Известные проблемы с Apigee

When the cachehit flow variable is used after the LookupCache policy, due to the way debug points are dispatched for asynchronous behavior, the LookupPolicy populates the DebugInfo object before the call back has executed, resulting in an error.

Workaround: Repeat the process (make second call) again right after the first call.

Setting PurgeChildEntries in the InvalidateCache policy should purge the KeyFragment element values only but clears the entire cache.

Workaround: Use the KeyValueMapOperations policy to iterate cache versioning and bypass the need for cache invalidation.

This can happen, for example, when concurrent runs of a CI/CD deployment pipeline occur using different revisions. To avoid this problem, avoid deploying API proxies or SharedFlows before the current deployment is complete.

Workaround: Avoid concurrent API proxy or SharedFlow deployments.

Edge API Analytics can sometimes contain duplicate data for API calls. In that case the counts shown for API calls in Edge API Analytics are higher than the comparable values shown in third-party analytics tools.

Workaround: Export the analytics data and use the gateway_flow_id field to de-duplicate the data.

When you connect an organization to an identity zone, you can no longer access the Edge SSO Zone Administration page from the left navigation bar by selecting Admin > SSO.

Workaround: Navigate to the page directly using the following URL: https://apigee.com/sso

The options TLS_DISABLED_ALGO and TLS_ENABLED_CIPHERS do not function correctly.

Workaround: Follow the steps below to enable specific ciphers for the Edge UI:

1. Open the /opt/apigee/etc/edge-ui.d/SSL.sh config file.
2. Add the property -Djdk.tls.server.cipherSuites with a comma-separated list of cipher suites in IANA notation inside the UI_OPTIONS. For example:

   UI_OPTIONS=" -Dhttp.port=disabled -Dhttps.port=9433 -Dhttps.keyStoreType=JKS -Dhttps.keyStore=/opt/apigee/customer/conf/keystore.jks -Dplay.http.sslengineprovider=services.CustomSSLEngineProvider -Dhttps.keyStorePasswordEncrypted=mypass -Djdk.tls.server.cipherSuites=TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384"

3. Save your changes to the config file.
4. Restart the Edge UI:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

• Apigee Edge supports OpenAPI Specification 3.0 when you create specifications using the spec editor and publish APIs using SmartDocs on your portal, though a subset of features are not yet supported.

  For example, the following features from the OpenAPI Specification 3.0 are not yet supported:

  • allOf properties for combining and extending schemas
  • Remote references

  If an unsupported feature is referenced in your OpenAPI Specification, in some cases the tools will ignore the feature but still render the API reference documentation. In other cases, an unsupported feature will cause errors that prevent the successful rendering of the API reference documentation. In either case, you will need to modify your OpenAPI Specification to avoid use of the unsupported feature until it is supported in a future release.

  Note: Because the spec editor is less restrictive than SmartDocs when rendering API reference documentation, you may experience different results between the tools.

• When using Try this API in the portal, the Accept header is set to application/json regardless of the value set for consumes in the OpenAPI Specification.
• 138438484: Multiple servers are not supported.

• Simultaneous portal updates (such as page, theme, CSS, or script edits) by multiple users is not supported at this time.
• If you delete an API reference documentation page from the portal, there is no way to recreate it; you'll need to delete and re-add the API product, and regenerate the API reference documentation.
• When configuring the content security policy, it may take up to 15 minutes for changes to fully apply.
• When customizing your portal theme, it may take up to 5 minutes for changes to fully apply.

• Search will be integrated into the integrated portal in a future release.

Была обнаружена уязвимость ( CVE-2026-42945 ), затрагивающая модуль ngx_http_rewrite_module в NGINX. Инструменты сканирования безопасности могут пометить исполняемые файлы NGINX, входящие в состав Apigee Edge for Private Cloud, как уязвимые, поскольку этот модуль статически скомпилирован в NGINX.

