Các vấn đề đã biết với Apigee

Khi biến flow cachehit được sử dụng sau chính sách LookupCache, do cách các điểm gỡ lỗi được gửi cho hành vi không đồng bộ, LookupPolicy sẽ điền sẵn đối tượng DebugInfo trước khi lệnh gọi lại được thực thi, dẫn đến lỗi.

Giải pháp: Lặp lại quy trình (thực hiện lệnh gọi thứ hai) ngay sau lệnh gọi đầu tiên.

Việc đặt PurgeChildEntries trong chính sách InvalidateCache chỉ nên xoá các giá trị phần tử KeyFragment mà còn xoá toàn bộ bộ nhớ đệm.

Giải pháp: Sử dụng chính sách KeyValueMapOperations để lặp lại việc tạo phiên bản bộ nhớ đệm và bỏ qua việc cần phải vô hiệu hoá bộ nhớ đệm.

Điều này có thể xảy ra, ví dụ: khi các lần chạy đồng thời của quy trình triển khai CI/CD xảy ra bằng các bản sửa đổi khác nhau. Để tránh vấn đề này, hãy tránh triển khai proxy API hoặc SharedFlow trước khi quá trình triển khai hiện tại hoàn tất.

Giải pháp: Tránh triển khai proxy API hoặc SharedFlow đồng thời.

Đôi khi, Edge API Analytics có thể chứa dữ liệu trùng lặp cho các lệnh gọi API. Trong trường hợp đó, số lượng hiển thị cho các lệnh gọi API trong Edge API Analytics sẽ cao hơn các giá trị tương đương hiển thị trong các công cụ phân tích của bên thứ ba.

Giải pháp: Xuất dữ liệu phân tích và sử dụng trường gateway_flow_id để loại bỏ dữ liệu trùng lặp.

Khi kết nối một tổ chức với một vùng nhận dạng, bạn sẽ không thể truy cập vào trang Quản trị vùng SSO của Edge từ thanh điều hướng bên trái bằng cách chọn Quản trị > SSO.

Giải pháp: Truy cập trực tiếp vào trang bằng URL sau: https://apigee.com/sso

Các lựa chọn TLS_DISABLED_ALGO và TLS_ENABLED_CIPHERS không hoạt động đúng cách.

Giải pháp tạm thời: Làm theo các bước dưới đây để bật các mật mã cụ thể cho Giao diện người dùng Edge:

1. Mở tệp cấu hình /opt/apigee/etc/edge-ui.d/SSL.sh.
2. Thêm thuộc tính -Djdk.tls.server.cipherSuites có danh sách các bộ mật mã được phân tách bằng dấu phẩy theo ký hiệu IANA bên trong UI_OPTIONS. Ví dụ:

   UI_OPTIONS=" -Dhttp.port=disabled -Dhttps.port=9433 -Dhttps.keyStoreType=JKS -Dhttps.keyStore=/opt/apigee/customer/conf/keystore.jks -Dplay.http.sslengineprovider=services.CustomSSLEngineProvider -Dhttps.keyStorePasswordEncrypted=mypass -Djdk.tls.server.cipherSuites=TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384"

3. Lưu các thay đổi vào tệp cấu hình.
4. Khởi động lại giao diện người dùng Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

• Apigee Edge hỗ trợ Bản đặc tả OpenAPI 3.0 khi bạn tạo bản đặc tả bằng trình chỉnh sửa bản đặc tả và phát hành API bằng SmartDocs trên cổng thông tin, mặc dù một số tính năng chưa được hỗ trợ.

