이 페이지에는 Couchbase에 대한 중요 알림 및 권고가 나열되어 있습니다.
업데이트 알림을 구독하여 Couchbase Server에 대한 최신 중요 경고 및 권고에 대한 정보를 받아보세요. 가입하려면 지원 사이트에서 등록하고 이 문서를 따르세요: 공지사항 – Couchbase 지원
기업 보안 경고
-
얼랑 쿠키는 취약한 난수 시드를 사용합니다.
노드 간 통신에 사용되는 쿠키가 안전하게 생성되지 않았습니다. Couchbase Server는 PRNG 시드 생성에 erlang:now()를 사용하며, 이로 인해 잠재적인 난수 시드의 검색 공간이 작아져 쿠키를 무차별 대입(brute force)하고 원격 시스템에 대해 코드를 실행하는 데 악용될 수 있습니다. 인식 애플 보안 팀
-
프로젝터 및 인덱서 REST 엔드포인트에 인증이 필요하지 않았습니다.
프로젝터 프로세스에 의해 노출되는 /settings REST 엔드포인트는 관리자가 구성 업데이트 및 성능 프로필 수집과 같은 다양한 작업에 사용할 수 있는 엔드포인트입니다. 이 엔드포인트는 인증되지 않은 상태였으나, 이제 인증된 사용자만 이러한 관리 API에 접근할 수 있도록 업데이트되었습니다. 인식 애플 보안 팀
-
3천 개를 초과하는 ‘t’ 문자가 포함된 JSON 문서는 인덱서 크래시를 유발합니다.
보조 색인은 collatejson을 사용하여 색인화할 항목을 인코딩합니다. 색인 항목에 특정 문자(예: t, , 등)가 포함된 경우, 인코딩된 문자열이 예상보다 훨씬 커져서 버퍼 오버런이 발생하고, 이로 인해 색인기 서비스가 중단되었다가 재시작되는 현상이 발생했습니다. 이 문제는 이제 어떤 입력에 대해서도 버퍼가필요에 따라 항상 증가하도록 수정되었습니다. 인식 디트러스트 유한회사
-
XDCR은 원격 클러스터 인증서를 검증하지 않습니다.
원격 클러스터 참조 생성 과정에서 유효하지 않은 원격 클러스터 인증서가 입력되었을 때, XDCR이 인증서 서명을 구문 분석하고 확인하지 않는 문제가 있었습니다. 이로 인해 유효하지 않은 인증서가 수락되었고, 향후 원격 클러스터와의 연결을 설정하는 데 사용되려고 시도했습니다. 이 문제가 해결되었습니다. 이제 XDCR은 인증서의 유효성을 철저히 확인하여 유효하지 않은 인증서로는 원격 클러스터 참조가 생성되는 것을 방지합니다.
-
Couchbase 서버에서 버킷 설정을 편집하면 자격 증명 없이 인증할 수 있습니다.
Couchbase Server 5.0 이전 버전에서는 “default”라는 이름의 버킷이 인증 없이 읽기 및 쓰기 접근을 허용하는 특별한 버킷이었습니다. 5.0 버전의 일환으로, “default”를 포함한 모든 버킷의 동작이 변경되어 충분한 권한을 가진 인증된 사용자만 접근할 수 있게 되었습니다. 그러나 이 버킷의 속성을 편집한 경우 사용자가 “default” 버킷에 인증 및 권한 확인 없이 접근할 수 있는 문제가 있었습니다. 이 문제가 해결되었습니다.