2022年6月

CVE-2022-32561

CVE-2018-15728に対するこれまでの緩和策は、診断用エンドポイントが依然としてネットワークからアクセス可能であることが判明したため、不十分であることが判明した。

diag/evalなどの診断エンドポイントは制限されており、ループバックネットワークからのみ実行できる。しかし、CVE-2018-15728に対処するために導入されたチェックは、"X-Forwarded-For "ヘッダーにループバックアドレスが含まれているかどうかを正しくチェックしていません。このヘッダーはループバックの制限を回避するために操作することができる。

この脆弱性は、RFC6890に従って、プライベートネットワークと共有アドレス空間から発信されるリクエストに限定される。

これらのエンドポイントへのリクエストを成功裏に発行できるようにするには、「X-Forwarded-For」ヘッダーの使用に関係なく、ユーザーは完全な管理者権限を必要とする。

この問題の回避策は、"X-Forwarded-For "ヘッダが不要な環境では、"X-Forwarded-For "ヘッダを含むCouchbase Serverノードへのリクエストをファイアウォールすることです。

表彰される： ムカヒト・カラダグ / PRODAFT

高い
(8.8)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.6.4,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x

サーバー
6.6.5,
7.0.4

2022年6月

CVE-2022-32557

Index Service は、TCP/TLS サーバーに対して認証を強制しない。

Index Serviceは、いくつかのネットワークプロセス、Queryport、Dataport、Adminportを実行します。これらは、他のCouchbaseサービスと通信するために使用されます。これらのプロセスは、ノード間の通信に参加しますが、SDKアプリケーションと直接通信しません。影響を受けるバージョンのCouchbase Serverでは、これらのネットワークプロセスは認証を強制しないため、認証されていないユーザーから送信されたリクエストを処理します。

Queryportサーバは認証されていないユーザに対してインデックススキャン結果を応答することができます。

Dataportサーバーは、認証されていないユーザーがインデックスされたデータを変更することを許可することができます。

Adminport サーバは、認証されていないユーザが DDL 操作（インデックスの作成や削除など）を実行できるようにすることができます。

可能な回避策これらのポートは、Couchbase Serverの内部通信にのみ使用されるため、Couchbase Server以外のノードやプロセスとの接続/通信は、ネットワーク層で無効にすることができます。

高い
(8.2)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.x,
5.x,
4.x

サーバー
7.0.4

2022年6月

CVE-2022-32559

ランダムなhttpリクエストは、漏れたメトリクスにつながる。

認証されていないユーザはクラスタマネージャにREST APIコールを行うことができます。クラスタマネージャが以前に見たことのない各httpリクエストは、新しいメトリックの作成につながります。新しいメトリックはそれぞれメモリとディスクスペースを消費するため、メモリリークとディスクスペースリークが発生する可能性があります。十分なリソースが使用されると、Couchbase Serverノードが故障する可能性があります。

高い
(7.5)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0

サーバー
7.0.4

2022年6月

CVE-2022-32563

Sync GatewayからCouchbase ServerにX.509クライアント証明書認証を使用する場合、管理者認証情報が検証されません。

Sync GatewayがX.509クライアント証明書を使用してCouchbase Serverと認証するように構成されている場合、Admin REST APIに提供された管理者資格情報が無視され、認証されていないユーザーの権限昇格が発生します。パブリックREST APIは、この問題の影響を受けません。

回避策ブートストラップ構成内で、X.509証明書ベースの認証をユーザー名とパスワードによる認証に置き換える。

クリティカル
(9.8)

Couchbase Sync Gateway

Couchbase Sync Gateway：
3.0.0,
3.0.1

3.0.2

2022年6月

CVE-2021-33504

信頼されていないノードの追加は、クラスタの秘密を収穫するために操作することができる。

信頼されていないノードをクラスタに追加する管理者は、秘密のままであるべきクラスタクッキーを不注意で送信する危険性があります。

これは、認証局が署名した証明書を使用してTLS暗号化を展開することによって対処することができます。TLSを使用する場合、信頼できる証明書は、Couchbase Serverのバージョン7.1.0から着信ノード上に存在する必要があります。

表彰される： EYイスラエル・アドバンスド・セキュリティ・センターのセキュリティ研究者、オフィール・ハマム氏

高い
(7.6)

