このページでは、Couchbaseの重要なアラートとアドバイザリを一覧表示します。
更新通知を購読することで、Couchbase Serverの最新の重要なアラートとアドバイザリに関する情報を入手できます。登録するには、当社のサポートサイトに登録し、この記事に従ってください： お知らせ – Couchbase サポート
エンタープライズセキュリティアラート
-
無効なRESTリクエストを受信した際、認証情報が漏洩します。.
Couchbase ServerのRESTエンドポイントが未知のリクエストを受信すると、そのリクエストはdebug.logおよびinfo.logにエラーとして記録されます。ログには、機密情報が伏せられていないBase64エンコードされた認証情報が含まれます。また、エラーメッセージはUIのログタブにも表示されます。.
-
Couchbase CLIで使用されているurllib3ライブラリをバージョン1.26.3にアップデートしました
Couchbase CLIによって使用されるPythonのrequestsライブラリ、そしてそれがさらに使用するPythonのurllib3ライブラリには、urllib3のバージョン1.24.2未満においてセキュリティ上の問題があります。このライブラリは、要求されるCA証明書のセットがOSのCA証明書のストアと異なる特定のケースを適切に処理できておらず、検証の失敗が正しい結果となる状況であってもSSL接続が成功してしまうという結果を招きます。.
-
アナリティクスサービスで使用されているApache HttpClientライブラリをバージョン4.5.13にアップデートする
Apache HttpClient（Couchbase Server Analytics Serviceで使用されているもの）のバージョン4.5.13および5.0.3より前のバージョンでは、ライブラリに渡されたリクエストURI内の不正な権限（オーソリティ）コンポーネントをjava.net.URIオブジェクトとして誤解釈し、リクエスト実行のための誤ったターゲットホストを選択する可能性があります。.
-
検索サービスで使用されている buger/jsonparser ライブラリをバージョン 1.1.1 にアップデートしました
buger/jsonparser（Go言語用JSONパーサ）ライブラリのセキュリティ上の問題により、攻撃者がCouchbase Serverの検索サービスでサービス拒否（DoS）を引き起こす可能性があります。.
-
監査対象のセッションIDが含まれていたアクションについて、機密解除された（そのままの）セッションクッキーが監査ログおよびdebug.logに出力されていました。
Couchbase Serverは、セッションIDを含む監査イベントが監査ログおよびdebug.logに記録される際、ユーザーの一時的なセッションCookieを記録していました。ログデータにアクセスできる攻撃者は、これを利用して認証済みユーザーなりすますことができました。.
-
ビューエンジンの監査条件が認証情報をログに漏洩させている
View Engineの監査が有効になっており、かつノード間暗号化が有効な場合に発生する稀な不具合です。Couchbase ServerがTLS経由の着信内部コマンド（ビューマージリクエスト）のリモートホスト名とポートを確認できない場合、管理者権限を持つ内部ユーザー「@ns_server」の難読化されていないBase64エンコードされた認証情報を含むエラーがログに記録されます。 一時的な回避策として、アップグレードを実行できるまで、View Engineの監査またはノード間暗号化を無効にしてください。.