このページでは、Couchbaseの重要なアラートとアドバイザリを一覧表示します。
更新通知を購読することで、Couchbase Serverの最新の重要なアラートとアドバイザリに関する情報を入手できます。登録するには、当社のサポートサイトに登録し、この記事に従ってください： お知らせ – Couchbase サポート
エンタープライズセキュリティアラート
-
golang.org/x/text パッケージを 0.3.4 以降にアップデートしてください
golang.org/x/text/encoding/unicode パッケージには、UTF-16 デコーダが無限ループに陥り、プログラムのクラッシュやメモリ枯渇を引き起こす可能性のある脆弱性があります。.
-
バックアップサービスのログに、修正（黒塗り）されていないユーザー名とドキュメントIDが漏洩している
バックアップサービスが監査メッセージの記録に失敗した場合、監査ログデータが修正（マスキング）されないまま backup_service.log に漏洩します。.
-
アナリティクス・リモート・リンクは、TLSポートを特定するために一時的に非TLS接続にダウングレードする場合があります。
encryption=fullが設定されたアナリティクス・リモート・リンクのTLS接続の確立に失敗した場合、ランタイムはSCRAM-SHA認証を使用してリモートクラスターへの非TLS接続を試行することにより、（デフォルトではない）TLSポートの検出を試みる動作をしていました。SCRAM-SHAを使用している場合でも認証情報が共有されることはありませんが、TLS接続を指定した規定の暗号化レベルをシステムがダウングレードすることは想定されていない可能性があります。このフォールバック機構は削除され、初期のTLS接続の確立に失敗した場合、リンク設定の一部として正しいTLSポートが提供されるまで、CONNECT LINKは単純に失敗するようになります。.
-
アナリティクスサービスのログ出力されるバリデーションメッセージ内で、フィールド名がマスキングされていません
Couchbase Server Analytics Serviceでセカンダリインデックスを作成する際、インデックス化されたフィールドに対するいくつかのバリデーションが行われ、これらはユーザーに報告およびログ記録されます。コードASX0013のエラーメッセージは、重複するフィールド名があることを報告およびログ記録するために複数のパスで使用されます。これらのログに記録されたバリデーションメッセージ内のフィールド名はマスキングされません。また、コードASX1079のエラーにも、マスキングされていないフィールド名が含まれています。.
-
信頼できないノードの追加を悪用して、クラスタのシークレットを盗み出すことが可能である
管理者がクラスタに信頼できないノードを追加すると、秘密にしておくべきクラスタクッキーが意図せず送信されてしまうリスクが生じる可能性があります。 この問題に対処するには、認証局（CA）が署名した証明書を使用したTLS暗号化を導入します。TLSを使用する場合、Couchbase Server バージョン7.1.0以降では、接続先のノードに信頼された証明書が存在する必要があります。. 認識 EYイスラエルのアドバンスト・セキュリティ・センターのセキュリティ研究者、オフィール・ハマム
-
Kubernetes環境から収集されたログで機密情報がマスキングされていない
Couchbase Operator 2.2.0 では、ログ収集を簡素化する最適化が導入されました。ログを収集する際、サポートツール「cbopinfo」を使用して、意図されたリソースの状態や現在のリソースの状態を把握するために必要な Kubernetes リソースを収集します。 影響を受けるバージョン以前では、シークレットデータはマスキングされていましたが、この機能は新しい収集方法では維持されませんでした。その結果、ログ収集の範囲内にあるパスワード、トークン、秘密鍵などが誤ってログに含まれることになっていました。 デフォルトでは、この範囲は調査対象の Couchbase Server クラスタが存在する Kubernetes ネームスペースに限定されます。ただし、–system フラグが指定された場合は例外となり、その場合はプラットフォーム上のすべてのシークレットが公開されてしまいます。 ログはお客様の問題の特定および解決に使用されるため、影響を受けるのは、指定されたツールバージョンを使用してログを提供したお客様のみとなります。Couchbaseは、提供された影響を受けるすべてのログについて、機密情報が適切に伏せられるよう確保します。.