  Ví dụ: các tính năng sau đây trong Quy cách OpenAPI 3.0 chưa được hỗ trợ:

  • Các thuộc tính allOf để kết hợp và mở rộng giản đồ
  • Tham chiếu từ xa

  Nếu một tính năng không được hỗ trợ được tham chiếu trong Quy cách OpenAPI, thì trong một số trường hợp, các công cụ sẽ bỏ qua tính năng đó nhưng vẫn hiển thị tài liệu tham khảo API. Trong các trường hợp khác, một tính năng không được hỗ trợ sẽ gây ra lỗi khiến bạn không thể hiển thị thành công tài liệu tham khảo API. Trong cả hai trường hợp, bạn sẽ cần sửa đổi Thông số kỹ thuật OpenAPI để tránh sử dụng tính năng không được hỗ trợ cho đến khi tính năng đó được hỗ trợ trong bản phát hành trong tương lai.

  Lưu ý: Vì trình chỉnh sửa thông số kỹ thuật ít hạn chế hơn SmartDocs khi hiển thị tài liệu tham khảo API, nên bạn có thể nhận được kết quả khác nhau giữa các công cụ.

• Khi sử dụng tính năng Thử API này trong cổng thông tin, tiêu đề Accept sẽ được đặt thành application/json bất kể giá trị được đặt cho consumes trong Thông số kỹ thuật OpenAPI.
• 138438484: Không hỗ trợ nhiều máy chủ.

• Hiện tại, chúng tôi không hỗ trợ việc nhiều người dùng cập nhật cùng lúc trang web (chẳng hạn như chỉnh sửa trang, giao diện, CSS hoặc tập lệnh).
• Nếu xoá một trang tài liệu tham khảo API khỏi cổng thông tin, bạn sẽ không thể tạo lại trang đó; bạn cần xoá và thêm lại sản phẩm API rồi tạo lại tài liệu tham khảo API.
• Khi định cấu hình chính sách bảo mật nội dung, có thể mất đến 15 phút để các thay đổi được áp dụng đầy đủ.
• Khi tuỳ chỉnh giao diện cổng thông tin, có thể mất đến 5 phút để các thay đổi được áp dụng đầy đủ.

• Tính năng Tìm kiếm sẽ được tích hợp vào cổng thông tin tích hợp trong một bản phát hành trong tương lai.

A vulnerability (CVE-2026-42945) was disclosed affecting the ngx_http_rewrite_module in NGINX. Security scanning tools may flag the NGINX binaries included with Apigee Edge for Private Cloud because this module is statically compiled into NGINX.

Impact on Apigee Edge for Private Cloud:

Apigee Edge for Private Cloud is not affected by this vulnerability in its default, shipped configuration. The exploitability of CVE-2026-42945 is dependent on specific NGINX configuration patterns, notably the use of the rewrite directive in a particular sequence. These patterns are not present in any standard Apigee Edge for Private Cloud NGINX configurations.

Action Required:

• For Default Apigee Edge for Private Cloud Configurations: No patches, upgrades, or operational changes are required. Scanner findings regarding CVE-2026-42945 can be treated as false positives for default installations. You can use the following text to document this exception in your vulnerability management system:

  CVE-2026-42945 — Accepted exception (false positive for Apigee Edge for Private Cloud). Apigee Edge for Private Cloud does not use the rewrite directive in any shipped NGINX configuration. The vulnerable code path in ngx_http_rewrite_module is configuration-gated and is not reachable in the default Apigee Edge for Private Cloud deployment.

• For Customized NGINX Configurations: If you have manually modified the NGINX configuration files within your Apigee Edge for Private Cloud installation (for example, under /opt/nginx), you should perform the following self-check to ensure your customizations have not inadvertently introduced the vulnerable pattern:
  1. Check for rewrite directive: On each NGINX node, run the command:

     sudo grep -rnI '^\s*rewrite\b' /opt/nginx

  2. Analyze Results:
     • If the command returns no output, your system is not affected.
     • If matches are found, review each instance. The vulnerability is present only if all the following conditions are met for a given block:
       • The rewrite directive is used.
       • It is immediately followed by another rewrite, if, or set directive within the same configuration block.
       • An unnamed PCRE capture group (for example, $1, $2, etc.) is used in the directives.
       • The replacement string in the directive contains a question mark (?).
  3. Mitigation (if vulnerable): If all the above conditions are true for any part of your custom configuration, mitigate by:
     • Removing the question mark (?) from the replacement string.
     • Using named PCRE capture groups instead of unnamed ones.
     • Re-evaluating the need for the chained directives.

