Allgemeine Änderungen

  • Installer für macOS mit Apple Silicon ist verfügbar
  • Das mitgelieferte Eclipse Temurin ist Version 17.0.4.1
  • Support für DynamoDB-Persistenz hinzugefügt
  • Allen Benutzern mit der Berechtigung Vorlagen definieren ist es nun möglich, Prozesse in der Web-Oberfläche unter Konfiguration zu erstellen bzw. bearbeiten.

RELEASE-INFORMATION

Sicherheit

  • Sicherheitsupdate für CVE-2020-36518
    • jackson-databind vor 2.13.0 ermöglicht eine Java StackOverflow-Exception und Denial-of-Service über eine große Tiefe von verschachtelten Objekten.
  • Sicherheitsupdate für CVE-2022-24823
    • Netty ist ein quelloffenes, asynchrones, ereignisgesteuertes Netzwerkanwendungs-Framework. Das Paket io.netty:netty-codec-http vor Version 4.1.77.Final enthält eine unzureichende Korrektur für CVE-2021-21290. Wenn die Multipart-Decoder von Netty verwendet werden, kann die Offenlegung lokaler Informationen über das temporäre Verzeichnis des lokalen Systems erfolgen, wenn die temporäre Speicherung von Uploads auf der Festplatte aktiviert ist. Dies wirkt sich nur auf Anwendungen aus, die unter Java Version 6 und niedriger laufen. Darüber hinaus wirkt sich diese Schwachstelle auf Code aus, der auf Unix-ähnlichen Systemen und sehr alten Versionen von Mac OSX und Windows ausgeführt wird, da sie alle das temporäre Systemverzeichnis für alle Benutzer freigeben. Version 4.1.77.Final enthält einen Patch für diese Sicherheitslücke. Als Workaround kann man sein eigenes java.io.tmpdir beim Starten der JVM angeben oder DefaultHttpDataFactory.setBaseDir(...) verwenden, um das Verzeichnis auf etwas zu setzen, das nur für den aktuellen Benutzer lesbar ist.
  • Sicherheitsupdate für CVE-2021-23792
    • Das Paket com.twelvevemonkeys.imageio:imageio-metadata vor 3.7.1 ist anfällig für XML External Entity (XXE) Injection aufgrund eines unsicher initialisierten XML-Parsers zum Lesen von XMP-Metadaten. Ein Angreifer kann diese Schwachstelle ausnutzen, wenn es ihm gelingt, eine Datei (z. B. bei der Verarbeitung eines Online-Profilbildes) mit einem bösartigen XMP-Segment zu versehen. Wenn die XMP-Metadaten des hochgeladenen Bildes geparst werden, wird die XXE-Schwachstelle ausgelöst.
  • Sicherheitsupdate für CVE-2022-21363
    • Sicherheitslücke im Produkt MySQL Connectors von Oracle MySQL (Komponente: Connector/J). Unterstützte Versionen, die betroffen sind, sind 8.0.27 und früher. Die schwer auszunutzende Schwachstelle erlaubt es Angreifern mit hohen Privilegien und Netzwerkzugang über mehrere Protokolle, MySQL Connectors zu kompromittieren. Erfolgreiche Angriffe auf diese Schwachstelle können zu einer Übernahme der MySQL-Konnektoren führen. CVSS 3.1 Base Score 6.6 (Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit). CVSS-Vektor: (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H).
  • Sicherheitsupdate für CVE-2020-11023
    • In jQuery-Versionen größer oder gleich 1.0.3 und vor 3.5.0 kann die Übergabe von HTML, das Elemente aus nicht vertrauenswürdigen Quellen enthält - selbst nach deren Bereinigung - an eine der DOM-Manipulationsmethoden von jQuery (d. h. .html(), .append() und andere) nicht vertrauenswürdigen Code ausführen. Dieses Problem wurde in jQuery 3.5.0 behoben.
  • Sicherheitsupdate für CVE-2022-2191
    • In den Eclipse Jetty-Versionen 10.0.0 bis 10.0.9 und 11.0.0 bis 11.0.9 gibt SslConnection im Falle von Fehlercodepfaden keine ByteBuffer aus dem konfigurierten ByteBufferPool frei.
  • Sicherheitsupdate für CVE-2022-2047
    • In Eclipse Jetty-Versionen 9.4.0 bis 9.4.46 und 10.0.0 bis 10.0.9 sowie 11.0.0 bis 11.0.9 erkennt die Jetty HttpURI-Klasse beim Parsen des Autoritätssegments einer http-Schema-URI fälschlicherweise eine ungültige Eingabe als Hostname. Dies kann zu Fehlern in einem Proxy-Szenario führen.
  • Sicherheitsupdate für CVE-2022-31160
