Couchbaseアラート

このページでは、Couchbaseの重要なアラートとアドバイザリを一覧表示します。

更新通知を購読することで、Couchbase Serverの最新の重要なアラートとアドバイザリに関する情報を入手できます。登録するには、当社のサポートサイトに登録し、この記事に従ってください： お知らせ – Couchbaseサポート

エンタープライズセキュリティアラート

  • Erlang Cookie は弱いランダムなシードを使用します。.

    ノード間の通信に使用される Cookie は安全に生成されていません。Couchbase Server は erlang:now() を使用して PRNG をシードします。その結果、ランダムなシード候補の検索領域が小さくなり、それを使用して Cookie を強制的に読み取り、リモートシステムに対してコードを実行できるようになります。. 承認： Apple セキュリティチーム

    商品：

    Couchbase Server

    影響：

    高い（7.9）

    影響を受けるバージョン：

    5.1.1

    修正バージョン：

    6.0.0

    CVE:

  • プロジェクターおよびインデックス作成エンドポイントの REST エンドポイントは認証は必要ありませんでした。.

    プロジェクタープロセスによって公開される /settings REST エンドポイントは、設定の更新やパフォーマンスプロファイルの収集など、さまざまなタスクに使用できるエンドポイントです。このエンドポイントは認証が解除されており、認証済みユーザーのみがこれらの管理APIにアクセスできるよう更新されました。. 承認： Apple セキュリティチーム

    商品：

    Couchbase Server

    影響：

    高い（7.6）

    影響を受けるバージョン：

    5.5.1,
    5.5.0,
    5.0.1,
    5.0.0,
    4.6.x,
    4.5.x,
    4.1.x,
    4.0.x

    修正バージョン：

    6.5.0,
    6.0.0,
    5.5.2,
    5.1.2

    CVE:

  • 3,000文字を超える「t」文字を含むJSONドキュメントがインデックスャーをクラッシュさせる。.

    セカンダリインデックスは collatejson を使用してインデックス化されるエントリをエンコードします。 t や , などの特定の文字を含むエントリがある場合、エンコードされた文字列は計算されたサイズよりもはるかに大きくなるため、インデックスサービスがクラッシュして再起動する恐れがありました。この問題は修正され、入力のサイズに応じて常にバッファのサイズが拡大されるようになっています。. 承認： D-Trust GmbH

    商品：

    Couchbase Server

    影響：

    中級（5.8）

    影響を受けるバージョン：

    5.5.0,
    4.6.3

    修正バージョン：

    5.1.2,
    5.5.2

    CVE:

  • XDCRはリモートクラスター証明書を検証しません。.

    参照作成の一部として無効なリモートクラスター証明書が入力された場合、XDCRは証明書の署名を解析および確認しませんでした。その後、その無効な証明書を受け入れ、将来のリモートクラスターへの接続確立に使用しようとしました。この問題は修正されました。XDCRは今や証明書の有効性を徹底的にチェックし、無効な証明書でリモートクラスターの参照を作成されるのを防ぎます。.

    商品：

    Couchbase Server

    影響：

    高い（7.5）

    影響を受けるバージョン：

    5.0.0

    修正バージョン：

    5.5.0

    CVE:

  • Couchbase Serverでのバケット設定の編集により、認証情報なしでも認証が可能になります。.

    Couchbase Server の 5.0 以前のバージョンでは、名前が “default” のバケットは認証なしで読み取りおよび書き込みアクセスが可能な特別なバケットでした。5.0 の一部として、“default” を含むすべてのバケットの動作は、認証されたユーザーのみが十分な権限を持つ状態でアクセスできるように変更されました。ただし、このバケットのプロパティを編集することで、認証されていないユーザーや権限のないユーザーが“default” バケットへのアクセスが可能になりました。この問題は修正されました。.

    商品：

    Couchbase Server

    影響：

    高い（8.7）

    影響を受けるバージョン：

    5.0.0

    修正バージョン：

    5.1.0,
    5.5.0

    CVE:

データベースの膨大なサイズを過去のものとしておく

スタックの追加ごとに新たな請求書が発生し、管理するものがさらに増えます。2分でどれだけの節約ができるかを試算してください。.

今すぐ計算する