4.50.00.08 - Private Cloud용 Edge 출시 노트

현재 Apigee Edge 문서가 표시되고 있습니다.
Apigee X 문서로 이동 정보

2021년 3월 30일에 프라이빗 클라우드용 Apigee Edge의 새 버전이 출시되었습니다.

업데이트 절차

이 버전을 업데이트하면 다음 RPM 목록의 구성요소가 업데이트됩니다.

  • edge-gateway-4.50.00-0.0.20116.noarch.rpm
  • edge-management-server-4.50.00-0.0.20116.noarch.rpm
  • edge-message-processor-4.50.00-0.0.20116.noarch.rpm
  • edge-postgres-server-4.50.00-0.0.20116.noarch.rpm
  • edge-qpid-server-4.50.00-0.0.20116.noarch.rpm
  • edge-router-4.50.00-0.0.20116.noarch.rpm
  • edge-ui-4.50.00-0.0.20173.noarch.rpm

다음을 입력하여 현재 설치된 RPM 버전을 확인하고 업데이트가 필요한지 확인할 수 있습니다.

apigee-all version

설치를 업데이트하려면 에지 노드에서 다음 절차를 수행합니다.

  1. 모든 Edge 노드에서 다음을 실행합니다.

    1. Yum 저장소를 정리합니다. 
      sudo yum clean all
    2. 최신 Edge 4.50.00 bootstrap_4.50.00.sh 파일을 /tmp/bootstrap_4.50.00.sh에 다운로드합니다. 
      curl https://software.apigee.com/bootstrap_4.50.00.sh -o /tmp/bootstrap_4.50.00.sh
    3. Edge 4.50.00 apigee-service 유틸리티 및 종속 항목을 설치합니다. 
      sudo bash /tmp/bootstrap_4.50.00.sh apigeeuser=uName apigeepassword=pWord

      여기서 uName:pWord은 Apigee에서 받은 사용자 이름과 비밀번호입니다. pWord를 생략하면 입력하라는 메시지가 표시됩니다.

    4. apigee-setup 유틸리티를 업데이트합니다. 
      sudo /opt/apigee/apigee-service/bin/apigee-service apigee-setup update
    5. source 명령어를 사용하여 apigee-service.sh 스크립트를 실행합니다. 
      source /etc/profile.d/apigee-service.sh
  2. 모든 Edge 노드에서 edge 프로세스에 대한 update.sh 스크립트를 실행합니다. 이렇게 하려면 각 노드에서 다음 명령어를 실행합니다. 
    /opt/apigee/apigee-setup/bin/update.sh -c edge -f configFile
  3. 모든 노드에서 UI의 update.sh 스크립트를 실행합니다. 각 노드에서 다음 명령어를 실행합니다. 
    /opt/apigee/apigee-setup/bin/update.sh -c ui -f configFile

지원되는 소프트웨어 변경사항

이 버전에서는 지원되는 소프트웨어에 변경사항이 없습니다.

지원 중단 및 중단

이 버전에는 새로운 지원 중단이나 지원 중단이 없습니다.

새로운 기능

이 릴리스에서는 다음과 같은 새로운 기능을 제공합니다.

  • 백엔드 서버로 전달 프록시를 구성하는 데 사용할 수 있는 새로운 메시지 프로세서 속성 use.proxy.host.header.with.target.uri이 도입되었습니다. 속성은 대상 호스트와 포트를 호스트 헤더로 설정합니다.

수정된 버그

다음 표에는 이번 출시에서 수정된 버그가 나열되어 있습니다.

문제 ID 설명
158132963

504 오류가 발생하는 트레이스에서 일부 대상 흐름 변수가 채워지지 않았습니다.

목표 시간 초과 시 트레이스 및 분석에서 관련 대상 흐름 변수를 캡처하기 위한 개선사항이 추가되었습니다.

141670890

시스템 수준의 TLS 설정 설정에 관한 안내가 작동하지 않았습니다.

TLS 설정이 메시지 프로세서에 적용되지 않는 버그가 수정되었습니다.
123311920

관리 서버에서 TLS를 사용 설정한 후 update.sh 스크립트가 실패했습니다.

이제 관리 서버에 TLS가 사용 설정된 경우에도 업데이트 스크립트가 올바르게 작동합니다.
67168818

HTTP 프록시를 대상 서버와 함께 사용할 때 실제 대상의 호스트 이름 또는 IP 대신 프록시 서버의 IP가 표시되었습니다.

