このページでは、Couchbaseの重要なアラートとアドバイザリを一覧表示します。
更新通知を購読することで、Couchbase Serverの最新の重要なアラートとアドバイザリに関する情報を入手できます。登録するには、当社のサポートサイトに登録し、この記事に従ってください： お知らせ – Couchbase サポート
エンタープライズセキュリティアラート
-
N1QL共通表式（CTE）のアクセス制御が正しく処理されていなかった
共通テーブル式（CTE）を使用するN1QLクエリがRBAC（ロールベースアクセス制御）セキュリティ制御を正しく適用せず、必要な権限を持たないユーザーに読み取りアクセス権を付与してしまっていました。.
-
管理者の特権を持つ内部ユーザーである @ns_server が、cbcollect_info.log、debug.log、ns_couchdb.log、indexer.log、および stats.log ファイル内に認証情報を平文で漏洩させています。.
この問題の影響を受けるバージョンでクラスターからエクスポートされたログについては、手動で黒塗り（機微情報の削除）を行うよう注意してください。クラスターをアップグレードすると、今後のログエントリに @ns_server パスワードが自動的に表示されないようになります。.
-
露出したErlangクッキーはリモートコード実行（RCE）攻撃につながる可能性があります。.
Erlangノード間の通信は、共有秘密鍵（別名「マジッククッキー」）の交換によって行われます。ログの内容にこのマジッククッキーが含まれている場合があります。攻撃者はこのクッキーを利用してErlangノードに接続し、そのErlangノードが動作しているシステム上でOSレベルのコマンドを実行することが可能です。. 認識 EYイスラエルのアドバンスト・セキュリティ・センターのセキュリティ研究者、オフィール・ハマム
-
Couchbase Serverは、認証されていないリクエストに対してWWW-Authenticateレスポンスを返します。.
サーバーのREST APIは、認証されていないリクエストに対して{{WWW-Authenticate}}ヘッダーで応答し、ユーザーがウェブブラウザー上のユーザー名/パスワードダイアログを介して認証できるようにします。問題は、これらの認証情報がブラウザーにキャッシュされるため、管理者がブラウザーを使用してREST APIリクエストの結果を確認した場合に、ハッカーがCSRFを使用してクラスターを攻撃できることです。 この動作は、couchbase-cli（couchbase-cli setting-security –set –disable-www-authenticate 1 -c localhost:8091 -u -p）を使用して無効にすることができます。既存のツールやスクリプトを破損させる可能性があるため、デフォルトでは無効になっていません。. 認識 アップルセキュリティチーム
-
クラスター管理およびビューのエンドポイントは、低速な接続をより積極的に切断しないため、「Slowloris」サービス拒否攻撃に対して脆弱です。.
スロローリスは、攻撃者が定期的に追加のヘッダーを送信し、決して終了しないリクエストを送信することによって、ターゲットのウェブエンドポイントをダウンさせるサービス妨害攻撃の一種です。HTTPヘッダーの受信タイムアウトを短縮することは、この攻撃に対する効果的な軽減策であり、これはクラスター管理およびビューのRESTエンドポイントで採用されているアプローチです。.
-
Angular 1.6.9へのアップグレードのためのFTS UI
全文検索のユーザーインターフェースは、既知の重大なセキュリティ脆弱性が存在する AngularJS 1.4.7 を使用しています。これらの AngularJS ライブラリは、これらの脆弱性に対処したより新しいバージョンの Angular にアップデートされました。.