Google ใช้เทคโนโลยี AI เพื่อแปลเนื้อหาเป็นภาษาที่คุณต้องการ การแปลโดย AI อาจมีข้อผิดพลาด

4.50.00.13 - Edge สำหรับบันทึกประจำรุ่นของ Private Cloud

คุณกำลังดูเอกสารประกอบของ Apigee Edge
ไปที่ เอกสารประกอบของ Apigee X info

เมื่อวันที่ 13 มกราคม 2022 เราได้เปิดตัว Apigee Edge for Private Cloud เวอร์ชันใหม่ โดยมีวัตถุประสงค์เพื่อแก้ไขปัญหาช่องโหว่ของ Apache Log4j2 ดู ปัญหาด้านความปลอดภัยที่ได้รับการแก้ไข

หมายเหตุเกี่ยวกับช่องโหว่ของ Apache Log4j

การกำหนดค่าเริ่มต้นของ Edge for Private Cloud มี Log4j 2 แต่ ไม่ได้รับผลกระทบจากช่องโหว่ของ Log4j 2 (CVE-2021-44228)

เช่นเดียวกัน Edge for Private Cloud ไม่ได้รับผลกระทบจาก ช่องโหว่ที่เกี่ยวข้องใน Apache Log4j-1.x ซึ่งมาพร้อมกับ ZooKeeper ช่องโหว่นั้น ต้องมีการกำหนดค่า Log4j-1.x ที่เฉพาะเจาะจง ซึ่ง Edge for Private Cloud ไม่ได้มาพร้อมกับการกำหนดค่าเริ่มต้น ดังนั้นจึงไม่สามารถใช้ประโยชน์จากช่องโหว่นี้ใน Edge for Private Cloud ได้

ขั้นตอนการอัปเดต

การอัปเดตเวอร์ชันนี้จะอัปเดตคอมโพเนนต์ในรายการ RPM ต่อไปนี้

edge-gateway-4.50.00-0.0.20150.noarch.rpm
edge-management-server-4.50.00-0.0.20150.noarch.rpm
edge-message-processor-4.50.00-0.0.20150.noarch.rpm
edge-postgres-server-4.50.00-0.0.20150.noarch.rpm
edge-qpid-server-4.50.00-0.0.20150.noarch.rpm
edge-router-4.50.00-0.0.20150.noarch.rpm
edge-analytics-4.50.00-0.0.40053.noarch.rpm
apigee-machinekey-1.1.2-0.0.20017.noarch.rpm

คุณสามารถตรวจสอบเวอร์ชัน RPM ที่ติดตั้งอยู่ในปัจจุบันเพื่อดูว่าต้องอัปเดตหรือไม่ โดยป้อนคำสั่งต่อไปนี้

apigee-all version

หากต้องการอัปเดตการติดตั้ง ให้ทำตามขั้นตอนต่อไปนี้ในโหนด Edge

ในโหนด Edge ทั้งหมด ให้ทำดังนี้
1. ล้างข้อมูลที่เก็บ Yum
```
sudo yum clean all
```
2. ดาวน์โหลดไฟล์ bootstrap_4.50.00.sh ของ Edge 4.50.00 เวอร์ชันล่าสุดไปที่ /tmp/bootstrap_4.50.00.sh
```
curl https://software.apigee.com/bootstrap_4.50.00.sh -o /tmp/bootstrap_4.50.00.sh
```
3. ติดตั้งยูทิลิตี apigee-service และการอ้างอิงของ Edge 4.50.00
```
sudo bash /tmp/bootstrap_4.50.00.sh apigeeuser=uName apigeepassword=pWord
```
  โดย uName:pWord คือชื่อผู้ใช้และรหัสผ่านที่คุณได้รับจาก Apigee หากไม่ระบุ pWord ระบบจะแจ้งให้คุณป้อนรหัสผ่าน
4. ใช้คำสั่ง source เพื่อเรียกใช้สคริปต์ apigee-service.sh
```
source /etc/profile.d/apigee-service.sh
```

อัปเดตยูทิลิตี apigee-machinekey

/opt/apigee/apigee-service/bin/apigee-service apigee-machinekey update

เรียกใช้สคริปต์ update.sh สำหรับกระบวนการ Edge ในโหนด Edge ทั้งหมด
```
/opt/apigee/apigee-setup/bin/update.sh -c edge -f configFile
```
หากคุณใช้ Apigee mTLS ให้ทำตามขั้นตอนที่อธิบายไว้ใน อัปเกรด Apigee mTLS ดูข้อมูลเพิ่มเติมได้ที่ ข้อมูลเบื้องต้นเกี่ยวกับ Apigee mTLS

