4.50.00.08 – Versionshinweise zu Edge für Private Cloud

Sie sehen die Dokumentation zu Apigee Edge.
Zur Apigee X-Dokumentation
weitere Informationen

Am 30. März 2021 haben wir eine neue Version von Apigee Edge für Private Cloud veröffentlicht.

Updateverfahren

Durch die Aktualisierung dieses Release werden die Komponenten in der folgenden RPM-Liste aktualisiert:

  • edge-gateway-4.50.00-0.0.20116.noarch.rpm
  • edge-management-server-4.50.00-0.0.20116.noarch.rpm
  • edge-message-processor-4.50.00-0.0.20116.noarch.rpm
  • edge-postgres-server-4.50.00-0.0.20116.noarch.rpm
  • edge-qpid-server-4.50.00-0.0.20116.noarch.rpm
  • edge-router-4.50.00-0.0.20116.noarch.rpm
  • edge-ui-4.50.00-0.0.20173.noarch.rpm

Sie können prüfen, ob die derzeit installierten RPM-Versionen aktualisiert werden müssen. Geben Sie dazu Folgendes ein:

apigee-all version

Führen Sie das folgende Verfahren auf den Edge-Knoten aus, um Ihre Installation zu aktualisieren:

  1. Auf allen Edge-Knoten:

    1. Bereinigen Sie die Yum-Repositories:
      sudo yum clean all
    2. Laden Sie die neueste bootstrap_4.50.00.sh-Datei von Edge 4.50.00 in /tmp/bootstrap_4.50.00.sh herunter:
      curl https://software.apigee.com/bootstrap_4.50.00.sh -o /tmp/bootstrap_4.50.00.sh
    3. Installieren Sie das apigee-service-Dienstprogramm von Edge 4.50.00 und die Abhängigkeiten:
      sudo bash /tmp/bootstrap_4.50.00.sh apigeeuser=uName apigeepassword=pWord

      Dabei sind uName:pWord der Nutzername und das Passwort, die Sie von Apigee erhalten haben. Wenn Sie pWord weglassen, werden Sie aufgefordert, ihn einzugeben.

    4. Aktualisieren Sie das Dienstprogramm apigee-setup:
      sudo /opt/apigee/apigee-service/bin/apigee-service apigee-setup update
    5. Verwenden Sie den Befehl source, um das Skript apigee-service.sh auszuführen:
      source /etc/profile.d/apigee-service.sh
  2. Führen Sie auf allen Edge-Knoten das Skript update.sh für den Prozess edge aus. Führen Sie dazu auf jedem Knoten den folgenden Befehl aus:
    /opt/apigee/apigee-setup/bin/update.sh -c edge -f configFile
  3. Führen Sie das Update.sh-Skript für die UI auf allen Knoten aus. Führen Sie auf jedem Knoten den folgenden Befehl aus:
    /opt/apigee/apigee-setup/bin/update.sh -c ui -f configFile

Änderungen an unterstützter Software

In dieser Version gibt es keine Änderungen an der unterstützten Software.

Einstellung und Einstellung

In dieser Version gibt es keine neuen Einstellungen oder Einstellungen.

Neue Funktionen

In diesem Release wird die folgende neue Funktion eingeführt:

  • Wir haben eine neue Property für Message Processor eingeführt, mit der Sie den Weiterleitungs-Proxy zu einem Back-End-Server konfigurieren können: use.proxy.host.header.with.target.uri. Die Eigenschaft legt den Zielhost und -port als Host-Header fest.

Fehlerkorrekturen

In der folgenden Tabelle sind die in diesem Release behobenen Fehler aufgeführt:

Fehler-ID Beschreibung
158132963

Einige Zielflussvariablen wurden für 504-Fehler in Trace nicht ausgefüllt.

Wir haben Verbesserungen vorgenommen, um bei Zielzeitüberschreitungen relevante Zielflussvariablen in Trace und Analysen zu erfassen.

141670890

Die Anleitung zum Festlegen von TLS-Einstellungen auf Systemebene hat nicht funktioniert.

Ein Fehler, der verhinderte, dass TLS-Einstellungen auf Nachrichtenprozessoren wirksam wurden, wurde behoben.

123311920

Beim Aktivieren von TLS auf dem Verwaltungsserver ist beim Script update.sh ein Fehler aufgetreten.

Das Update-Skript funktioniert jetzt korrekt, auch wenn TLS auf dem Verwaltungsserver aktiviert ist.

67168818

Wenn ein HTTP-Proxy in Verbindung mit einem Zielserver verwendet wurde, wurde die IP-Adresse des Proxyservers anstelle des Hostnamens oder der IP-Adresse des tatsächlichen Ziels angezeigt.

