4.50.00.08 - निजी क्लाउड के लिए Edge की जानकारी

Apigee Edge का दस्तावेज़ देखा जा रहा है.
Apigee X के दस्तावेज़ पर जाएं. info

हमने 30 मार्च, 2021 को Apigee Edge for Private Cloud का नया वर्शन रिलीज़ किया था.

अपडेट करने की प्रोसेस

इस रिलीज़ को अपडेट करने से, आरपीएम की इस सूची में मौजूद कॉम्पोनेंट अपडेट हो जाएंगे:

  • edge-gateway-4.50.00-0.0.20116.noarch.rpm
  • edge-management-server-4.50.00-0.0.20116.noarch.rpm
  • edge-message-processor-4.50.00-0.0.20116.noarch.rpm
  • edge-postgres-server-4.50.00-0.0.20116.noarch.rpm
  • edge-qpid-server-4.50.00-0.0.20116.noarch.rpm
  • edge-router-4.50.00-0.0.20116.noarch.rpm
  • edge-ui-4.50.00-0.0.20173.noarch.rpm

आपके पास यह देखने का विकल्प होता है कि आपके डिवाइस में RPM के कौनसे वर्शन इंस्टॉल हैं. इसके लिए, आपको यह कमांड डालनी होगी:

apigee-all version

इंस्टॉलेशन को अपडेट करने के लिए, Edge नोड पर यह तरीका अपनाएं:

  1. सभी Edge नोड पर:

    1. Yum रिपॉज़िटरी साफ़ करें: 
      sudo yum clean all
    2. Edge 4.50.00 की नई bootstrap_4.50.00.sh फ़ाइल डाउनलोड करें. इसके लिए, /tmp/bootstrap_4.50.00.sh पर जाएं: 
      curl https://software.apigee.com/bootstrap_4.50.00.sh -o /tmp/bootstrap_4.50.00.sh
    3. Edge 4.50.00 apigee-service यूटिलिटी और डिपेंडेंसी इंस्टॉल करें: 
      sudo bash /tmp/bootstrap_4.50.00.sh apigeeuser=uName apigeepassword=pWord

      यहां uName:pWord, Apigee से मिला उपयोगकर्ता नाम और पासवर्ड है. अगर आपने pWord नहीं डाला है, तो आपसे इसे डालने के लिए कहा जाएगा.

    4. apigee-setup यूटिलिटी को अपडेट करें: 
      sudo /opt/apigee/apigee-service/bin/apigee-service apigee-setup update
    5. apigee-service.sh स्क्रिप्ट को चलाने के लिए, source कमांड का इस्तेमाल करें: 
      source /etc/profile.d/apigee-service.sh
  2. सभी एज नोड पर, edge प्रोसेस के लिए update.sh स्क्रिप्ट को लागू करें. इसके लिए, हर नोड पर यह कमांड चलाएं: 
    /opt/apigee/apigee-setup/bin/update.sh -c edge -f configFile
  3. सभी नोड पर यूज़र इंटरफ़ेस के लिए, update.sh स्क्रिप्ट को एक्ज़ीक्यूट करें. हर नोड पर, यह कमांड चलाएं: 
    /opt/apigee/apigee-setup/bin/update.sh -c ui -f configFile

सपोर्ट किए गए सॉफ़्टवेयर में बदलाव

इस रिलीज़ में, काम करने वाले सॉफ़्टवेयर में कोई बदलाव नहीं किया गया है.

बंद की गई सेवाएं/सुविधाएं

इस रिलीज़ में, किसी भी सुविधा को बंद नहीं किया गया है.

नई सुविधाएं

इस रिलीज़ में, यह नई सुविधा जोड़ी गई है:

  • हमने Message Processor के लिए एक नई प्रॉपर्टी लॉन्च की है. इसका इस्तेमाल करके, बैकएंड सर्वर पर फ़ॉरवर्डिंग प्रॉक्सी को कॉन्फ़िगर किया जा सकता है: use.proxy.host.header.with.target.uri. यह प्रॉपर्टी, टारगेट होस्ट और पोर्ट को Host हेडर के तौर पर सेट करती है.

