4.50.00.08 – Informacje o wersji Edge dla Private Cloud

Przeglądasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X.
Informacje

30 marca 2021 roku opublikowaliśmy nową wersję Apigee Edge dla Private Cloud.

Zaktualizuj procedurę

Aktualizacja tej wersji spowoduje zaktualizowanie komponentów na tej liście RPM:

  • edge-gateway-4.50.00-0.0.20116.noarch.rpm
  • edge-management-server-4.50.00-0.0.20116.noarch.rpm
  • edge-message-processor-4.50.00-0.0.20116.noarch.rpm
  • edge-postgres-server-4.50.00-0.0.20116.noarch.rpm
  • edge-qpid-server-4.50.00-0.0.20116.noarch.rpm
  • edge-router-4.50.00-0.0.20116.noarch.rpm
  • edge-ui-4.50.00-0.0.20173.noarch.rpm

Aby zobaczyć, czy masz obecnie zainstalowane wersje pakietu RPM, wpisz:

apigee-all version

Aby zaktualizować instalację, wykonaj tę procedurę w węzłach brzegowych:

  1. We wszystkich węzłach brzegowych:

    1. Wyczyść repozytorium Yum:
      sudo yum clean all
    2. Pobierz najnowszy plik Edge 4.50.00 bootstrap_4.50.00.sh do przeglądarki /tmp/bootstrap_4.50.00.sh:
      curl https://software.apigee.com/bootstrap_4.50.00.sh -o /tmp/bootstrap_4.50.00.sh
    3. Zainstaluj narzędzie i zależności programu Edge 4.50.00 apigee-service:
      sudo bash /tmp/bootstrap_4.50.00.sh apigeeuser=uName apigeepassword=pWord

      gdzie uName:pWord to nazwa użytkownika i hasło otrzymane z Apigee. Jeśli pominiesz właściwość pWord, poprosimy Cię o jej podanie.

    4. Zaktualizuj narzędzie apigee-setup:
      sudo /opt/apigee/apigee-service/bin/apigee-service apigee-setup update
    5. Użyj polecenia source, by wykonać skrypt apigee-service.sh:
      source /etc/profile.d/apigee-service.sh
  2. Na wszystkich węzłach brzegowych uruchom skrypt update.sh dla procesu edge. Aby to zrobić, wykonaj to polecenie w każdym węźle:
    /opt/apigee/apigee-setup/bin/update.sh -c edge -f configFile
  3. Uruchom skrypt update.sh dla interfejsu użytkownika we wszystkich węzłach. W każdym węźle wykonaj to polecenie:
    /opt/apigee/apigee-setup/bin/update.sh -c ui -f configFile

Zmiany w obsługiwanym oprogramowaniu

Ta wersja nie wprowadza żadnych zmian w obsługiwanym oprogramowaniu.

Wycofywanie i wycofanie

Ta wersja nie zawiera żadnych nowych elementów wycofanych ani wycofanych.

Nowe funkcje

W tej wersji wprowadziliśmy nową funkcję:

  • Wprowadziliśmy nową właściwość dla procesora wiadomości, której możesz używać do konfigurowania serwera proxy przekazywania na serwer backendu: use.proxy.host.header.with.target.uri. Usługa ustawia docelowego hosta i port jako nagłówek Host.

Naprawione błędy

W tabeli poniżej znajdziesz listę błędów, które zostały naprawione w tej wersji:

Identyfikator problemu Opis
158132963

Niektóre zmienne przepływu docelowego nie zostały wypełniane w zrzucie śledzenia w przypadku błędów 504.

Dodaliśmy ulepszenia, które umożliwiają przechwytywanie odpowiednich zmiennych przepływu docelowego w logach czasu i w statystykach w przypadku przekroczenia limitów czasu docelowego.

141670890

Instrukcje konfigurowania ustawień TLS na poziomie systemu nie działały.

Naprawiono błąd, który uniemożliwiał działanie ustawień TLS w procesorach wiadomości.

123311920

Po włączeniu protokołu TLS na serwerze zarządzania wystąpił błąd skryptu update.sh.

Skrypt aktualizacji działa teraz poprawnie nawet wtedy, gdy na serwerze zarządzania jest włączony protokół TLS.

67168818

Gdy serwer proxy HTTP był używany w połączeniu z serwerem docelowym, zamiast nazwy hosta lub adresu IP rzeczywistego miejsca docelowego wyświetlany był adres IP serwera proxy.