Влияние на Apigee Edge для частного облака:

В стандартной конфигурации Apigee Edge for Private Cloud эта уязвимость не затрагивается . Возможность использования уязвимости CVE-2026-42945 зависит от определенных шаблонов конфигурации NGINX, в частности, от использования директивы rewrite в определенной последовательности. Эти шаблоны отсутствуют в стандартных конфигурациях NGINX Apigee Edge for Private Cloud.

Необходимые действия:

• Для стандартных конфигураций Apigee Edge для частного облака: никаких исправлений, обновлений или изменений в работе не требуется. Результаты сканирования, касающиеся CVE-2026-42945, могут рассматриваться как ложные срабатывания для стандартных установок. Для документирования этого исключения в вашей системе управления уязвимостями вы можете использовать следующий текст:

  CVE-2026-42945 — Accepted exception (false positive for Apigee Edge for Private Cloud). Apigee Edge for Private Cloud does not use the rewrite directive in any shipped NGINX configuration. The vulnerable code path in ngx_http_rewrite_module is configuration-gated and is not reachable in the default Apigee Edge for Private Cloud deployment.

• Для пользовательских конфигураций NGINX: Если вы вручную изменили файлы конфигурации NGINX в вашей установке Apigee Edge for Private Cloud (например, в каталоге /opt/nginx ), вам следует выполнить следующую самопроверку, чтобы убедиться, что ваши изменения не привели к непреднамеренному появлению уязвимого шаблона:
  1. Проверьте наличие директивы перезаписи: на каждом узле NGINX выполните команду:

     sudo grep -rnI '^\s*rewrite\b' /opt/nginx

  2. Анализ результатов:
     • Если команда не выдает никакого результата, ваша система не затронута .
     • Если найдены совпадения, проверьте каждое из них. Уязвимость присутствует только в том случае, если для данного блока выполняются все следующие условия:
       • Используется директива rewrite .
       • Сразу за этим следует еще одна rewrite , if или директива set в том же блоке конфигурации.
       • В директивах используется безымянная группа захвата PCRE (например, $1 , $2 и т. д.).
       • В директиве строка замены содержит вопросительный знак ( ? ).
  3. Меры по устранению уязвимости (в случае уязвимости): Если все вышеперечисленные условия выполняются для какой-либо части вашей пользовательской конфигурации, примите следующие меры:
     • Удаление вопросительного знака ( ? ) из строки замены.
     • Использование именованных групп захвата PCRE вместо безымянных.
     • Переоценка необходимости использования взаимосвязанных директив.

В Edge for Private Cloud версии 4.53.00 и более поздних версиях пользовательский интерфейс отображает всплывающее предупреждение о прекращении поддержки (EOL) . Это предупреждение появляется...
повторяющиеся и не предотвратимые или не уменьшающиеся по частоте.

В настоящее время у пользователей нет возможности отключить или уменьшить частоту появления этого предупреждения о завершении срока действия лицензии.

Клиентские Java-запросы, пытающиеся загрузить криптографический провайдер Bouncy Castle с именем "BC", могут завершиться неудачей, поскольку провайдер по умолчанию был изменен на Bouncy Castle FIPS для поддержки FIPS. Новое имя провайдера для использования — "BCFIPS" .

Клиентские Java-запросы, пытающиеся загрузить криптографический провайдер Bouncy Castle с именем "BC", могут завершиться неудачей, поскольку провайдер по умолчанию был изменен на Bouncy Castle FIPS для поддержки FIPS. Новое имя провайдера для использования — "BCFIPS" .

Эта проблема затрагивает только тех, кто использует MINT или у кого MINT включен в Edge для установок в частном облаке.

