このページでは、Couchbaseの重要なアラートとアドバイザリを一覧表示します。
更新通知を購読することで、Couchbase Serverの最新の重要なアラートとアドバイザリに関する情報を入手できます。登録するには、当社のサポートサイトに登録し、この記事に従ってください： お知らせ – Couchbase サポート
エンタープライズセキュリティアラート
-
サンプルバケットの読み込み時に、障害発生へ乗じて内部のユーザーパスワードが漏洩するおそれがあります
サンプルバケット（beer-sample、gamesim-sample、travel-sample）の読み込み中の障害により、内部の @ns_server 管理者ユーザーのパスワードがログ（debug.log、error.log、info.log、reports.log）に漏洩する可能性があります。@ns_server アカウントは、管理操作を実行するために使用される可能性があります。.
-
サービス拒否（DoS）の問題に対処するため、Pythonが3.9.12にアップデートされました
Pythonに脆弱性が発見されました。PythonのHTTPクライアントコードにおける不適切なHTTP応答の処理により、HTTPサーバーを制御するリモート攻撃者がクライアントスクリプトを無限ループに陥れ、CPU時間を消費させる可能性があります。この問題は、開発者プレビュー機能であるAnalytics UDFを使用しているクラスターにのみ影響します。.
-
Couchbase Serverがクラスターマネージャーのクッキーを漏洩する
影響を受けるバージョンのCouchbase Serverでは、「server-eshell」コマンドを使用する際、Erlangの「クッキー」がコマンドライン引数を介して「erl」に渡されていました。これにより、「couchbase-cli」のプロセス引数を読み取ることができるすべてのユーザーに「クッキー」が漏洩していました。クッキーはクラスタ内で管理タスクを実行するために使用されるため、秘密にしておく必要があります。.
-
XDCR – 内部設定の変更時にロールチェックがありません
影響を受けるバージョンのCouchbase Serverでは、認証なしでXDCRの内部設定を変更することができます。.
-
古くなったRBAC権限を使用してコレクションに対する操作が成功する場合があります
RBACロールにコレクションレベルの権限（例: query_select[src:_default:Collection1]）が含まれており、そのコレクション名がバケット内で削除されてから再作成された場合でも、コレクションレベルの権限は有効なままになります。これにより、コレクションが削除された際に本来削除されるべきであった権限を持たないはずのユーザーでも、そのコレクションにアクセスできるようになります。.
-
couchbase-cliはSecrets Managementのマスターパスワードをコマンドライン引数として漏洩させる
couchbase-cli は、マスターパスワードをプロセス引数として持つ非常に短命な Erlang プロセスを生成します。つまり、そのタイミングでプロセスリストを取得したユーザーがいれば、マスターパスワードを見られてしまうということです。これは、シークレット管理機能を利用している Couchbase Server クラスターにのみ影響します。.