Rozwiązaliśmy ten problem przez dodanie nowej właściwości procesora wiadomości, która umożliwia skonfigurowanie serwera proxy przekazywania na serwer backendu.

Naprawiono problemy z bezpieczeństwem

Poniżej znajduje się lista znanych problemów z bezpieczeństwem, które zostały naprawione w tej wersji. Aby uniknąć tych problemów, zainstaluj najnowszą wersję Edge Private Cloud.

Identyfikator problemu Opis
CVE-2019-14379

Protokół SubTypeValidator.java w szybkości jackson-databind w wersji 2.9.9.2 błędnie obsługuje pisanie, gdy używany jest protokół ehcache (z powodu net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup), co prowadzi do zdalnego wykonania kodu.

CVE-2019-14540

Problem z pisaniem polimorficznym został wykryty w szybszym kodzie jackson-databind przed 2.9.10. To jest związane z: com.zaxxer.hikari.HikariConfig.

CVE-2019-14892

W wersjach jackson-databind w wersjach wcześniejszych niż 2.9.10, 2.8.11.5 i 2.6.7.3 wykryto błąd, który umożliwił polimorficzną deserializację złośliwego obiektu z użyciem klas wspólnej konfiguracji 1 i 2. Osoba przeprowadzająca atak może wykorzystać ten błąd do wykonania dowolnego kodu.

CVE-2019-14893

We wszystkich wersjach przed 2.9.10 i 2.10.0 wykryto błąd w mechanizmie AcceleratedXML jackson-databind, który dopuszczał polimorficzną deserializację złośliwych obiektów przy użyciu gadżetu xalan JNDI w połączeniu z metodami obsługi typu polimorficznego, takimi jak `enableDefaultTyping()` lub @JsonTypeInfo, za pomocą innych niebezpiecznych źródeł, takich jak `enableDefaultTyping()` lub ObjectMapper.readValue.`Id.CLASS``Id.MINIMAL_CLASS` Osoba przeprowadzająca atak może użyć tego błędu do wykonania dowolnego kodu.

CVE-2019-16335

Problem z pisaniem polimorficznym został wykryty w szybszym kodzie jackson-databind przed 2.9.10. To jest związane z: com.zaxxer.hikari.HikariDataSource. Jest to inna luka w zabezpieczeniach niż CVE-2019-14540.

CVE-2019-16942

Problem z pisaniem polimorficznym został wykryty w szybszym pliku jackson-databind w wersjach 2.0.0–2.9.10. Gdy domyślne pisanie jest włączone (globalnie lub dla konkretnej usługi) dla ujawnionego zewnętrznie punktu końcowego JSON, a usługa ma w ścieżce klasy plik jar w standardzie commons-dbcp (1.4), a osoba przeprowadzająca atak może znaleźć punkt końcowy usługi RMI, do którego ma on dostęp, możliwe jest wykonanie przez usługę złośliwego ładunku. Ten problem jest spowodowany nieprawidłowym obchodzeniem się z atrybutami org.apache.commons.dbcp.datasources.SharedPoolDataSource i org.apache.commons.dbcp.datasources.PerUserPoolDataSource.

CVE-2019-16943

Problem z pisaniem polimorficznym został wykryty w szybszym pliku jackson-databind w wersjach 2.0.0–2.9.10. Gdy domyślne pisanie jest włączone (globalnie lub dla konkretnej usługi) w ujawnionym zewnętrznie punkcie końcowym JSON, a usługa ma w ścieżce klasy plik jar w pliku p6spy (3.8.6), a osoba przeprowadzająca atak może znaleźć punkt końcowy usługi RMI, do którego ma on dostęp, można spowodować, że usługa uruchomi złośliwy ładunek. Ten problem jest spowodowany nieprawidłową obsługą: com.p6spy.engine.spy.P6DataSource.

CVE-2019-17267

Problem z pisaniem polimorficznym został wykryty w szybszym kodzie jackson-databind przed 2.9.10. To jest związane z net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.

CVE-2019-20330

Szybsze XML jackson-databind 2.x przed 2.9.10.2 nie ma określonych blokowania net.sf.ehcache.

CVE-2017-9801

Gdy witryna wywołująca przekazuje temat e-maila zawierającego podziały wierszy w e-mailu Apache Commons od 1.0 do 1.4, element wywołujący może dodać dowolne nagłówki SMTP.

Znane problemy

Listę znanych problemów z chmurą prywatną brzegową znajdziesz w artykule o znanych problemach z chmurą Private Cloud.