Couchbaseアラート

特定のまれなクラッシュにより、生成された証明書の秘密鍵がログファイルに漏洩する可能性があります。.

Sync GatewayがX.509クライアント証明書を使用してCouchbase Serverとの認証を行うように設定されている場合、Admin REST APIに提供された管理者資格情報は無視され、認証されていないユーザーの特権昇格につながります。Public REST APIはこの問題の影響を受けません。 回避策：ブートストラップ設定内のX.509証明書ベースの認証を、ユーザー名とパスワードによる認証に置き換えてください。.

認証されていないユーザーがクラスターマネージャーに対してREST API呼び出しを実行できます。クラスターマネージャーによってまだ処理されていないHTTPリクエストはそれぞれ、新しいメトリックの作成につながります。新しいメトリックはそれぞれメモリとディスクスペースを消費するため、メモリリークやディスクスペースリークを引き起こす可能性があります。十分なリソースが消費されると、Couchbase Serverノード障害の原因となる可能性があります。.

インデックスサービスは、Queryport、Dataport、Adminportといういくつかのネットワークプロセスを実行します。これらは他のCouchbaseサービスとの通信に使用されます。これらのプロセスはノード間の通信に関与しますが、SDKアプリケーションとは直接通信しません。影響を受けるバージョンのCouchbase Serverでは、これらのネットワークプロセスは認証を強制しないため、認証されていないユーザーによって送信されたリクエストを処理します。 Queryportサーバーは、認証されていないユーザーに対してインデックススキャン結果を返すことができます。 Dataportサーバーは、認証されていないユーザーによるインデックスデータの変更を許可する可能性があります。 Adminportサーバーは、認証されていないユーザーによるDDL操作（インデックスの作成や削除など）の実行を許可する可能性があります。 回避策の可能性：これらのポートはCouchbase Serverによる内部通信のみに使用されるため、Couchbase Server以外のノードおよびプロセスとの接続／通信は、ネットワーク層で無効化することができます。.

diag/eval などの診断エンドポイントは制限されており、ループバックネットワークからのみ実行可能です。しかし、CVE-2018-15728 に対処するために実装されたチェック機能は、「X-Forwarded-For」ヘッダーにループバックアドレスが含まれているかどうかを正しく検証しません。このヘッダーを操作することで、ループバックの制限を回避することができます。 この脆弱性は、RFC6890 に従い、プライベートネットワークおよび共有アドレススペースから発信されたリクエストに限定されます。 これらのエンドポイントに対してリクエストを正常に発行するには、使用される「X-Forwarded-For」ヘッダーに関係なく、ユーザーに完全な管理者権限が必要です。 この問題の回避策として、「X-Forwarded-For」ヘッダーが含まれるリクエストが不要な環境では、Couchbase Server ノードへのリクエストをファイアウォールでブロックすることが挙げられます。. 認識 ムカヒト・カラダグ / PRODAFT

クラスターノードの追加作業中に、クラスターマネージャー（ns_server）がクラッシュすると、秘密鍵がログファイルに漏洩する可能性があります。ログファイルにアクセスできるユーザーは、クラスターへの安全なネットワーク接続を復号できる可能性があります。TLSが使用されている場合、クラスターにログインするユーザーやアプリケーションの資格情報が取得される可能性があります。.