In Edge for Private Cloud 4.53.00 and later, the UI displays an "End of Life" (EOL) warning pop-up. This warning appears
repeatedly and cannot be prevented or reduced in frequency.

There is currently no method available for users to disable or reduce the frequency of this EOL warning.

Customer Java callouts that attempt to load the Bouncy Castle cryptography provider using the name "BC" might fail because the default provider has been changed to Bouncy Castle FIPS to support FIPS. The new provider name to use is "BCFIPS".

Customer Java callouts that attempt to load the Bouncy Castle cryptography provider using the name "BC" might fail because the default provider has been changed to Bouncy Castle FIPS to support FIPS. The new provider name to use is "BCFIPS".

This issue affects only those who are using MINT or have MINT enabled in Edge for Private Cloud installations.

Component affected: edge-message-processor

Issue: If you have monetization enabled and are installing 4.52.01 as a fresh install or upgrading from previous Private Cloud versions, you will encounter an issue with message processors. There will be a gradual increase in open thread count leading to resource exhaustion. The following exception is seen in edge-message-processor system.log:

Error injecting constructor, java.lang.OutOfMemoryError: unable to create new native thread

A Denial-of-Service (DoS) vulnerability was recently discovered in multiple implementations of the HTTP/2 protocol (CVE-2023-44487), including in Apigee Edge for Private Cloud. The vulnerability could lead to a DoS of Apigee API management functionality. For more details, see Apigee Security Bulletin GCP-2023-032.

The Edge for Private Cloud router and management server components are exposed to the internet and can potentially be vulnerable. Although HTTP/2 is enabled on the management port of other Edge-specific components of Edge for Private Cloud, none of those components are exposed to the internet. On non-Edge components, like Cassandra, Zookeeper and others, HTTP/2 is not enabled. We recommend that you take the following steps to address the Edge for Private Cloud vulnerability:

• Steps for Edge for Private Cloud versions 4.51.00.11 or newer
• Steps for Edge for Private Cloud versions older than 4.51.00.11

Follow these steps if you are using Edge Private Cloud versions 4.51.00.11 or newer:

1. Update the management server:

   1. On each management server node, open /opt/apigee/customer/application/management-server.properties
   2. Add this line to the properties file:

      conf_webserver_http2.enabled=false

   3. Restart the management server component:

      apigee-service edge-management-server restart

2. Update the message processor:

   1. On each message processor node, open /opt/apigee/customer/application/message-processor.properties
   2. Add this line to the properties file:

      conf_webserver_http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-message-processor restart

3. Update the router:

   1. On each router node, open /opt/apigee/customer/application/router.properties
   2. Add this line to the properties file:

      conf_webserver_http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-router restart

4. Update QPID:

   1. On each QPID node, open /opt/apigee/customer/application/qpid-server.properties
   2. Add this line to the properties file:

      conf_webserver_http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-qpid-server restart

5. Update Postgres:

   1. On each Postgres node, open /opt/apigee/customer/application/postgres-server.properties
   2. Add this line to the properties file:

      conf_webserver_http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-postgres-server restart

Follow these steps if you are using Edge for Private Cloud versions older than 4.51.00.11:

1. Update the management server:

   1. On each management server node, open /opt/apigee/customer/application/management-server.properties
   2. Add the following two lines to the properties file:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Restart the management server component:

      apigee-service edge-management-server restart

2. Update the message processor:

   1. On each message processor node, open /opt/apigee/customer/application/message-processor.properties
   2. Add the following two lines to the properties file:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-message-processor restart

