4.50.00.08 - Note di rilascio di Edge per Private Cloud

Alcune variabili di flusso target non venivano compilate nella traccia per gli errori 504.

Abbiamo aggiunto miglioramenti per acquisire le variabili di flusso target pertinenti nella traccia e analisi in caso di timeout del target.

Le istruzioni per impostare le impostazioni TLS a livello di sistema non funzionavano.

Un bug che impediva l'applicazione delle impostazioni TLS ai processori dei messaggi è stato corretto.

Lo script update.sh non era riuscito dopo l'attivazione di TLS sul server di gestione.

Ora lo script di aggiornamento funziona correttamente anche se il protocollo TLS è abilitato sul server di gestione.

Quando un proxy HTTP è stato utilizzato insieme a un server di destinazione, è stato visualizzato l'IP del server proxy al posto del nome host o dell'indirizzo IP target.

Il problema è stato risolto con l'aggiunta di un nuovo Proprietà del processore di messaggi che consente di configurare il proxy di forwarding a un server di backend.

SubTypeValidator.java in jackson-databind FasterXML prima della 2.9.9.2 gestire in modo errato la digitazione predefinita quando viene utilizzato ehcache (per il seguente motivo: net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup), che porta all'esecuzione remota del codice.

Prima del file jackson-databind FasterXML è stato scoperto un problema di digitazione polimorfica 2.9.10. È correlato a com.zaxxer.hikari.HikariConfig.

È stato scoperto un difetto in jackson-databind nelle versioni precedenti alla 2.9.10, alla 2.8.11.5 e 2.6.7.3, ove permetterebbe la deserializzazione polimorfica di un oggetto dannoso usando le classi JNDI della configurazione comune 1 e 2. Un aggressore potrebbe usare questo difetto per eseguire un codice arbitrario.

Prima era stato rilevato un difetto nel jackson-databind di FasterXML in tutte le versioni precedenti 2.9.10 e 2.10.0, laddove ciò consentirebbe la deserializzazione polimorfica di oggetti che utilizzano il gadget JNDI xalan quando utilizzato in combinazione con il tipo polimorfico come `enableDefaultTyping()` o quando @JsonTypeInfo sta utilizzando `Id.CLASS` o `Id.MINIMAL_CLASS` o in qualsiasi altro modo che ObjectMapper.readValue potrebbe creare un'istanza per oggetti da origini non sicure. Un aggressore potrebbe utilizzare questo difetto per eseguire un codice arbitrario.

Prima del file jackson-databind FasterXML è stato scoperto un problema di digitazione polimorfica 2.9.10. È correlato a com.zaxxer.hikari.HikariDataSource. Si tratta di una vulnerabilità diversa da CVE-2019-14540.

È stato scoperto un problema di digitazione polimorfica in jackson-databind 2.0.0 FasterXML alla 2.9.10. Quando è abilitata la digitazione predefinita (a livello globale o per una proprietà specifica) per un endpoint JSON esposto esternamente e il servizio ha commons-dbcp (1.4) nel classpath e un aggressore riesce a trovare un endpoint di servizio RMI per accedere, è possibile fare in modo che il servizio esegua un payload dannoso. Questo problema esiste a causa di org.apache.commons.dbcp.datasources.SharedPoolDataSource e org.apache.commons.dbcp.datasources.PerUserPoolDataSource maltrattamenti.

È stato scoperto un problema di digitazione polimorfica in jackson-databind 2.0.0 FasterXML alla 2.9.10. Quando è abilitata la digitazione predefinita (a livello globale o per una proprietà specifica) per un endpoint JSON esposto esternamente e il servizio ha il jar p6spy (3.8.6) classpath e un aggressore può trovare un endpoint di servizio RMI a cui accedere, è possibile per far sì che il servizio esegua un payload dannoso. Il problema esiste a causa di Maltrattamenti da parte di com.p6spy.engine.spy.P6DataSource.

Prima del file jackson-databind FasterXML è stato scoperto un problema di digitazione polimorfica 2.9.10. È correlato a net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.

Il jackson-databind 2.x prima della versione 2.9.10.2 più veloce non dispone Blocco di net.sf.ehcache.

Quando un sito di chiamata trasmette l'oggetto di un'email che contiene interruzioni di riga in Apache Commons Email da 1.0 a 1.4, il chiamante può aggiungere intestazioni SMTP arbitrarie.