이 문제는 백엔드 서버로 전달 프록시를 구성할 수 있는 새로운 메시지 프로세서 속성이 추가되어 수정되었습니다.

보안 문제 해결됨

다음은 이번 버전에서 해결된 알려진 보안 문제 목록입니다. 이러한 문제를 방지하려면 최신 버전의 Edge Private Cloud를 설치하세요.

문제 ID 설명
CVE-2019-14379

2.9.9.2 이전의 FastXML jackson-databind의 SubTypeValidator.java은 ehcache를 사용할 때 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup 때문에 기본 입력을 잘못 처리하여 원격 코드 실행으로 이어집니다.
CVE-2019-14540

2.9.10 이전의 FastXML jackson-databind에서 다형성 입력 문제가 발견되었습니다. com.zaxxer.hikari.HikariConfig와 관련이 있습니다.
CVE-2019-14892

2.9.10, 2.8.11.5, 2.6.7.3 이전 버전의 jackson-databind에서 Commons 구성 1 및 2 JNDI 클래스를 사용하여 악성 객체의 다형성 역직렬화를 허용하는 결함이 발견되었습니다. 공격자는 이 결함을 사용하여 임의의 코드를 실행할 수 있습니다.
CVE-2019-14893

2.9.10 및 2.10.0 이전의 모든 버전에서는 FastXML jackson-databind에서 결함이 발견되었습니다. `enableDefaultTyping()`와 같은 다형성 유형 처리 메서드와 함께 사용되거나 @JsonTypeInfo가 `Id.CLASS` 또는 `Id.MINIMAL_CLASS` 또는 다른 방식으로 인스턴트 소스의 안전하지 않은 소스 객체를 사용할 때 xalan JNDI 가젯과 함께 사용되면 xalan JNDI 가젯으로 악성 객체의 다형성 역직렬화를 허용할 수 있습니다.ObjectMapper.readValue 공격자는 이 결함을 사용하여 임의의 코드를 실행할 수 있습니다.
CVE-2019-16335

2.9.10 이전의 FastXML jackson-databind에서 다형성 입력 문제가 발견되었습니다. com.zaxxer.hikari.HikariDataSource와 관련이 있습니다. 이는 CVE-2019-14540과 다른 취약점입니다.
CVE-2019-16942

FastXML jackson-databind 2.0.0~2.9.10에서 다형성 입력 문제가 발견되었습니다. 외부에 노출된 JSON 엔드포인트에 대해 전역적으로 또는 특정 속성에 대해 기본 입력이 사용 설정되고 서비스의 클래스 경로에 Commons-dbcp (1.4) jar가 있고 공격자가 액세스할 RMI 서비스 엔드포인트를 찾을 수 있는 경우 서비스에서 악성 페이로드를 실행하도록 할 수 있습니다. 이 문제는 org.apache.commons.dbcp.datasources.SharedPoolDataSource 및 org.apache.commons.dbcp.datasources.PerUserPoolDataSource의 잘못된 처리로 인해 발생합니다.
CVE-2019-16943

FastXML jackson-databind 2.0.0~2.9.10에서 다형성 입력 문제가 발견되었습니다. 외부에 노출된 JSON 엔드포인트에 기본 입력이 전역적으로 또는 특정 속성에 사용 설정되고 서비스의 클래스 경로에 p6spy(3.8.6) jar가 있으며 공격자가 액세스할 RMI 서비스 엔드포인트를 찾을 수 있는 경우 서비스에서 악성 페이로드를 실행하도록 할 수 있습니다. 이 문제는 com.p6spy.engine.spy.P6DataSource의 잘못된 처리로 인해 발생합니다.
CVE-2019-17267

2.9.10 이전의 FastXML jackson-databind에서 다형성 입력 문제가 발견되었습니다. net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup와 관련이 있습니다.
CVE-2019-20330

2.9.10.2 이전의 FastXML jackson-databind 2.x에는 특정 net.sf.ehcache 차단 기능이 없습니다.
CVE-2017-9801

호출 사이트가 Apache Commons 이메일 1.0~1.4에서 줄바꿈이 포함된 이메일의 제목을 전달하면 호출자는 임의의 SMTP 헤더를 추가할 수 있습니다.

알려진 문제

Edge Private Cloud의 알려진 문제 목록은 Edge Private Cloud의 알려진 문제를 참조하세요.

이전
4.50.00.09
다음
4.50.00.07