3. Update the router:

   1. On each router node, open /opt/apigee/customer/application/router.properties
   2. Add the following two lines to the properties file:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-router restart

4. Update QPID:

   1. On each QPID node, open /opt/apigee/customer/application/qpid-server.properties
   2. Add the following two lines to the properties file:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-qpid-server restart

5. Update Postgres:

   1. On each Postgres node, open /opt/apigee/customer/application/postgres-server.properties
   2. Add the following two lines to the properties file:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Restart the message processor component:

      apigee-service edge-postgres-server restart

Apigee-postgresql is having issues with upgrading from Edge for Private Cloud version 4.50 or 4.51 to version 4.52. The issues mainly occur when the number of tables is greater than 500.

You can check the total number of tables in Postgres by running the SQL query below:

select count(*) from information_schema.tables

Workaround: When Updating Apigee Edge 4.50.00 or 4.51.00 to 4.52.00, be sure to perform the preliminary step before upgrading Apigee-postgresql.

149245401: LDAP connection pool settings for JNDI configured through the LDAP resource are not reflected, and JNDI defaults cause single-use connections each time. As a result, connections are being opened and closed each time for single use, creating a large number of connections per hour to the LDAP server.

Workaround:

In order to change the LDAP connection pool properties, do the following steps to set a global change across all LDAP policies.

1. Create a configuration properties file if it does not already exist:

   /opt/apigee/customer/application/message-processor.properties

2. Add the following to the file (replace values of Java Naming and Directory Interface (JNDI) properties based on your LDAP resource configuration requirement).

   bin_setenv_ext_jvm_opts="-Dcom.sun.jndi.ldap.connect.pool.maxsize=20
   -Dcom.sun.jndi.ldap.connect.pool.prefsize=2
   -Dcom.sun.jndi.ldap.connect.pool.initsize=2
   -Dcom.sun.jndi.ldap.connect.pool.timeout=120000
   -Dcom.sun.jndi.ldap.connect.pool.protocol=ssl"

3. Make sure the file /opt/apigee/customer/application/message-processor.properties is owned by apigee:apigee.
4. Restart each message processor.

To verify that your connection pool JNDI properties are taking effect, you can perform a tcpdump to observe the behavior of the LDAP connection pool over time.

139051927: High proxy processing latencies found in the Message Processor are affecting all API Proxies. Symptoms include 200-300ms delays in processing times over normal API response times and can occur randomly even with low TPS. This can occur when than more than 50 target servers in which a message processor makes connections.

Root cause: Message processors keep a cache that maps target server URL to HTTPClient object for outgoing connections to target servers. By default this setting is set to 50 which may be too low for most deployments. When a deployment has multiple org/env combinations in a setup, and have a large number of target servers that exceed 50 altogether, the target server URLs keep getting evicted from cache, causing latencies.

Validation: To determine if target server URL eviction is causing the latency problem, search the Message Processor system.logs for keyword "onEvict" or "Eviction". Their presence in the logs indicate that target server URLs are getting evicted from the HTTPClient cache because the cache size is too small.

Workaround: For Edge for Private Cloud versions 19.01 and 19.06, you can edit and configure the HTTPClient cache, /opt/apigee/customer/application/message-processor.properties:

conf/http.properties+HTTPClient.dynamic.cache.elements.size=500

Then restart the message processor. Make the same changes for all message processors.

The value 500 is an example. The optimal value for your setup should be greater than the number of target servers that the message processor would connect to. There are no side effects from setting this property higher, and the only affect would be an improved message processor proxy request processing times.

Note: Edge for Private Cloud version 50.00 has the default setting of 500.

157933959: Concurrent inserts and updates to the same key value map (KVM) scoped to the organization or environment level causes inconsistent data and lost updates.

Note: This limitation only applies to Edge for Private Cloud. Edge for Public Cloud and Hybrid do not have this limitation.

For a workaround in Edge for Private Cloud, create the KVM at the apiproxy scope.