4.50.00.08 – Ghi chú phát hành Edge for Private Cloud

Một số biến luồng mục tiêu không được điền sẵn trong dấu vết trong 504 giây.

Chúng tôi đã thêm một số điểm cải tiến để ghi lại các biến luồng mục tiêu có liên quan trong dấu vết và số liệu phân tích trong trường hợp hết thời gian chờ mục tiêu.

Hướng dẫn thiết lập chế độ cài đặt TLS (Bảo mật tầng truyền tải) ở cấp hệ thống không hoạt động.

Lỗi khiến chế độ cài đặt TLS không hoạt động đối với trình xử lý thư đã được khắc phục.

Đã xảy ra lỗi khi tập lệnh update.sh sau khi bật TLS trên máy chủ quản lý.

Tập lệnh cập nhật hiện hoạt động chính xác ngay cả khi TLS được bật trên máy chủ quản lý.

Khi proxy HTTP được sử dụng cùng với Máy chủ mục tiêu, IP của máy chủ proxy được hiển thị thay vì tên máy chủ hoặc IP của máy chủ thực tế tối đa.

Điều này đã được khắc phục bằng cách thêm mới Thuộc tính Trình xử lý thư cho phép bạn định cấu hình proxy chuyển tiếp đến máy chủ phụ trợ.

SubTypeValidator.java trong AcceleratedXML jackson-databind trước phiên bản 2.9.9.2 xử lý sai cách nhập mặc định khi dùng ehcache (do net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup) dẫn đến thực thi mã từ xa.

Vấn đề Nhập đa hình đã được phát hiện trong easingXML jackson-databind trước đây 2.9.10. Mã này liên quan đến com.zaxxer.hikari.HikariConfig.

Một lỗi đã được phát hiện trong jackson-databind ở các phiên bản trước 2.9.10, 2.8.11.5 và 2.6.7.3, trong đó nó cho phép khử tuần tự đa hình của một đối tượng độc hại sử dụng cấu hình chung 1 và 2 lớp JNDI. Kẻ tấn công có thể lợi dụng lỗi này để thực thi mã tuỳ ý.

Chúng tôi đã phát hiện một lỗi trong tất cả các phiên bản trước đó trong Lưu diễn ra tại Úc 2.9.10 và 2.10.0, trong đó nó sẽ cho phép khử tuần tự đa hình các mã độc hại các đối tượng bằng tiện ích xalan JNDI khi dùng cùng với loại đa hình như `enableDefaultTyping()` hoặc khi @JsonTypeInfo đang sử dụng `Id.CLASS` hoặc `Id.MINIMAL_CLASS` hoặc theo bất kỳ cách nào khác mà ObjectMapper.readValue có thể tạo thực thể cho đối tượng từ các nguồn không an toàn. Kẻ tấn công có thể dùng lỗi này để thực thi mã tùy ý.

Vấn đề Nhập đa hình đã được phát hiện trong easingXML jackson-databind trước đây 2.9.10. Mã này liên quan đến com.zaxxer.hikari.HikariDataSource. Đây là một lỗ hổng khác với CVE-2019-14540.

Vấn đề nhập đa hình đã được phát hiện trong Nhanh hơnXML jackson-databind 2.0.0 thông qua 2.9.10. Khi tính năng Nhập mặc định được bật (trên toàn cầu hoặc cho một sản phẩm cụ thể) cho điểm cuối JSON bị tiết lộ bên ngoài và dịch vụ có điểm cuối commons-dbcp (1.4) trong đường dẫn lớp và kẻ tấn công có thể tìm thấy điểm cuối dịch vụ RMI truy cập được, có thể làm cho dịch vụ thực thi tải trọng độc hại. Vấn đề này tồn tại do org.apache.commons.dbcp.datasources.SharedPoolDataSource và org.apache.commons.dbcp.datasources.PerUserPoolDataSource xử lý sai.

Vấn đề nhập đa hình đã được phát hiện trong Nhanh hơnXML jackson-databind 2.0.0 thông qua 2.9.10. Khi tính năng Nhập mặc định được bật (trên toàn cầu hoặc cho một sản phẩm cụ thể) cho điểm cuối JSON hiển thị bên ngoài và dịch vụ có jar p6spy (3.8.6) trong đường dẫn lớp và kẻ tấn công có thể tìm thấy điểm cuối dịch vụ RMI để truy cập, để khiến dịch vụ thực thi tải trọng độc hại. Vấn đề này tồn tại do com.p6spy.engine.spy.P6DataSource xử lý sai.

Vấn đề Nhập đa hình đã được phát hiện trong easingXML jackson-databind trước đây 2.9.10. Liên quan đến net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.

Nhanh hơn jackson-databind 2.x trước 2.9.10.2 thiếu một số Đang chặn net.sf.ehcache.

Khi một trang web gọi chuyển qua một tiêu đề của email có dấu ngắt dòng trong Apache Commons Email 1.0 đến 1.4, người gọi có thể thêm các tiêu đề SMTP tùy ý.