4.50.00.08 - Edge for Private Cloud リリースノート

Apigee Edge のドキュメントを表示しています。
Apigee X のドキュメントに移動します。 情報

2021 年 3 月 30 日に、Apigee Edge for Private Cloud の新しいバージョンをリリースしました。

更新手順

このリリースを更新すると、次の RPM のリストにあるコンポーネントが更新されます。

  • edge-gateway-4.50.00-0.0.20116.noarch.rpm
  • edge-management-server-4.50.00-0.0.20116.noarch.rpm
  • edge-message-processor-4.50.00-0.0.20116.noarch.rpm
  • edge-postgres-server-4.50.00-0.0.20116.noarch.rpm
  • edge-qpid-server-4.50.00-0.0.20116.noarch.rpm
  • edge-router-4.50.00-0.0.20116.noarch.rpm
  • edge-ui-4.50.00-0.0.20173.noarch.rpm

現在インストールされている RPM バージョンを確認して、更新が必要かどうかを確認するには、次のコマンドを入力します。

apigee-all version

インストールを更新するには、Edge ノードで次の手順を行います。

  1. すべての Edge ノードの場合:

    1. Yum リポジトリをクリーンアップします。
      sudo yum clean all
    2. 最新の Edge 4.50.00 bootstrap_4.50.00.sh ファイルを /tmp/bootstrap_4.50.00.sh にダウンロードします。
      curl https://software.apigee.com/bootstrap_4.50.00.sh -o /tmp/bootstrap_4.50.00.sh
    3. Edge 4.50.00 の apigee-service ユーティリティと依存関係をインストールします。
      sudo bash /tmp/bootstrap_4.50.00.sh apigeeuser=uName apigeepassword=pWord

      ここで、uName:pWord は Apigee から取得したユーザー名とパスワードです。pWord を省略すると、パスワードの入力を求められます。

    4. apigee-setup ユーティリティを更新します。
      sudo /opt/apigee/apigee-service/bin/apigee-service apigee-setup update
    5. source コマンドを使用して apigee-service.sh スクリプトを実行します。
      source /etc/profile.d/apigee-service.sh
  2. すべての Edge ノードで、edge プロセスの update.sh スクリプトを実行します。これを行うには、各ノードで次のコマンドを実行します。
    /opt/apigee/apigee-setup/bin/update.sh -c edge -f configFile
  3. すべてのノードで UI の update.sh スクリプトを実行します。各ノードで次のコマンドを実行します。
    /opt/apigee/apigee-setup/bin/update.sh -c ui -f configFile

サポートされているソフトウェアの変更

このリリースでは、サポート対象のソフトウェアに変更はありません。

非推奨と廃止

このリリースでは、新たに非推奨または廃止となる機能はありません。

新機能

このリリースでは、次の新機能が導入されています。

  • バックエンド サーバーへのフォワード プロキシを構成するために使用できる Message Processor の新しいプロパティ use.proxy.host.header.with.target.uri が導入されました。このプロパティは、ターゲットのホストとポートを Host ヘッダーとして設定します。

修正済みのバグ

次の表に、このリリースで修正されたバグを示します。

問題 ID 説明
158132963

504 のトレースで一部のターゲット フロー変数が入力されていませんでした。

ターゲット タイムアウトが発生した場合に、トレースと分析で関連するターゲット フロー変数を取り込めるように改善しました。
141670890

システムレベルの TLS 設定の手順が機能していませんでした。

メッセージ プロセッサで TLS 設定が有効にならないバグを修正しました。
123311920

管理サーバーで TLS を有効にした後、update.sh スクリプトが失敗する。

管理サーバーで TLS が有効になっている場合でも、更新スクリプトが正しく動作するようになりました。
67168818

HTTP プロキシがターゲット サーバーと組み合わせて使用された場合、実際のターゲットのホスト名または IP ではなく、プロキシ サーバーの IP が表示されていました。

