PT-2021-23987 · Couchbase · Couchbase Server+1

Publicado 2021-12-07 · Atualizado 2021-12-09 · CVE-2021-43963

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Couchbase Sync Gateway, versões 2.7.0 a 2.8.2

Descrição:

Foi descoberta uma falha em que as credenciais do bucket usadas para ler e gravar dados no Couchbase Server estavam sendo armazenadas de forma insegura nos metadados dentro dos documentos de sincronização gravados no bucket. Usuários com acesso de leitura poderiam usar essas credenciais para obter acesso de gravação. Essa falha não afeta clusters nos quais o Sync Gateway é autenticado com certificados de cliente X.509 ou nos quais o acesso compartilhado ao bucket não está habilitado no Sync Gateway.

Recomendações:

Para as versões 2.7.0 a 2.8.2 do Couchbase Sync Gateway, considere desativar o acesso compartilhado ao bucket ou autenticar-se com certificados de cliente X.509 como uma solução temporária para minimizar o risco de exploração. Restrinja o acesso aos metadados nos documentos de sincronização para impedir que usuários com acesso de leitura obtenham acesso de gravação.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2021-43963

Produtos afetados

Couchbase Server

Couchbase Sync Gateway

Referências · 5

• https://t.me/cvenotify/24369 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-43963 · Nota de Segurança
• https://t.me/cibsecurity/33538 · Publicação no Telegram
• https://couchbase.com/alerts · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-43963 · Aviso do Fabricante