Dieses Problem wurde durch Hinzufügen der neuen Property "Nachrichtenprozessor" behoben, mit der Sie einen Weiterleitungs-Proxy für einen Back-End-Server konfigurieren können.

Sicherheitsprobleme behoben

Im Folgenden finden Sie eine Liste bekannter Sicherheitsprobleme, die in dieser Version behoben wurden. Installieren Sie die neueste Version von Edge Private Cloud, um diese Probleme zu vermeiden.

Fehler-ID Beschreibung
CVE-2019-14379

SubTypeValidator.java in FasterXML jackson-databind vor 2.9.9.2 verfälscht die Standardeingabe, wenn Ethcache verwendet wird (aufgrund von net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup), was zu einer Remote-Ausführung von Code führt.

CVE-2019-14540

Ein polymorphes Tippproblem wurde in FasterXML Jackson-Databind vor 2.9.10 entdeckt. Es ist verwandt mit com.zaxxer.hikari.HikariConfig.

CVE-2019-14892

In den Versionen vor 2.9.10, 2.8.11.5 und 2.6.7.3 wurde ein Fehler in jackson-databind entdeckt, der eine polymorphe Deserialisierung eines schädlichen Objekts unter Verwendung der Commons-Konfigurationsklassen 1 und 2 der JNDI-Klassen ermöglichte. Ein Angreifer könnte diese Schwachstelle nutzen, um beliebigen Code auszuführen.

CVE-2019-14893

In allen Versionen vor 2.9.10 und 2.10.0 wurde in FasterXML JNDI ein Fehler gefunden. Dieser ermöglichte eine polymorphe Deserialisierung schädlicher Objekte mithilfe des Xalan-JNDI-Gadgets, wenn sie in Verbindung mit polymorphen Verarbeitungsmethoden wie `enableDefaultTyping()` verwendet wurde, oder wenn @JsonTypeInfo Instant `Id.CLASS` oder `Id.MINIMAL_CLASS` aus unsicheren Quellen nutzte oder auf andere Weise Objekte aus unsicheren Quellen nutzte.ObjectMapper.readValue Ein Angreifer könnte diese Schwachstelle nutzen, um beliebigen Code auszuführen.

CVE-2019-16335

Ein polymorphes Tippproblem wurde in FasterXML Jackson-Databind vor 2.9.10 entdeckt. Es ist verwandt mit com.zaxxer.hikari.HikariDataSource. Dies ist eine andere Sicherheitslücke als CVE-2019-14540.

CVE-2019-16942

Ein polymorphes Tippproblem wurde in FasterXML Jackson-Databind 2.0.0 bis 2.9.10 entdeckt. Wenn die Standardtypisierung für einen extern freigegebenen JSON-Endpunkt aktiviert ist (entweder global oder für ein bestimmtes Attribut), der Dienst die JAR-Datei „commons-dbcp (1.4)“ im Klassenpfad hat und ein Angreifer einen RMI-Dienstendpunkt finden kann, auf den zugegriffen werden kann, kann der Dienst eine schädliche Nutzlast ausführen. Dieses Problem tritt aufgrund einer unsachgemäßen Handhabung von org.apache.commons.dbcp.datasources.SharedPoolDataSource und org.apache.commons.dbcp.datasources.PerUserPoolDataSource auf.

CVE-2019-16943

Ein polymorphes Tippproblem wurde in FasterXML Jackson-Databind 2.0.0 bis 2.9.10 entdeckt. Wenn die Standardtypisierung für einen extern freigegebenen JSON-Endpunkt aktiviert ist (entweder global oder für ein bestimmtes Attribut), der Dienst die p6spy-JAR-Datei (3.8.6) im Klassenpfad hat und ein Angreifer einen RMI-Dienstendpunkt für den Zugriff finden kann, kann der Dienst eine schädliche Nutzlast ausführen. Dieses Problem tritt aufgrund einer unsachgemäßen Handhabung von com.p6spy.engine.spy.P6DataSource auf.

CVE-2019-17267

Ein polymorphes Tippproblem wurde in FasterXML Jackson-Databind vor 2.9.10 entdeckt. Es bezieht sich auf net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.

CVE-2019-20330

In FasterXML jackson-databind 2.x vor 2.9.10.2 fehlt eine bestimmte net.sf.ehcache-Blockierung.

CVE-2017-9801

Wenn eine Anrufwebsite einen Betreff für eine E-Mail übergibt, die Zeilenumbrüche in Apache Commons Email 1.0 bis 1.4 enthält, kann der Aufrufer beliebige SMTP-Header hinzufügen.

Bekannte Probleme

Eine Liste der bekannten Probleme mit Edge Private Cloud finden Sie unter Bekannte Probleme mit Edge Private Cloud.