Couchbaseサーバー

サーバー
7.0.3,
7.0.2,
7.0.1,
7.0.0,
6.x,
5.x,
4.x,
3.x,
2.x

サーバー
7.1.0

2022年5月

CVE-2022-26311

Kubernetes環境から収集されたログで、冗長化されない秘密。

Couchbase Operator 2.2.0では、ログ収集を簡素化する最適化が導入されました。ログが収集されるとき、サポートツール - "cbopinfo" - は、意図されたリソースの状態、および現在のリソースの状態を把握するために必要なKubernetesリソースを収集するために使用されます。影響を受けるバージョン以前では、秘密データは再編集されていましたが、この機能は新しい収集方法では保持されていませんでした。その結果、ログには、ログ収集の範囲内にあるパスワード、トークン、秘密鍵が誤って含まれていました。デフォルトでは、このスコープは、検査対象のCouchbase Serverクラスタが存在するKubernetes名前空間に限定されます。これに対する例外は、-systemフラグが指定された場合で、この場合、プラットフォーム上のすべての秘密が公開されます。ログは顧客の問題を特定し、修復するために使用されるため、指定されたツールバージョンでログを提供した顧客のみが影響を受けます。Couchbaseは、提供されたすべての影響を受けるログが冗長化されることを保証します。

高い
(7.2)

Couchbaseクラウドネイティブオペレーター

2.2.0,
2.2.1,
2.2.2

2.2.3

2022年3月

CVE-2021-44228

Apache Log4Jの2.15.0へのアップデート

Couchbase Analytics Serviceで使用されるApache Log4Jユーティリティの重大な問題は、潜在的なリモートコード実行（RCE）と機密データの抽出を防ぐために更新が必要です。

クリティカル
(10)

Couchbaseサーバー

サーバー
7.0.2,
7.0.1,
7.0.0,
6.6.3,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x

サーバー
7.0.3,
6.6.4

2021年12月

CVE-2021-43963

Sync GatewayがCouchbase Serverのバケット認証情報を安全に保存しない

Sync GatewayがCouchbase Serverのデータを読み書きするために使用するバケット認証情報は、バケットに書き込まれた同期ドキュメント内のメタデータに安全に保存されていませんでした。読み取りアクセス権を持つユーザーは、書き込みアクセス権を取得するためにこれらの資格情報を使用することができました。この問題は、Sync Gatewayがx.509クライアント証明書で認証されているクラスタには影響しません。また、この問題は Sync Gateway で共有バケットアクセスが有効になっていないクラスタには影響しません。

ミディアム
(6.5)

Couchbase Sync Gateway

同期ゲートウェイ
2.8.2,
2.8.1,
2.8.0,
2.7.x

シンクゲートウェイ 2.8.3

2021年10月

CVE-2021-37842

XDCRのremoteCluster認証情報をredactしないログ

リモートクラスタのXDCR資格情報は、デバッグログに漏れる可能性があります。設定キーの墓石パージは、Couchbase Server 7.0.0で追加されました。この問題は、ログに記録されている設定キーに墓石パージャータイムスタンプが接続されている場合に発生します。

高い
(7.6)

Couchbaseサーバー

サーバー
7.0.1,
7.0.0

サーバー
7.0.2

2021年10月

CVE-2021-42763

バックトレースからクラッシュエラーログに暴露された認証情報

cbcollect_infoログ収集の一部として、Couchbase ServerはErlang VMで実行されているすべてのプロセスのプロセス情報を収集します。問題は、クラスタマネージャがプラグイン可能なUI（クエリワークベンチなど）から特定のサービスにHTTPリクエストを転送するときに発生します。バックトレースでは、HTTPリクエストに含まれるBasic Authヘッダーに、UIリクエストを処理するノードの"@"ユーザー認証情報があります。この問題が発生するためには、クラスタ・マネージャによってプラグイン可能なUIリクエストが処理される正確な瞬間にプロセス情報がトリガされる必要があります。

高い
(8.8)

Couchbaseサーバー

セヴァン
7.0.1,
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.5.x

サーバー
6.6.3,
7.0.2

2021年10月

CVE-2021-33503

Pythonのurllib3を1.26.5以上にアップデートする。

Couchbase Serverのコマンドラインツールで使用される1.26.5以前のurllib3に問題が発見されました。これらのツールに、authorityコンポーネントに多くの@文字を含むURLが提供されると、authority正規表現が壊滅的なバックトラックを示し、URLがパラメータとして渡されるか、HTTPリダイレクトを介してリダイレクトされた場合、コマンドラインツールのサービス拒否を引き起こします。

高い
(7.5)

