PT-2021-21884 · Couchbase · Couchbase Server

Publicado 2021-11-02 · Atualizado 2021-11-08 · CVE-2021-37842

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Couchbase Server versão 7.0.0

Descrição:

O problema decorre do uso de texto não criptografado para armazenamento de informações confidenciais no metakv dentro do Couchbase Server. Especificamente, as credenciais do XDCR do Cluster Remoto podem vazar nos logs de depuração. Isso ocorre quando uma chave de configuração que está sendo registrada possui um carimbo de data/hora do tombstone purger anexado a ela. A limpeza de tombstones de chaves de configuração foi introduzida no Couchbase Server 7.0.0 como um recurso.

Recomendações:

Para o Couchbase Server versão 7.0.0, considere desativar o registro de chaves de configuração com carimbos de data/hora do tombstone purger para evitar o vazamento de credenciais do XDCR do Cluster Remoto nos logs de depuração. Restrinja o acesso aos logs de depuração para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-312

Identificadores relacionados

CVE-2021-37842

Produtos afetados

Couchbase Server

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2021-37842 · Nota de Segurança
• https://couchbase.com/alerts · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-37842 · Aviso do Fabricante
• https://t.me/cvenotify/22869 · Publicação no Telegram
• https://docs.couchbase.com/server/current/release-notes/relnotes.html · Aviso do Fabricante
• https://t.me/cibsecurity/31595 · Publicação no Telegram