Затронутый компонент: edge-message-processor

Проблема: Если у вас включена монетизация и вы устанавливаете версию 4.52.01 с нуля или обновляете систему с предыдущих версий Private Cloud, вы столкнетесь с проблемой обработки сообщений. Будет наблюдаться постепенное увеличение количества открытых потоков, что приведет к исчерпанию ресурсов. В файле system.log компонента edge-message-processor отображается следующее исключение:

Error injecting constructor, java.lang.OutOfMemoryError: unable to create new native thread

Недавно в нескольких реализациях протокола HTTP/2 была обнаружена уязвимость типа «отказ в обслуживании» (DoS) (CVE-2023-44487), в том числе в Apigee Edge for Private Cloud. Эта уязвимость может привести к DoS-атаке на функциональность управления API Apigee. Для получения более подробной информации см. бюллетень безопасности Apigee GCP-2023-032 .

Компоненты маршрутизатора и сервера управления Edge for Private Cloud подключены к интернету и потенциально могут быть уязвимы. Хотя протокол HTTP/2 включен на порту управления других компонентов Edge for Private Cloud, ни один из этих компонентов не подключен к интернету. На компонентах, не относящихся к Edge, таких как Cassandra, Zookeeper и другие, протокол HTTP/2 не включен. Мы рекомендуем выполнить следующие шаги для устранения уязвимости Edge for Private Cloud:

• Инструкции для Edge for Private Cloud версий 4.51.00.11 или новее
• Пошаговая инструкция для версий Edge for Private Cloud старше 4.51.00.11

Выполните следующие действия, если вы используете Edge Private Cloud версии 4.51.00.11 или более новой:

1. Обновите сервер управления:

   1. На каждом узле сервера управления откройте /opt/apigee/customer/application/management-server.properties
   2. Добавьте эту строку в файл свойств:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент сервера управления:

      apigee-service edge-management-server restart

2. Обновите обработчик сообщений:

   1. На каждом узле обработчика сообщений откройте /opt/apigee/customer/application/message-processor.properties .
   2. Добавьте эту строку в файл свойств:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-message-processor restart

3. Обновите роутер:

   1. На каждом узле маршрутизатора откройте /opt/apigee/customer/application/router.properties
   2. Добавьте эту строку в файл свойств:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-router restart

4. Обновить QPID:

   1. На каждом узле QPID откройте /opt/apigee/customer/application/qpid-server.properties
   2. Добавьте эту строку в файл свойств:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-qpid-server restart

5. Обновить PostgreSQL:

   1. На каждом узле PostgreSQL откройте /opt/apigee/customer/application/postgres-server.properties .
   2. Добавьте эту строку в файл свойств:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-postgres-server restart

Выполните следующие действия, если вы используете Edge для частного облака версий старше 4.51.00.11:

1. Обновите сервер управления:

   1. На каждом узле сервера управления откройте /opt/apigee/customer/application/management-server.properties
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент сервера управления:

      apigee-service edge-management-server restart

2. Обновите обработчик сообщений:

   1. На каждом узле обработчика сообщений откройте /opt/apigee/customer/application/message-processor.properties .
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-message-processor restart

3. Обновите роутер:

   1. На каждом узле маршрутизатора откройте /opt/apigee/customer/application/router.properties
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-router restart

4. Обновить QPID:

   1. На каждом узле QPID откройте /opt/apigee/customer/application/qpid-server.properties
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-qpid-server restart

5. Обновить PostgreSQL:

   1. На каждом узле PostgreSQL откройте /opt/apigee/customer/application/postgres-server.properties .
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработки сообщений:

      apigee-service edge-postgres-server restart

Apigee-postgresql испытывает проблемы при обновлении с версии Edge for Private Cloud 4.50 или 4.51 до версии 4.52. Проблемы в основном возникают, когда количество таблиц превышает 500.

Вы можете проверить общее количество таблиц в PostgreSQL, выполнив следующий SQL-запрос:

select count(*) from information_schema.tables

Временное решение: При обновлении Apigee Edge с версии 4.50.00 или 4.51.00 до 4.52.00 обязательно выполните предварительный шаг перед обновлением Apigee-postgresql.