गड़बड़ियां ठीक की गईं

यहां दी गई टेबल में, इस रिलीज़ में ठीक की गई गड़बड़ियों की सूची दी गई है:

समस्या आईडी ब्यौरा
158132963

504 के लिए, कुछ टारगेट फ़्लो वैरिएबल को ट्रेस में नहीं भरा जा रहा था.

हमने टारगेट टाइमआउट के मामले में, ट्रेस और आंकड़ों में काम के टारगेट फ़्लो वैरिएबल कैप्चर करने की सुविधा को बेहतर बनाया है.

141670890

सिस्टम लेवल पर टीएलएस सेटिंग सेट करने के निर्देश काम नहीं कर रहे थे.

मैसेज प्रोसेसर पर टीएलएस सेटिंग लागू होने से रोकने वाली गड़बड़ी को ठीक कर दिया गया है.
123311920

मैनेजमेंट सर्वर पर टीएलएस चालू करने के बाद, update.sh स्क्रिप्ट काम नहीं कर रही थी.

अपडेट स्क्रिप्ट अब सही तरीके से काम करती है. भले ही, मैनेजमेंट सर्वर पर टीएलएस चालू हो.
67168818

जब टारगेट सर्वर के साथ एचटीटीपी प्रॉक्सी का इस्तेमाल किया जाता था, तब टारगेट के होस्टनेम या आईपी पते के बजाय प्रॉक्सी सर्वर का आईपी पता दिखता था.

इस समस्या को ठीक कर दिया गया है. इसके लिए, एक नई Message Processor प्रॉपर्टी जोड़ी गई है. इसकी मदद से, बैकएंड सर्वर पर फ़ॉरवर्डिंग प्रॉक्सी को कॉन्फ़िगर किया जा सकता है.

सुरक्षा से जुड़ी समस्याएं ठीक की गईं

यहां सुरक्षा से जुड़ी उन समस्याओं की सूची दी गई है जिन्हें इस रिलीज़ में ठीक कर दिया गया है. इन समस्याओं से बचने के लिए, Edge Private Cloud का नया वर्शन इंस्टॉल करें.

समस्या आईडी ब्यौरा
CVE-2019-14379

SubTypeValidator.java में FasterXML jackson-databind 2.9.9.2 से पहले के वर्शन में, ehcache का इस्तेमाल करते समय डिफ़ॉल्ट टाइपिंग को गलत तरीके से हैंडल किया जाता है. ऐसा net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup की वजह से होता है. इससे रिमोट कोड एक्ज़ीक्यूशन हो सकता है.
CVE-2019-14540

FasterXML jackson-databind में 2.9.10 से पहले, Polymorphic Typing की समस्या का पता चला था. यह com.zaxxer.hikari.HikariConfig से जुड़ा है.
CVE-2019-14892

jackson-databind के 2.9.10, 2.8.11.5, और 2.6.7.3 से पहले के वर्शन में एक गड़बड़ी मिली है. इसमें commons-configuration 1 और 2 JNDI क्लास का इस्तेमाल करके, नुकसान पहुंचाने वाले ऑब्जेक्ट को पॉलीमॉर्फिक तरीके से डीसीरियलाइज़ करने की अनुमति दी जाती है. हमलावर इस गड़बड़ी का इस्तेमाल करके, आर्बिट्ररी कोड को एक्ज़ीक्यूट कर सकता है.
CVE-2019-14893