Couchbaseサーバー

サーバー
7.0.1,
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x

サーバー
6.6.3,
7.0.2

2021年10月

CVE-2020-36242

Python暗号パッケージの3.3.2への更新

Couchbase Serverコマンドラインツールで使用されるPython用3.3.2以前の暗号化パッケージでは、複数GBの値を対称的に暗号化するための更新呼び出しの特定のシーケンスにより、そのツールで整数オーバーフローとバッファオーバーフローが発生する可能性があります。

クリティカル
(9.1)

Couchbaseサーバー

セヴァン
7.0.1,
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.5.x

サーバー
6.6.3,
7.0.2

2021年10月

CVE-2021-35944

攻撃者から送信された特別に細工されたネットワーク・パケットは、memcached をクラッシュさせる可能性がある。

これは、データサービスが利用できなくなる可能性があります。ファイアウォールを使用して、アプリケーションからのネットワークトラフィックのみがCouchbase Serverクラスタと通信できるようにすることをお勧めします。

高い
(8.2)

Couchbaseサーバー

サーバー
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x

サーバー
6.6.3,
7.0.1

2021年9月

CVE-2021-35945

攻撃者から送信された特別に細工されたネットワーク・パケットは、memcached をクラッシュさせる可能性がある。

これは、データサービスが利用できなくなる可能性があります。ファイアウォールを使用して、アプリケーションからのネットワークトラフィックのみがCouchbase Serverクラスタと通信できるようにすることをお勧めします。

高い
(8.2)

Couchbaseサーバー

サーバー
7.0.0,
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.6.x,
4.5.x

サーバー
6.6.3,
7.0.1

2021年9月

CVE-2021-35943

外部で管理されているユーザーは、RFC4513に従って、空のパスワードを使用することはできません。

外部認証に使用されるLDAPまたはActive Directoryサーバーが安全でない未認証バインドを許可するように設定されている場合、Couchbase Server Cluster Managerは空のパスワードで外部ユーザーを認証することを許可します。

LDAPサーバーは、resultCodeが "unwillingToPerform "の認証なしバインド(Unauthenticated Bind)リクエストに失敗するように設定することで、この発生を防ぐことができる。

クリティカル
(9.8)

Couchbaseサーバー

サーバー
6.6.2,
6.6.1,
6.6.0,
6.5.x

サーバー 6.6.3

2021年8月

CVE-2021-23840

CVE-2021-3450

CVE-2021-3449

OpenSSLをバージョン1.1.1kにアップデートする。

そのうちのひとつは、クライアントから悪意を持って細工された再ネゴシエーションの ClientHello メッセージが送信された場合、TLS サーバーがクラッシュする可能性がある。

中／高
(5.9,
7.4,
7.5)

Couchbaseサーバー

サーバー
6.6.2,
6.6.1,
6.6.0,
6.5.x

サーバー 6.6.3

2021年8月

CVE-2019-10768

AngularJSを1.8.0にアップデートする

Couchbase UIで使用されているAngularで、merge()関数を変更することでサービス拒否を引き起こす可能性がある問題。

高い
(7.5)

Couchbaseサーバー

サーバー
6.6.2,
6.6.1,
6.6.0,
6.5.x,
6.0.x,
5.x,
4.6.x,
4.5.x

サーバー 6.6.3

2021年8月

CVE-2021-31158

N1QL 共通テーブル式（CTE）のアクセス制御の処理に誤りがありました。

Common Table Expression N1QLクエリがRBACセキュリティ制御に正しく対応しておらず、必要な権限を持たないユーザーに読み取りアクセス権を与えていました。

ミディアム
(6.5)

Couchbaseサーバー

サーバー
6.6.1,
6.6.0,
6.5.2,
6.5.1,
6.5.0

サーバー 6.6.2

2020年2月

CVE-2019-14863

FTS UIをangular 1.6.9にアップグレードする

Full Text Seachのユーザーインターフェースには、いくつかの既知の深刻度の高いセキュリティ脆弱性が存在するAngularJS 1.4.7が使用されています。これらのAngularJSライブラリは、これらの脆弱性に対処したより新しいバージョンのAngularに更新されています。

高い
(7.4)

Couchbaseサーバー

6.0.2,
5.5.5

6.5.0

2020年1月

CVE-2020-9040

core-io 1.7.11（および結果としてJava SDK 2.7.11）までは、TLS/SSL接続時のホスト名検証は有効になっておらず、特定の環境ではセキュリティリスクとなる可能性があります。

