Couchbaseアラート

Couchbaseアナリティクスサービスでオプションとして使用されるようなParquetファイルに、ファイルページヘッダー内に不適切な値（正の値が期待されるところに負の値があるなど）が含まれる悪意のあるファイルを使用することで、攻撃者はサービス拒否（DoS）を引き起こす可能性があります。これは、Apache Parquetライブラリを新しいバージョンにアップデートすることで解決されます。.

js-beautifyには、既知の脆弱性を持つ依存関係であるMinimistが含まれています。Minimist 1.2.5以下は、ファイルindex.jsの関数setKey()（69〜95行目）におけるプロトタイプ汚染（Prototype Pollution）に対して脆弱です。プロトタイプ汚染攻撃により、入力検証のバイパスや予期しないJavaScriptの実行を引き起こすことが可能になります。.

Ramda 0.27.0およびそれ以前のバージョンでは、関数に細工されたオブジェクト（独自のプロパティ「{}proto{}」を含む）を引数として渡すことで、アプリケーションの整合性や可用性が損なわれる脆弱性（プロトタイプ汚染として知られる）が存在します。プロトタイプ汚染型の攻撃により、入力値検証のバイパスや予期しないJavaScriptの実行を引き起こすことが可能になります。.

Couchbase Server 7.1.0以降では、暗号化されたTLS秘密鍵をロック解除するためにCouchbase Serverにパスフレーズを提供することが可能です。このパスフレーズが、データサービス以外のCouchbaseサービスの起動時に、Base64エンコードされた文字列としてログファイルに漏洩していることが判明しました。これは、オプションの暗号化TLS鍵機能を使用している場合、インデックスサービス、クエリサービス、アナリティクスサービス、バックアップサービス、およびイベントサービスに影響します。なお、中間者攻撃の実行やネットワーク通信の復号などの攻撃を行うには、攻撃者が秘密鍵だけでなくログにもアクセスできる必要があることに注意してください。これらのファイルへのアクセスを制限するオペレーティングシステムの保護機能を使用することが、効果的な緩和策となります。.

jackson-databindの2.13.0未満では、入れ子になったオブジェクトの深さが大きいことに起因するJavaのStackOverflow例外およびサービス拒否（DoS）が発生する可能性があります。このライブラリは、Couchbase Server Analytics Serviceによって使用されています。.

複数のCouchbase Serverサービスで使用されているGoプログラミング言語および関連ライブラリを、多数のCVEを解決するためにバージョン1.17.9+または1.18.1+にアップデートしました。.