ปัญหาด้านความปลอดภัยที่ได้รับการแก้ไข

ปัญหาด้านความปลอดภัยต่อไปนี้ได้รับการแก้ไขแล้วในเวอร์ชันนี้

รหัสปัญหา	คำอธิบาย
CVE-2021-44228	ฟีเจอร์ JNDI ของ Apache Log4j2 2.0-beta9 ถึง 2.15.0 (ไม่รวมเวอร์ชันที่เปิดตัวเพื่อแก้ไขปัญหาด้านความปลอดภัย 2.12.2, 2.12.3, และ 2.3.1) ที่ใช้ในการกำหนดค่า ข้อความบันทึก และพารามิเตอร์ไม่ได้ ป้องกันปลายทาง LDAP และปลายทางอื่นๆ ที่เกี่ยวข้องกับ JNDI ซึ่งผู้โจมตีควบคุมได้ ผู้โจมตีที่ควบคุมข้อความในบันทึกหรือพารามิเตอร์ของข้อความในบันทึกได้จะสามารถเรียกใช้โค้ดที่กำหนดเองซึ่งโหลดจากเซิร์ฟเวอร์ LDAP ได้เมื่อเปิดใช้การแทนที่การค้นหาข้อความ ตั้งแต่ log4j 2.15.0 เป็นต้นไป ระบบจะปิดใช้ลักษณะการทำงานนี้โดยค่าเริ่มต้น ตั้งแต่เวอร์ชัน 2.16.0 (รวมถึง 2.12.2, 2.12.3, และ 2.3.1) ระบบได้นำฟังก์ชันนี้ออกไปโดยสมบูรณ์ โปรดทราบว่าช่องโหว่นี้ ใช้ได้กับ log4j-core เท่านั้น และไม่ส่งผลต่อ log4net, log4cxx หรือโปรเจ็กต์อื่นๆ ของ Apache Logging Services ปัญหานี้ได้รับการแก้ไขแล้ว ดูการแก้ไขบั๊ก

รหัสปัญหา

คำอธิบาย

CVE-2021-44228

ฟีเจอร์ JNDI ของ Apache Log4j2 2.0-beta9 ถึง 2.15.0 (ไม่รวมเวอร์ชันที่เปิดตัวเพื่อแก้ไขปัญหาด้านความปลอดภัย 2.12.2, 2.12.3, และ 2.3.1) ที่ใช้ในการกำหนดค่า ข้อความบันทึก และพารามิเตอร์ไม่ได้ ป้องกันปลายทาง LDAP และปลายทางอื่นๆ ที่เกี่ยวข้องกับ JNDI ซึ่งผู้โจมตีควบคุมได้ ผู้โจมตีที่ควบคุมข้อความในบันทึกหรือพารามิเตอร์ของข้อความในบันทึกได้จะสามารถเรียกใช้โค้ดที่กำหนดเองซึ่งโหลดจากเซิร์ฟเวอร์ LDAP ได้เมื่อเปิดใช้การแทนที่การค้นหาข้อความ ตั้งแต่ log4j 2.15.0 เป็นต้นไป ระบบจะปิดใช้ลักษณะการทำงานนี้โดยค่าเริ่มต้น ตั้งแต่เวอร์ชัน 2.16.0 (รวมถึง 2.12.2, 2.12.3, และ 2.3.1) ระบบได้นำฟังก์ชันนี้ออกไปโดยสมบูรณ์ โปรดทราบว่าช่องโหว่นี้ ใช้ได้กับ log4j-core เท่านั้น และไม่ส่งผลต่อ log4net, log4cxx หรือโปรเจ็กต์อื่นๆ ของ Apache Logging Services

ปัญหานี้ได้รับการแก้ไขแล้ว ดูการแก้ไขบั๊ก

การเปลี่ยนแปลงซอฟต์แวร์ที่รองรับ

ไม่มีการเปลี่ยนแปลงซอฟต์แวร์ที่รองรับในเวอร์ชันนี้

การเลิกใช้งานและการเลิกให้บริการ

ไม่มีการเลิกใช้งานหรือเลิกให้บริการใหม่ในเวอร์ชันนี้

ฟีเจอร์ใหม่

ไม่มีฟีเจอร์ใหม่ในเวอร์ชันนี้

การแก้ไขบั๊ก

ส่วนนี้แสดงรายการบั๊กของ Private Cloud ที่ได้รับการแก้ไขในเวอร์ชันนี้

รหัสปัญหา	คำอธิบาย
211001890	ไลบรารี Apache Log4j ที่มาพร้อมกับไลบรารีของบุคคลที่สามของคอมโพเนนต์เกตเวย์ได้รับการอัปเดตเป็นเวอร์ชัน 2.17.0 แล้ว

ปัญหาที่ทราบ

ดูรายการปัญหาที่ทราบทั้งหมดได้ที่ ปัญหาที่ทราบเกี่ยวกับ Edge for Private Cloud