Esta página lista os alertas e avisos críticos do Couchbase.
Mantenha-se informado sobre os alertas e avisos críticos mais recentes do Couchbase Server assinando nossas notificações de atualização. Para se inscrever, registre-se em nosso site de suporte e siga este artigo: Anúncios – Suporte Couchbase
Alertas de segurança da Enterprise
-
O cookie Erlang utiliza uma semente aleatória fraca.
O cookie utilizado para comunicação intra-node não foi gerado de forma segura. O Couchbase Server utiliza o erlang:now() para gerar o PRNG, o que resulta em um pequeno espaço de busca para possíveis sementes aleatórias que podem então ser usadas para força bruta no cookie e execução de código em um sistema remoto. Reconhecimento: Equipe de Segurança da Apple
-
Os endpoints REST para projetor e indexador não exigiam autenticação.
O endpoint REST /settings exposto pelo processo do projetor é um endpoint que os administradores podem usar para diversas tarefas, como atualizar a configuração e coletar perfis de desempenho. Esse endpoint não possui autenticação e foi atualizado para permitir que apenas usuários autenticados acessem essas APIs administrativas. Reconhecimento: Equipe de Segurança da Apple
-
Um documento JSON com >3k de caracteres ‘t’ causa um crash no indexador.
A indexação secundária codifica as entradas a serem indexadas usando o collatejson. Quando as entradas de índice contêm certos caracteres, como t e , isso causa um excedente de buffer, pois a string codificada seria muito maior do que o previsto, causando o crash do serviço de indexação e sua reinicialização. Isso foi corrigido agora para garantir que o buffer cresça sempre conforme necessário para qualquer entrada. Reconhecimento: D-Trust GmbH
-
O XDCR não valida um certificado de cluster remoto.
Quando um certificado de cluster remoto inválido foi inserido como parte da criação da referência, o XDCR não analisou e verificou a assinatura do certificado. Em seguida, ele aceitou o certificado inválido e tentou usá-lo para estabelecer futuras conexões com o cluster remoto. Isso foi corrigido. O XDCR agora verifica a validade do certificado com atenção e impede que uma referência de cluster remoto seja criada com um certificado inválido.
-
A edição das configurações do bucket no Couchbase Server permite a autenticação sem credenciais.
Nas versões do Couchbase Server anteriores à 5.0, o bucket chamado “default” era um bucket especial que permitia acesso de leitura e escrita sem autenticação. Como parte da versão 5.0, o comportamento de todos os buckets, incluindo o “default”, foi alterado para permitir apenas acesso por usuários autenticados com autorização suficiente. No entanto, os usuários ainda podiam acessar o “default” sem autenticação e sem autorização, se as propriedades desse bucket fossem editadas. Isso foi corrigido.