FasterXML jackson-databind के 2.9.10 और 2.10.0 से पहले के सभी वर्शन में एक गड़बड़ी मिली है. इसमें xalan JNDI गैजेट का इस्तेमाल करके, नुकसान पहुंचाने वाले ऑब्जेक्ट को पॉलीमॉर्फ़िक तरीके से डीसीरियलाइज़ करने की अनुमति दी जाती है. ऐसा तब होता है, जब इसका इस्तेमाल पॉलीमॉर्फ़िक टाइप हैंडलिंग के तरीकों, जैसे कि `enableDefaultTyping()` के साथ किया जाता है या जब @JsonTypeInfo, `Id.CLASS` या `Id.MINIMAL_CLASS` का इस्तेमाल कर रहा होता है या किसी अन्य तरीके से ObjectMapper.readValue, असुरक्षित सोर्स से ऑब्जेक्ट इंस्टैंटिएट कर सकता है. हमलावर इस गड़बड़ी का इस्तेमाल करके, आर्बिट्ररी कोड को एक्ज़ीक्यूट कर सकता है.
CVE-2019-16335

FasterXML jackson-databind में 2.9.10 से पहले, Polymorphic Typing की समस्या का पता चला था. यह com.zaxxer.hikari.HikariDataSource से जुड़ा है. यह CVE-2019-14540 से अलग जोखिम है.
CVE-2019-16942

FasterXML jackson-databind 2.0.0 से लेकर 2.9.10 तक के वर्शन में, पॉलीमॉर्फ़िक टाइपिंग की समस्या का पता चला है. जब किसी बाहरी तौर पर उपलब्ध JSON एंडपॉइंट के लिए, डिफ़ॉल्ट टाइपिंग की सुविधा चालू होती है (चाहे यह सुविधा सभी के लिए चालू हो या किसी खास प्रॉपर्टी के लिए), सेवा के पास क्लासपाथ में commons-dbcp (1.4) jar होता है, और हमलावर को ऐक्सेस करने के लिए RMI सेवा एंडपॉइंट मिल जाता है, तो सेवा को नुकसान पहुंचाने वाले पेलोड को एक्ज़ीक्यूट किया जा सकता है. यह समस्या, org.apache.commons.dbcp.datasources.SharedPoolDataSource और org.apache.commons.dbcp.datasources.PerUserPoolDataSource को गलत तरीके से इस्तेमाल करने की वजह से हुई है.
CVE-2019-16943

FasterXML jackson-databind 2.0.0 से लेकर 2.9.10 तक के वर्शन में, पॉलीमॉर्फ़िक टाइपिंग की समस्या का पता चला है. जब किसी बाहरी तौर पर उपलब्ध JSON एंडपॉइंट के लिए, डिफ़ॉल्ट टाइपिंग की सुविधा चालू होती है (चाहे यह सुविधा पूरी तरह से चालू हो या किसी खास प्रॉपर्टी के लिए) और सेवा के क्लासपाथ में p6spy (3.8.6) जार मौजूद हो. साथ ही, हमलावर को ऐक्सेस करने के लिए RMI सेवा एंडपॉइंट मिल जाता है, तो सेवा को नुकसान पहुंचाने वाले पेलोड को एक्ज़ीक्यूट किया जा सकता है. यह समस्या com.p6spy.engine.spy.P6DataSource के गलत इस्तेमाल की वजह से हुई है.
CVE-2019-17267

FasterXML jackson-databind में 2.9.10 से पहले, Polymorphic Typing की समस्या का पता चला था. यह net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup से जुड़ा है.
CVE-2019-20330

FasterXML jackson-databind 2.x के 2.9.10.2 से पहले के वर्शन में, कुछ net.sf.ehcache को ब्लॉक करने की सुविधा नहीं है.
CVE-2017-9801

जब कोई कॉल-साइट, Apache Commons Email 1.0 से 1.4 में लाइन ब्रेक वाले ईमेल के लिए कोई विषय पास करती है, तो कॉल करने वाला व्यक्ति कोई भी एसएमटीपी हेडर जोड़ सकता है.

ज्ञात समस्याएं

Edge Private Cloud से जुड़ी ज्ञात समस्याओं की सूची देखने के लिए, Edge Private Cloud से जुड़ी ज्ञात समस्याएं लेख पढ़ें.