このページでは、Couchbaseの重要なアラートとアドバイザリを一覧表示します。
更新通知を購読することで、Couchbase Serverの最新の重要なアラートとアドバイザリに関する情報を入手できます。登録するには、当社のサポートサイトに登録し、この記事に従ってください： お知らせ – Couchbase サポート
エンタープライズセキュリティアラート
-
Apache Log4J の 2.15.0 へのアップデート
Couchbaseアナリティクスサービスで使用されているApache Log4Jユーティリティの重大な問題により、潜在的なリモートコード実行（RCE）および機密データの抽出を防ぐためのアップデートが必要です。.
-
Python cryptographyパッケージを3.3.2にアップデート
Couchbase Serverのコマンドラインツールなどで使用されているPython用のcryptographyパッケージの3.3.2未満のバージョンでは、数GBに及ぶ値を対称暗号化するためのupdate呼び出しの特定のシーケンスにより、そのツール内で整数オーバーフローおよびバッファオーバーフローが発生する可能性がありました。.
-
Pythonのurllib3を1.26.5以降にアップデート
Couchbase Serverのコマンドラインツールで使用される1.26.5未満のurllib3において、脆弱性が発見されました。これらのツールに認証情報コンポーネント内に多数の@文字を含むURLが渡された場合、認証情報の正規表現が catastrophic backtracking（カタストロフィック・バックトラッキング）を引き起こし、URLがパラメータとして渡された場合やHTTPリダイレクトによって転送された場合に、コマンドラインツールのサービス拒否（DoS）を引き起こします。.
-
バックトレースからのクラッシュエラーログで認証情報が露出しています
cbcollect_infoログの収集の一環として、Couchbase ServerはErlang VM内で実行されているすべてのプロセスのプロセス情報を収集します。この問題は、クラスターマネージャーがプラグイン可能なUI（クエリワークベンチなど）からのHTTPリクエストを特定のサービスに転送するときに発生します。バックトレースでは、HTTPリクエストに含まれるBasic認証ヘッダーに、UIリクエストを処理しているノードの「@」ユーザー資格情報が含まれています。この問題が発生するには、プラグイン可能なUIリクエストがクラスターマネージャーによって処理されているまさにその瞬間に、プロセス情報がトリガーされる必要があります。.
-
ログがXDCRのremoteClusterの認証情報をマスキングしていません
リモートクラスターのXDCR認証情報がデバッグログに流出する可能性があります。設定キーの墓石（tombstone）パージ機能は、Couchbase Server 7.0.0で追加されました。この問題は、ログに記録されている設定キーに墓石パージのタイムスタンプが付加されている場合に発生します。.
-
Sync GatewayがCouchbase Serverバケットの認証情報を安全ではない方法で保存しています
Sync Gateway が Couchbase Server 内でデータの読み書きに使用するバケットの認証情報が、バケットに書き込まれた同期ドキュメント内のメタデータに安全ではない状態で保存されていました。読み取りアクセス権を持つユーザーは、これらの認証情報を使用して書き込みアクセス権を取得する可能性がありました。この問題は、Sync Gateway が x.509 クライアント証明書で認証されているクラスターには影響しません。また、この問題は、Sync Gateway で共有バケットアクセスが有効になっていないクラスターにも影響しません。.