Alertas do Couchbase

Atualizado o openssl para corrigir uma falha em um componente do openssl, o c_rehash. Este script escaneia diretórios e obtém um valor hash de cada arquivo .pem e .crt no diretório. Em seguida, ele cria links simbólicos para cada um dos arquivos nomeados pelo valor hash. Ele tem uma falha que permite a injeção de comandos no script.

Uma vulnerabilidade de segurança foi identificada no Sync Gateway que, em certas situações, resultou na divulgação não intencional de credenciais associadas à coleta de logs para suporte. Isso afetou o conjunto de credenciais usadas para iniciar o processo de coleta de logs. Recomendamos a atualização para o Sync Gateway 3.2.6, que corrige esse problema, e a rotação de quaisquer credenciais que foram usadas para iniciar a coleta de logs durante o período afetado.

Nas versões .NET SDK 3.7.1 e anteriores, a verificação do nome do host para certificados TLS não era aplicada corretamente em todos os casos.

Uma falha foi descoberta nas APIs de Criptografia Java do Bouncy Castle antes da versão 1.78. Um loop infinito no código de verificação Ed25519 pode ocorrer através de uma assinatura e chave pública criadas de forma maliciosa.

Esta vulnerabilidade é difícil de explorar, mas permite que um invasor não autenticado com acesso à rede por meio de vários protocolos comprometa potencialmente os produtos afetados. A exploração bem-sucedida pode resultar em atualizações, inserções ou exclusões não autorizadas de dados acessíveis, bem como acesso de leitura não autorizado a determinados subconjuntos de dados.

Uma falha de segurança foi descoberta no Couchbase Server para Windows que poderia permitir acesso não autorizado a arquivos sensíveis no sistema. Dependendo do nível de privilégios, esta vulnerabilidade pode conceder acesso a arquivos como /etc/passwd ou /etc/shadow.