この問題は、バックエンド サーバーへの転送プロキシを構成できる新しい Message Processor プロパティを追加することで修正されました。

修正されたセキュリティの問題

このリリースで修正された既知のセキュリティ問題の一覧を次に示します。これらの問題を回避するには、最新バージョンの Edge Private Cloud をインストールします。

問題 ID 説明
CVE-2019-14379

FasterXML jackson-databind の 2.9.9.2 より前の SubTypeValidator.java は、ehcache が使用されている場合にデフォルトの型指定を誤って処理し（net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup が原因）、リモートコード実行につながります。
CVE-2019-14540

FasterXML jackson-databind の 2.9.10 より前のバージョンで、ポリモーフィック型指定の問題が発見されました。com.zaxxer.hikari.HikariConfig に関連しています。
CVE-2019-14892

2.9.10、2.8.11.5、2.6.7.3 より前のバージョンの jackson-databind で、commons-configuration 1 と 2 の JNDI クラスを使用して悪意のあるオブジェクトのポリモーフィックな逆シリアル化を許可する欠陥が発見されました。攻撃者がこの欠陥を利用して任意のコードを実行するおそれがあります。
CVE-2019-14893

2.9.10 および 2.10.0 より前のすべてのバージョンの FasterXML jackson-databind で、`enableDefaultTyping()` などのポリモーフィック型処理メソッドと組み合わせて使用する場合、または @JsonTypeInfo が `Id.CLASS` または `Id.MINIMAL_CLASS` を使用する場合、または ObjectMapper.readValue が安全でないソースからオブジェクトをインスタンス化する可能性があるその他の方法で、xalan JNDI ガジェットを使用して悪意のあるオブジェクトのポリモーフィック デシリアライズを許可する欠陥が発見されました。攻撃者がこの欠陥を利用して任意のコードを実行する可能性があります。
CVE-2019-16335

FasterXML jackson-databind の 2.9.10 より前のバージョンで、ポリモーフィック型指定の問題が発見されました。com.zaxxer.hikari.HikariDataSource に関連しています。これは CVE-2019-14540 とは異なる脆弱性です。
CVE-2019-16942

FasterXML jackson-databind 2.0.0 から 2.9.10 で Polymorphic Typing の問題が発見されました。外部公開された JSON エンドポイントでデフォルトの型指定が有効（グローバルまたは特定のプロパティ）になっており、サービスがクラスパスに commons-dbcp（1.4）jar を含んでおり、攻撃者がアクセスする RMI サービス エンドポイントを見つけることができる場合、サービスに悪意のあるペイロードを実行させることが可能です。この問題は、org.apache.commons.dbcp.datasources.SharedPoolDataSource と org.apache.commons.dbcp.datasources.PerUserPoolDataSource の処理ミスが原因で発生します。
CVE-2019-16943

FasterXML jackson-databind 2.0.0 から 2.9.10 で Polymorphic Typing の問題が発見されました。外部公開された JSON エンドポイントでデフォルトの型指定が（グローバルまたは特定のプロパティに対して）有効になっており、サービスがクラスパスに p6spy（3.8.6）jar を含んでおり、攻撃者がアクセスする RMI サービス エンドポイントを見つけることができる場合、サービスに悪意のあるペイロードを実行させることが可能です。この問題は、com.p6spy.engine.spy.P6DataSource の誤った処理が原因で発生します。
CVE-2019-17267

FasterXML jackson-databind の 2.9.10 より前のバージョンで、ポリモーフィック型指定の問題が発見されました。net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup に関連しています。
CVE-2019-20330

FasterXML jackson-databind 2.9.10.2 より前の 2.x には、特定の net.sf.ehcache ブロックがありません。
CVE-2017-9801

呼び出しサイトが Apache Commons Email 1.0 ～ 1.4 で改行を含むメールの件名を渡すと、呼び出し元は任意の SMTP ヘッダーを追加できます。

既知の問題

Edge Private Cloud の既知の問題の一覧については、Edge Private Cloud の既知の問題をご覧ください。