Esta página lista os alertas e avisos críticos do Couchbase.
Mantenha-se informado sobre os alertas e avisos críticos mais recentes do Couchbase Server assinando nossas notificações de atualização. Para se inscrever, registre-se em nosso site de suporte e siga este artigo: Anúncios – Suporte Couchbase
Alertas de segurança da Enterprise
-
Até a versão core-io 1.7.11 (e como consequência do Java SDK 2.7.11), a verificação do nome do host nas conexões TLS/SSL não é habilitada e pode representar um risco de segurança em determinados ambientes.
O Java 6 (JDK 1.6 – a versão básica do SDK mais antiga) não suportava a verificação do nome do host imediatamente. Uma vez que o SDK passou para o Java 7 (Java 1.7), era possível adicionar suporte. Isso aconteceu no jvm-core 1.7.11 (que corresponde ao java-client 2.7.11). Em versões anteriores, não era possível adicionar manualmente esse recurso como solução alternativa, pois as funcionalidades necessárias para personalizar adequadamente não estavam disponíveis. Note que, para não comprometer aplicativos que dependem do comportamento antigo, a verificação do nome do host ainda é desativada por padrão, mas pode ser ativada na configuração do SDK (classe CouchbaseEnvironment).
-
O porto 8092 não possui cabeçalho de proteção X-XSS.
Algumas empresas exigem que os endpoints da API REST incluam cabeçalhos relacionados à segurança nas respostas REST. Cabeçalhos como X-Frame-Options e X-Content-Type-Options são geralmente recomendados, no entanto, alguns profissionais de segurança da informação também buscam X-Permitted-Cross-Domain-Policies e X-XSS-Protection, que são mais geralmente aplicáveis aos endpoints HTML, para incluí-los também. Esses cabeçalhos estão agora incluídos nas respostas da API REST do Couchbase Server Views (porta 8092).
-
Evitar a injecção do N1QL no Sync Gateway através do _all_docs startkey e endkey.
Um invasor com acesso à API REST pública do Sync Gateway foi capaz de emitir declarações adicionais do N1QL e extrair dados confidenciais ou executar funções N1QL arbitrárias através dos parâmetros “startkey” e “endkey” no endpoint “_all_docs”. Ao emitir consultas aninhadas com operações intensivas em CPU, eles podem ter conseguido aumentar o uso de recursos e causar condições de negação de serviço. O endpoint “_all_docs” não é necessário para a replicação do Couchbase Mobile e o acesso externo a esse endpoint REST foi bloqueado para mitigar esse problema. Reconhecimento: Denis Werner/HiSolutions AG
-
O comando stat block da Memcached “connections” emite o nome de usuário não censurado.
As informações de sistema enviadas à Couchbase como parte de um relatório de bug incluíam os nomes de usuário de todos os usuários que estavam atualmente conectados ao sistema, mesmo que o registro tenha sido retalhado para proteger a privacidade. Este problema foi solucionado para que os nomes de utilizador sejam marcados corretamente nos logs e sejam hashados quando os logs forem redigidos.
-
O endpoint de depuração do Eventing deve exigir autenticação.
O serviço de eventing exibe um perfil de diagnóstico do sistema através de um endpoint HTTP que não exige credenciais em uma porta destinada apenas ao tráfego interno. Isso foi corrigido e agora exige credenciais válidas para acesso.
-
O endpoint /diag/eval não está restrito ao localhost.
O Couchbase Server expôs o endpoint ‘/diag/eval’, que, por padrão, está disponível nos protocolos TCP/8091 e/ou TCP/18091. Atestado utilizadores que têm ‘Administrador completo‘O comando atribuído poderia enviar código Erlang arbitrário ao endpoint ‘diag/eval’ da API, e o código seria executado posteriormente no sistema operacional subjacente com os privilégios do usuário que iniciou o Couchbase. Reconhecimento: Equipe de Segurança da Apple