דף זה תורגם על ידי Cloud Translation API.

4.50.00.08 – נתוני גרסה של Edge לענן פרטי

מוצג המסמך של Apigee Edge.
עוברים אל מסמכי תיעוד של Apigee X. מידע

ב-30 במרץ 2021 השקנו גרסה חדשה של Apigee Edge לענן פרטי.

תהליך העדכון

עדכון הגרסה הזו יעדכן את הרכיבים ברשימה הבאה של הכנסה לאלף צפיות (RPM):

edge-gateway-4.50.00-0.0.20116.noarch.rpm
edge-management-server-4.50.00-0.0.20116.noarch.rpm
edge-message-processor-4.50.00-0.0.20116.noarch.rpm
edge-postgres-server-4.50.00-0.0.20116.noarch.rpm
edge-qpid-server-4.50.00-0.0.20116.noarch.rpm
edge-router-4.50.00-0.0.20116.noarch.rpm
edge-ui-4.50.00-0.0.20173.noarch.rpm

אתם יכולים לבדוק את הגרסאות של ההכנסה לאלף צפיות (RPM) שהתקנתם כרגע כדי לראות אם הן נדרש עדכון, על ידי הזנת:

apigee-all version

כדי לעדכן את ההתקנה, מבצעים את התהליך הבא בצמתים של Edge:

בכל הצמתים של Edge:
1. מנקים את המאגרים של Yum:
```
sudo yum clean all
```
2. מורידים את קובץ Edge 4.50.00 bootstrap_4.50.00.sh העדכני ביותר אל /tmp/bootstrap_4.50.00.sh:
```
curl https://software.apigee.com/bootstrap_4.50.00.sh -o /tmp/bootstrap_4.50.00.sh
```
3. מתקינים את כלי השירות apigee-service של Edge 4.50.00 ואת יחסי התלות:
```
sudo bash /tmp/bootstrap_4.50.00.sh apigeeuser=uName apigeepassword=pWord
```
  כאשר uName:pWord הם שם המשתמש והסיסמה שקיבלתם מ-Apigee. אם תשמיטו את pWord, תתבקשו להזין אותו.
4. מעדכנים את כלי השירות apigee-setup:
```
sudo /opt/apigee/apigee-service/bin/apigee-service apigee-setup update
```
5. משתמשים בפקודה source כדי להריץ את הסקריפט apigee-service.sh:
```
source /etc/profile.d/apigee-service.sh
```
בכל הצמתים של Edge, מריצים את הסקריפט update.sh עבור edge תהליך האימות. כדי לעשות זאת, מריצים את הפקודה הבאה בכל צומת:
```
/opt/apigee/apigee-setup/bin/update.sh -c edge -f configFile
```
מריצים את הסקריפט update.sh עבור ממשק המשתמש בכל הצמתים. בכל צומת, מריצים את הפקודה הבאה:
```
/opt/apigee/apigee-setup/bin/update.sh -c ui -f configFile
```

שינויים ב- תוכנה נתמכת

אין שינויים בתוכנות הנתמכות בגרסה הזו.

הוצאה משימוש ופרישה משימוש

אין הוצאה משימוש או פרישה חדשה בגרסה הזו.

תכונות חדשות

הגרסה הזו מציגה את התכונה החדשה הבאה:

הוספנו מאפיין חדש למעבד הודעות שאפשר משמש להגדרת שרת proxy להעברה לשרת עורפי: use.proxy.host.header.with.target.uri בנכס מוגדר מארח היעד והיציאה שלו ככותרת המארח.

הבאגים תוקנו

בטבלה הבאה מפורטים הבאגים שתוקנו בגרסה הזו:

מזהה הבעיה	תיאור
158132963	חלק ממשתני היעד של הזרימה לא אוכלסו במעקב עבור גרסאות 504. הוספנו שיפורים כדי לתעד משתנים רלוונטיים של זרימת היעד במעקב וניתוח נתונים במקרה של זמנים קצובים לתפוגה של יעד.
141670890	ההוראות להגדרת הגדרות TLS ברמת המערכת לא פעלו. באג שמנע מהגדרות ה-TLS להשפיע על מעבדי ההודעות תוקנה.
123311920	סקריפט אחד (`update.sh`) נכשל אחרי הפעלת TLS בשרת הניהול. סקריפט העדכון פועל עכשיו בצורה תקינה גם אם TLS מופעל בשרת הניהול.
67168818	כשנעשה שימוש בשרת Proxy ל-HTTP בשילוב עם שרת יעד, כתובת ה-IP של שרת ה-proxy הוצגה במקום שם המארח או ה-IP של היעד. הבעיה נפתרה על ידי הוספת חדש מאפיין מעבד הודעות שמאפשר לך להגדיר שרת proxy להעברה לשרת עורפי.

