4.50.00.08 - Notas da versão do Edge para nuvem privada

Algumas variáveis de fluxo de destino não estavam sendo preenchidas no rastreamento de erros 504.

Adicionamos melhorias para capturar variáveis de fluxo de destino relevantes no rastreamento e na análise em caso de tempo limite de destino.

As instruções para definir configurações de TLS no nível do sistema não estavam funcionando.

Corrigimos um bug que impedia que as configurações de TLS entrassem em vigor nos processadores de mensagens.

O script update.sh estava falhando após a ativação do TLS no servidor de gerenciamento.

O script de atualização agora funciona corretamente mesmo se o TLS estiver ativado no servidor de gerenciamento.

Quando um proxy HTTP era usado com um servidor de destino, o IP do servidor proxy era mostrado em vez do nome do host ou IP do destino real.

Isso foi corrigido com a adição de uma nova propriedade do processador de mensagens que permite configurar o proxy de encaminhamento para um servidor de back-end.

O SubTypeValidator.java no FasterXML jackson-databind antes da versão 2.9.9.2 processa incorretamente a digitação padrão quando o ehcache é usado (devido a net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup), resultando em execução remota de código.

Um problema de tipagem polimórfica foi descoberto no FasterXML jackson-databind antes da 2.9.10. Ele está relacionado a com.zaxxer.hikari.HikariConfig.

Foi descoberta uma falha no jackson-databind em versões anteriores a 2.9.10, 2.8.11.5 e 2.6.7.3, que permitiria a desserialização polimórfica de um objeto malicioso usando classes JNDI 1 e 2 do commons-configuration. Um invasor pode usar essa falha para executar código arbitrário.

Uma falha foi descoberta no FasterXML jackson-databind em todas as versões anteriores a 2.9.10 e 2.10.0, em que ele permitia a desserialização polimórfica de objetos maliciosos usando o gadget JNDI xalan quando usado em conjunto com métodos de processamento de tipos polimórficos, como `enableDefaultTyping()` ou quando @JsonTypeInfo usa `Id.CLASS` ou `Id.MINIMAL_CLASS` ou de qualquer outra forma que ObjectMapper.readValue possa instanciar objetos de fontes não seguras. Um invasor pode usar essa falha para executar códigos arbitrários.

Um problema de tipagem polimórfica foi descoberto no FasterXML jackson-databind antes da 2.9.10. Ele está relacionado a com.zaxxer.hikari.HikariDataSource. Essa é uma vulnerabilidade diferente da CVE-2019-14540.

Um problema de tipagem polimórfica foi descoberto no FasterXML jackson-databind 2.0.0 até 2.9.10. Quando a digitação padrão está ativada (globalmente ou para uma propriedade específica) para um endpoint JSON exposto externamente e o serviço tem o commons-dbcp (1.4) jar no classpath, e um invasor pode encontrar um endpoint de serviço RMI para acessar, é possível fazer com que o serviço execute um payload malicioso. Esse problema existe devido ao processamento incorreto de org.apache.commons.dbcp.datasources.SharedPoolDataSource e org.apache.commons.dbcp.datasources.PerUserPoolDataSource.

Um problema de tipagem polimórfica foi descoberto no FasterXML jackson-databind 2.0.0 até 2.9.10. Quando a digitação padrão está ativada (globalmente ou para uma propriedade específica) para um endpoint JSON exposto externamente e o serviço tem o jar p6spy (3.8.6) no classpath, e um invasor pode encontrar um endpoint de serviço RMI para acessar, é possível fazer com que o serviço execute um payload malicioso. Esse problema existe devido ao tratamento incorreto de com.p6spy.engine.spy.P6DataSource.

Um problema de tipagem polimórfica foi descoberto no FasterXML jackson-databind antes da 2.9.10. Ele está relacionado a net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.

O FasterXML jackson-databind 2.x antes da versão 2.9.10.2 não tem determinados bloqueios de net.sf.ehcache.

Quando um site de chamada transmite um assunto para um e-mail que contém quebras de linha no Apache Commons Email 1.0 a 1.4, o autor da chamada pode adicionar cabeçalhos SMTP arbitrários.