Java 6（JDK 1.6、旧SDKベースラインバージョン）では、ホスト名検証をそのままではサポートしていなかった。SDKがベースラインとしてJava 7（Java 1.7）に移行すると、サポートを追加することが可能になった。これは、jvm-core 1.7.11（これはjava-client 2.7.11に翻訳される）で起こりました。それ以前のバージョンでは、それに応じてカスタマイズする機能が公開されていないため、回避策として手動で追加することはできません。古い動作に依存するアプリケーションを破壊しないために、ホスト名検証はデフォルトではまだ無効ですが、SDKの設定（CouchbaseEnvironmentクラス）で有効にすることができることに注意してください。

高い
(7.5)

Couchbase Java SDK
Couchbase Sparkコネクタ
Couchbase Kafkaコネクタ
(コネクタはJava SDKまたはCore-IOに依存します。）

1.7.10,
1.6.0,
1.5.0,
1.4.0,
1.3.0,
1.2.0,
1.1.0,
1.0.0

2.7.11

2019年4月

CVE-2020-9039

プロジェクターとインデクサーのRESTエンドポイントでは、認証が必要ありませんでした。

プロジェクタープロセスで公開される /settings REST エンドポイントは、管理者が設定の更新やパフォーマンスプロファイルの収集など、さまざまなタスクに使用できるエンドポイントです。このエンドポイントは認証されていませんでしたが、認証されたユーザーのみがこれらの管理APIにアクセスできるように更新されました。

表彰される： アップル・セキュリティ・チーム

高い
(7.6)

Couchbaseサーバー

5.5.1,
5.5.0,
5.0.1,
5.0.0,
4.6.x,
4.5.x,
4.1.x,
4.0.x

6.5.0
6.0.0
5.5.2
5.1.2

2018年9月

CVE-2020-9042

Couchbase Serverは、認証されていないリクエストに対してWWW-Authenticateレスポンスを返します。

Server REST API は認証されていないリクエストに対して {{WWW-Authenticate}} ヘッダで応答する。問題は、これらの認証情報がブラウザによってキャッシュされることで、管理者がブラウザを使って REST API リクエストの結果をチェックした場合に、ハッカーが CSRF を使ってクラスタを攻撃できるようになることです。この動作は couchbase-cli (couchbase-cli setting-security --set --disable-www-authenticate 1 -c localhost:8091 -u -p ) を使って無効にすることができます。既存のツールやスクリプトを壊す可能性があるため、デフォルトでは無効になっていません。

表彰される： アップル・セキュリティ・チーム

ミディアム
(6.3)

Couchbaseサーバー

6.0.0

6.5.1

2020年4月

CVE-2019-11464

ポート8092にX-XSS保護ヘッダがない

企業によっては、REST API のエンドポイントが REST レスポンスにセキュリティ関連のヘッダを含めることを要求している。X-Frame-OptionsやX-Content-Type-Optionsのようなヘッダは一般的に推奨されますが、情報セキュリティの専門家の中には、HTMLエンドポイントにより一般的に適用されるX-Permitted-Cross-Domain-PoliciesやX-XSS-Protectionも含めることを求める人もいます。これらのヘッダは現在、Couchbase Server Views REST API（ポート8092）からの応答に含まれています。

ミディアム
(5.4)

Couchbaseサーバー

5.5.0
5.1.2

6.0.2

2019年3月

CVE-2019-9039

Syncゲートウェイで_all_docs startkey、endkey経由のN1QLインジェクションを防ぐ

Sync Gateway のパブリック REST API にアクセスできる攻撃者は、"_all_docs" エンドポイント上のパラメータ "startkey" および "endkey" を通じて、追加の N1QL ステートメントを発行して機密データを抽出したり、任意の N1QL 関数を呼び出したりすることが可能でした。CPU に負荷のかかる操作でネストされたクエリーを発行することにより、リソースの使用量の増加やサービス拒否状態を引き起こすことができた可能性があります。all_docsエンドポイントはCouchbase Mobileレプリケーションには必要なく、この問題を軽減するためにこのRESTエンドポイントへの外部アクセスはブロックされています。

表彰される： デニス・ヴェルナー/HiSolutions AG

高い
(7.6)

Couchbase Sync Gateway

2.1.2

2.5.0
2.1.3

2019年2月

CVE-2019-11466

イベント・デバッグ・エンドポイントは認証を強制しなければならない。

イベント発生サービスは、内部トラフィック専用に設定されたポートで、認証情報を必要としないHTTPエンドポイントを介してシステム診断プロファイルを公開します。これは改善され、アクセスするために有効な認証情報が必要になりました。

