Esta página lista os alertas e avisos críticos do Couchbase.
Mantenha-se informado sobre os alertas e avisos críticos mais recentes do Couchbase Server assinando nossas notificações de atualização. Para se inscrever, registre-se em nosso site de suporte e siga este artigo: Anúncios – Suporte Couchbase
Alertas de Segurança Empresarial
-
O carregamento do bucket de exemplo pode vazar senhas de usuários internos durante uma falha
Uma falha ao carregar um bucket de exemplo (beer-sample, gamesim-sample, travel-sample) pode vazar a senha do usuário administrador interno @ns_server para os logs (debug.log, error.log, info.log, reports.log). A conta @ns_server pode ser usada para realizar ações administrativas.
-
Python atualizado para a versão 3.9.12 para resolver um problema de negação de serviço
Uma falha foi encontrada no Python. Uma resposta HTTP tratada incorretamente no código do cliente HTTP do Python pode permitir que um invasor remoto, que controla o servidor HTTP, faça com que o script do cliente entre em um loop infinito, consumindo tempo de CPU. Esse problema afeta apenas clusters que usam o recurso de visualização para desenvolvedores, UDFs do Analytics.
-
O Couchbase Server vaza o cookie do Gerenciador do Cluster
Nas versões afetadas do Couchbase Server, o “cookie” do Erlang é passado por meio de um argumento de linha de comando para o ‘erl’ ao usar o comando ‘server-eshell’; isso expunha o “cookie” para todos que pudessem ler os argumentos do processo do ‘couchbase-cli’. O cookie deve permanecer secreto, pois pode ser usado para realizar tarefas administrativas no cluster.
-
XDCR – falta de verificação de função ao alterar configurações internas
Nas versões afetadas do Couchbase Server, as configurações internas do XDCR podem ser modificadas sem nenhuma autenticação.
-
As operações podem ser bem-sucedidas na coleção usando permissão RBAC desatualizada
Se uma função RBAC contiver uma permissão em nível de coleção (por exemplo, query_select[src:_default:Collection1]) e o nome da coleção for excluído e recriado no bucket, a permissão em nível de coleção ainda será válida. Isso permite que o usuário com a função acesse a coleção, mesmo que sua permissão devesse ter sido removida quando a coleção foi excluída.
-
couchbase-cli expõe a senha mestra do Gerenciamento de Segredos como um argumento de linha de comando
O couchbase-cli cria um processo Erlang de vida muito curta que possui a senha mestra como argumento de processo, o que significa que se alguém obtiver a lista de processos naquele momento, terá a senha mestra. Isso afeta apenas os clusters do Couchbase Server que utilizam o recurso de Gerenciamento de Segredos.