4.50.00.08 - Notas da versão do Edge para nuvem privada

Algumas variáveis de fluxo de destino não estavam sendo preenchidas no trace para 504s.

Adicionamos melhorias para capturar variáveis de fluxo de destino relevantes no trace e no Analytics em caso de tempo limite de destino.

As instruções para definir as configurações de TLS no nível do sistema não estavam funcionando.

Corrigimos um bug que impedia que as configurações de TLS entrassem em vigor nos processadores de mensagens foi corrigido.

O script update.sh falhava após a ativação do TLS no servidor de gerenciamento.

O script de atualização agora funciona corretamente, mesmo que o TLS esteja ativado no servidor de gerenciamento.

Quando um proxy HTTP era usado em conjunto com um servidor de destino, o IP do servidor proxy era exibido em vez do nome do host ou IP do destino real.

Isso foi corrigido com a adição de uma nova propriedade do processador de mensagens que permite configurar o proxy de encaminhamento para um servidor de back-end.

SubTypeValidator.java no FasterXML jackson-databind antes de 2.9.9.2 processa incorretamente a digitação padrão quando o ehcache é usado (devido a net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup), levando à execução remota de código.

Um problema de digitação polimórfica foi descoberto no FasterXML jackson-databind antes 2.9.10. Ele está relacionado a com.zaxxer.hikari.HikariConfig.

Foi descoberta uma falha no jackson-databind em versões anteriores a 2.9.10, 2.8.11.5 e 2.6.7.3, em que ele permitia a desserialização polimórfica de um objeto malicioso usando as classes JNDI commons-configuration 1 e 2. Um invasor pode usar essa falha para executar código arbitrário.

Foi descoberta uma falha no FasterXML jackson-databind em todas as versões anteriores a 2.9.10 e 2.10.0, em que ele permitia a desserialização polimórfica de objetos maliciosos usando o gadget JNDI xalan quando usado em conjunto com métodos de tratamento de tipo polimórfico, como `enableDefaultTyping()` ou quando @JsonTypeInfo está usando `Id.CLASS` ou `Id.MINIMAL_CLASS` ou de qualquer outra forma que ObjectMapper.readValue possa instanciar objetos de fontes não seguras. Um invasor pode usar essa falha para executar código arbitrário.

Um problema de digitação polimórfica foi descoberto no FasterXML jackson-databind antes 2.9.10. Ele está relacionado a com.zaxxer.hikari.HikariDataSource. Essa é uma vulnerabilidade diferente da CVE-2019-14540.

Um problema de digitação polimórfica foi descoberto no FasterXML jackson-databind 2.0.0 a 2.9.10. Quando a digitação padrão está ativada (globalmente ou para uma propriedade específica) para um endpoint JSON exposto externamente e o serviço tem o jar commons-dbcp (1.4) no classpath, e um invasor pode encontrar um endpoint de serviço RMI para acessar, é possível fazer com que o serviço execute um payload malicioso. Esse problema existe devido ao tratamento incorreto de org.apache.commons.dbcp.datasources.SharedPoolDataSource e org.apache.commons.dbcp.datasources.PerUserPoolDataSource.

Um problema de digitação polimórfica foi descoberto no FasterXML jackson-databind 2.0.0 a 2.9.10. Quando a digitação padrão está ativada (globalmente ou para uma propriedade específica) para um endpoint JSON exposto externamente e o serviço tem o jar p6spy (3.8.6) no classpath, e um invasor pode encontrar um endpoint de serviço RMI para acessar, é possível fazer com que o serviço execute um payload malicioso. Esse problema existe devido ao com.p6spy.engine.spy.P6DataSource tratamento incorreto.

Um problema de digitação polimórfica foi descoberto no FasterXML jackson-databind antes 2.9.10. Ele está relacionado a net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.

O FasterXML jackson-databind 2.x antes de 2.9.10.2 não tem um determinado net.sf.ehcache bloqueio.

Quando um site de chamada transmite um assunto para um e-mail que contém quebras de linha em Apache Commons Email 1.0 a 1.4, o autor da chamada pode adicionar cabeçalhos SMTP arbitrários.