高い
(7.1)

Couchbaseサーバー

6.0.0
5.5.0

6.0.1

2018年12月

CVE-2019-11465

Memcachedの "connections "統計ブロック・コマンドが、リダクトされていないユーザー名を出力する。

バグレポートの一部としてCouchbaseに提出されたシステム情報には、プライバシーのためにログが編集されていたとしても、現在システムにログインしているすべてのユーザーのユーザー名が含まれていた。

これは、ログにユーザー名が適切にタグ付けされ、ログが再編集される際にハッシュアウトされるように修正された。

ミディアム
(6.5)

Couchbaseサーバー

6.0.0,
5.5.3,
5.5.2,
5.5.1,
5.5.0

6.0.1
5.5.4

2019年1月

CVE-2018-15728

diag/evalエンドポイントはlocalhostにロックされていません。

Couchbase Serverは、デフォルトでは、TCP/8091および/またはTCP/18091で利用可能な'/diag/eval'エンドポイントを公開しました。 認証済み を持っているユーザー フル管理者 割り当てられたロールは、APIの'diag/eval'エンドポイントに任意のErlangコードを送信することができ、そのコードはその後、Couchbaseの起動に使用されたユーザーの権限で、基礎となるオペレーティングシステムで実行される。

表彰される： アップル・セキュリティ・チーム

高い
(8.8)

Couchbaseサーバー

5.5.1,
5.5.0,
5.1.1,
5.0.1,
5.0.0,
4.6.5,
4.5.1,
4.1.2,
4.0.0

6.0.0
5.5.2

2018年10月

CVE-2019-11495

Erlangクッキーは弱いランダムシードを使います。

ノード内通信に使用されるクッキーは安全に生成されませんでした。Couchbase Serverはerlang:now()を使用してPRNGをシードし、その結果、潜在的なランダムなシードのための小さな検索空間が発生します。

表彰される： アップル・セキュリティ・チーム

高い
(7.9)

Couchbaseサーバー

5.1.1

6.0.0

2018年9月

CVE-2019-11467

3k文字以上の'˶'を含むJSONドキュメントがインデクサをクラッシュさせます。

セカンダリインデックスは、collatejsonを使用してインデックスされるエントリをエンコードします。インデックス・エントリーに「♪」「」のような特定の文字が含まれる場合、エンコードされた文字列が説明されているよりもはるかに大きくなるため、バッファ・オーバーランが発生し、インデクサ・サービスがクラッシュして再起動する原因となっていました。これは、バッファがどのような入力に対しても常に必要に応じて大きくなるように改善されました。

表彰される： DトラストGmbH

ミディアム
(5.8)

Couchbaseサーバー

5.5.0,
4.6.3

5.1.2,
5.5.2

2018年8月

CVE-2019-11497

XDCRはリモートクラスタ証明書を検証しません。

無効なリモートクラスタ証明書が参照作成の一部として入力された場合、XDCRは証明書の署名を解析およびチェックしませんでした。そのため、XDCRは無効な証明書を受け入れ、その証明書を使用してリモートクラスタへの今後の接続を確立しようとしました。これは修正されました。XDCRは証明書の有効性を徹底的にチェックするようになり、無効な証明書でリモートクラスタ参照が作成されないようになりました。

高い
(7.5)

Couchbaseサーバー

5.0.0

5.5.0

2018年6月

CVE-2019-11496

Couchbase Serverのバケット設定を編集すると、認証情報なしで認証できるようになります。

Couchbase Serverの5.0以前のバージョンでは、「default」という名前のバケットは、認証なしで読み取りと書き込みアクセスを許可する特別なバケットでした。5.0の一部として、"default "を含むすべてのバケットの動作は、十分な権限を持つ認証ユーザーのアクセスを許可するように変更されました。しかし、"default" バケツのプロパティが編集された場合、ユーザは認証されていない不正なアクセスを許可されていました。これは修正されました。

高い
(8.7)

Couchbaseサーバー

5.0.0

5.1.0
5.5.0

2017年12月

プラットフォーム

セルフマネジメント

サービス

能力

なぜCouchbaseなのか？

カペラへの移行

ユースケース別

業界別

アプリケーションの必要性

人気のドキュメント

開発者の役割別

クイックスタート

リソースセンター

について

パートナーシップ

サービス

パートナー案件登録

Couchbaseとの取引を登録する準備はできていますか？

マリオット

Couchbaseアラート

企業向けセキュリティ・アラート

建設開始

カペラを無料で利用

連絡先