בעיות האבטחה תוקנו

בהמשך מופיעה רשימה של בעיות אבטחה ידועות שתוקנו בגרסה הזו. כדי למנוע את הבעיות האלה, צריך להתקין את הגרסה האחרונה של 'ענן פרטי של Edge'.

מזהה הבעיה	תיאור
CVE-2019-14379	`SubTypeValidator.java` ב-FastXML jackson-databind לפני 2.9.9.2 טיפול שגוי בהקלדת ברירת המחדל בעת שימוש ב-ehcache (בגלל `net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup`), שמובילה להרצת קוד מרחוק.
CVE-2019-14540	לפני כן התגלתה בעיה בהקלדה פולימורפית ב-FastXML jackson-databind 2.9.10. הוא קשור ל-`com.zaxxer.hikari.HikariConfig`.
CVE-2019-14892	התגלה פגם ב-jackson-databind בגרסאות לפני 2.9.10, 2.8.11.5 ו-2.6.7.3, במקרה שבו הדבר יאפשר דה-סריאליזציה פולימורפית של אובייקט זדוני. באמצעות מחלקות JNDI 1 ו-2. תוקף יכול להשתמש בפגם הזה כדי להפעיל קוד שרירותי.
CVE-2019-14893	התגלה פגם ב-FastXML-jackson-databind בכל הגרסאות לפני 2.9.10 ו-2.10.0, במקרים שבהם הדבר יאפשר פולימורפיה הפוכה (deserialization) של תוכנות זדוניות אובייקטים המשתמשים בגאדג'ט xalan JNDI כאשר משתמשים בהם בשילוב עם סוג פולימורפי שיטות טיפול כמו `enableDefaultTyping()` או כאשר נעשה שימוש ב-`@JsonTypeInfo` `Id.CLASS` או `Id.MINIMAL_CLASS` או בכל דרך אחרת, `ObjectMapper.readValue` אולי ליצור אובייקטים ממקורות לא בטוחים. תוקף יכול להשתמש בלים הזה כדי לבצע קוד שרירותי.
CVE-2019-16335	לפני כן התגלתה בעיה בהקלדה פולימורפית ב-FastXML jackson-databind 2.9.10. הוא קשור ל-`com.zaxxer.hikari.HikariDataSource`. זו נקודת חולשה שונה מ-CVE-2019-14540.
CVE-2019-16942	התגלתה בעיה בהקלדה פולימורפית ב-FastXML jackson-databind 2.0.0 עד 2.9.10. כאשר הקלדת ברירת המחדל מופעלת (באופן גלובלי או עבור נכס ספציפי) לנקודת קצה (endpoint) של JSON שנחשפה חיצונית, ולשירות יש את צנצנת Commons-dbcp (1.4) ב-classpath, ותוקף יכול למצוא נקודת קצה של שירות RMI כדי לגשת, ייתכן לגרום לשירות להפעיל מטען ייעודי (payload) זדוני. הבעיה הזו קיים בגלל `org.apache.commons.dbcp.datasources.SharedPoolDataSource` ו-`org.apache.commons.dbcp.datasources.PerUserPoolDataSource` טיפול לקוי.
CVE-2019-16943	התגלתה בעיה בהקלדה פולימורפית ב-FastXML jackson-databind 2.0.0 עד 2.9.10. כאשר הקלדת ברירת המחדל מופעלת (באופן גלובלי או עבור נכס ספציפי) לנקודת קצה של JSON שנחשפה חיצונית, ולשירות יש את הצנצנת p6spy (3.8.6) classpath, ותוקפים יכולים למצוא נקודת קצה של שירות RMI כדי לגשת אליהם, כדי להפעיל את השירות מטען ייעודי (payload) זדוני. הבעיה קיימת בגלל טיפול לקוי ב-`com.p6spy.engine.spy.P6DataSource`.
CVE-2019-17267	לפני כן התגלתה בעיה בהקלדה פולימורפית ב-FastXML jackson-databind 2.9.10. התוצאה קשורה ל: `net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup`
CVE-2019-20330	ל-Jackson-databind 2.x לפני 2.9.10.2 אין נתונים מסוימים ב-jackson-databind 2.x מהיר יותר חסימה של `net.sf.ehcache`.
CVE-2017-9801	כשאתר התקשרות מעביר נושא של הודעת אימייל עם מעברי שורה אימייל Apache Commons Email מגרסה 1.0 עד 1.4, מבצע הקריאה יכול להוסיף כותרות SMTP שרירותיות.

בעיות מוכרות

אפשר לראות רשימה של בעיות ידועות בענן הפרטי של Edge: בעיות מוכרות בענן פרטי של Edge

4.50.00.09

4.50.00.07