149245401: Настройки пула соединений LDAP для JNDI, заданные через ресурс LDAP, не отображаются, и значения по умолчанию JNDI приводят к созданию одноразовых соединений каждый раз. В результате соединения открываются и закрываются каждый раз для одноразового использования, создавая большое количество соединений в час с сервером LDAP.

Временное решение:

Для изменения свойств пула подключений LDAP выполните следующие действия, чтобы применить глобальное изменение ко всем политикам LDAP.

1. Создайте файл конфигурационных свойств, если он еще не существует:

   /opt/apigee/customer/application/message-processor.properties

2. Добавьте в файл следующее (замените значения свойств Java Naming and Directory Interface (JNDI) в соответствии с требованиями вашей конфигурации ресурсов LDAP).

   bin_setenv_ext_jvm_opts="-Dcom.sun.jndi.ldap.connect.pool.maxsize=20
   -Dcom.sun.jndi.ldap.connect.pool.prefsize=2
   -Dcom.sun.jndi.ldap.connect.pool.initsize=2
   -Dcom.sun.jndi.ldap.connect.pool.timeout=120000
   -Dcom.sun.jndi.ldap.connect.pool.protocol=ssl"

3. Убедитесь, что файл /opt/apigee/customer/application/message-processor.properties принадлежит пользователю apigee:apigee.
4. Перезапустите каждый обработчик сообщений.

Чтобы убедиться, что свойства JNDI вашего пула соединений вступают в силу, вы можете выполнить команду tcpdump для наблюдения за поведением пула соединений LDAP с течением времени.

139051927: Высокие задержки обработки прокси-серверов, обнаруженные в обработчике сообщений, затрагивают все API-прокси. Симптомы включают задержки обработки на 200-300 мс по сравнению с обычным временем ответа API и могут возникать случайным образом даже при низкой скорости обработки (TPS). Это может произойти, когда обработчик сообщений устанавливает соединения более чем с 50 целевыми серверами.

Основная причина: Обработчики сообщений хранят кэш, который сопоставляет URL-адрес целевого сервера с объектом HTTPClient для исходящих соединений с целевыми серверами. По умолчанию этот параметр установлен на 50, что может быть слишком низким для большинства развертываний. Когда развертывание включает в себя несколько комбинаций организаций/сред и большое количество целевых серверов, превышающее в общей сложности 50, URL-адреса целевых серверов постоянно удаляются из кэша, вызывая задержки.

Проверка: Чтобы определить, является ли причиной задержки вытеснение URL-адресов целевого сервера, выполните поиск в системных журналах обработчика сообщений по ключевым словам "onEvict" или "Eviction". Их наличие в журналах указывает на то, что URL-адреса целевого сервера вытесняются из кэша HTTPClient, поскольку размер кэша слишком мал.

Временное решение: Для версий Edge for Private Cloud 19.01 и 19.06 вы можете отредактировать и настроить кэш HTTPClient в файле /opt/apigee/customer/application/message-processor.properties :

conf/http.properties+HTTPClient.dynamic.cache.elements.size=500

Затем перезапустите обработчик сообщений. Внесите те же изменения во все обработчики сообщений.

Значение 500 — это пример. Оптимальное значение для вашей конфигурации должно быть больше, чем количество целевых серверов, к которым будет подключаться обработчик сообщений. Увеличение этого параметра не вызывает побочных эффектов, и единственным последствием будет улучшение времени обработки запросов прокси-сервером обработчика сообщений.

Примечание: В версии Edge for Private Cloud 50.00 значение по умолчанию равно 500.

157933959: Одновременная вставка и обновление одной и той же карты ключ-значение (KVM) на уровне организации или среды приводит к несогласованности данных и потере обновлений.

Примечание: это ограничение относится только к Edge для частного облака. Edge для публичного облака и гибридного облака это ограничение не распространяется.

В качестве обходного решения в Edge для частного облака создайте KVM в области действия apiproxy .