    • jQuery UI ist eine Zusammenstellung von Benutzeroberflächeninteraktionen, Effekten, Widgets und Themen, die auf jQuery basieren. Versionen vor 1.13.2 sind potenziell anfällig für Cross-Site-Scripting. Die Initialisierung eines Checkboxradio-Widgets auf einer Eingabe, die von einem Label eingeschlossen ist, führt dazu, dass der Inhalt des übergeordneten Labels als das Eingabe-Label betrachtet wird. Der Aufruf von .checkboxradio( "refresh" ) auf einem solchen Widget und das anfängliche HTML enthielt kodierte HTML-Entitäten, die fälschlicherweise dekodiert wurden. Dies kann dazu führen, dass möglicherweise JavaScript-Code ausgeführt wird. Der Fehler wurde in jQuery UI 1.13.2 behoben. Um das Problem zu beheben, kann jemand, der das ursprüngliche HTML ändern kann, alle Nicht-Eingabe-Inhalte des "Labels" in ein "span" einpacken.
  • Sicherheitsupdate für CVE-2022-31197
    • Der PostgreSQL JDBC-Treiber (kurz: PgJDBC) ermöglicht es Java-Programmen, sich mit einer PostgreSQL-Datenbank zu verbinden, indem sie standardmäßigen, datenbankunabhängigen Java-Code verwenden. Die PGJDBC-Implementierung der Methode java.sql.ResultRow.refreshRow() führt kein Escaping von Spaltennamen durch, so dass ein bösartiger Spaltenname, der einen Anweisungsterminator, z.B. ;, enthält, zu einer SQL-Injection führen kann. Dies könnte dazu führen, dass zusätzliche SQL-Befehle als JDBC-Benutzer der Anwendung ausgeführt werden. Benutzeranwendungen, die die Methode ResultSet.refreshRow() nicht aufrufen, sind davon nicht betroffen. Benutzeranwendungen, die diese Methode aufrufen, sind betroffen, wenn die zugrunde liegende Datenbank, die sie über ihre JDBC-Anwendung abfragen, unter der Kontrolle eines Angreifers stehen könnte. Für den Angriff muss der Angreifer den Benutzer dazu bringen, SQL gegen einen Tabellennamen auszuführen, dessen Spaltennamen das bösartige SQL enthalten, und anschließend die Methode refreshRow() für das ResultSet aufzurufen. Beachten Sie, dass der JDBC-Benutzer der Anwendung und der Eigentümer des Schemas nicht identisch sein müssen. Eine JDBC-Anwendung, die als privilegierter Benutzer ausgeführt wird und Datenbankschemata abfragt, die potenziell böswilligen, weniger privilegierten Benutzern gehören, wäre anfällig. In einer solchen Situation könnte es dem böswilligen Benutzer möglich sein, ein Schema zu erstellen, das die Anwendung dazu veranlasst, Befehle als privilegierter Benutzer auszuführen. Die gepatchten Versionen werden als 42.2.26 und 42.4.1 veröffentlicht. Den Benutzern wird empfohlen, ein Upgrade durchzuführen. Es gibt keine bekannten Umgehungsmöglichkeiten für dieses Problem.
  • Sicherheitsupdate für CVE-2022-31129
    • moment ist eine JavaScript-Datumsbibliothek zum Parsen, Validieren, Manipulieren und Formatieren von Daten. Bei den betroffenen Versionen von moment wurde festgestellt, dass sie einen ineffizienten Parsing-Algorithmus verwenden. Insbesondere die Verwendung von String-Date-Parsing in Moment (genauer gesagt rfc2822-Parsing, das standardmäßig versucht wird) hat eine quadratische (N^2) Komplexität bei bestimmten Eingaben. Bei Eingaben von mehr als 10k Zeichen kann eine deutliche Verlangsamung festgestellt werden. Benutzer, die vom Benutzer bereitgestellte Zeichenketten ohne Überprüfung der korrekten Länge an den Moment-Konstruktor übergeben, sind anfällig für (Re)DoS-Angriffe. Das Problem ist in 2.29.4 behoben, der Patch kann mit minimalen Anpassungen auf alle betroffenen Versionen angewendet werden. Benutzern wird empfohlen, ein Upgrade durchzuführen. Benutzer, die nicht upgraden können, sollten in Erwägung ziehen, die Datumslängen zu begrenzen, die von Benutzereingaben akzeptiert werden.
  • Sicherheitsupdate für CVE-2022-36033
    • jsoup ist ein Java-HTML-Parser, der für HTML-Bearbeitung, Bereinigung, Scraping und Cross-Site-Scripting (XSS)-Sicherheit entwickelt wurde. jsoup kann HTML, das javascript: URL-Ausdrücke enthält, falsch bereinigen, was XSS-Angriffe ermöglichen könnte, wenn ein Leser anschließend auf diesen Link klickt. Wenn die nicht standardmäßige Option SafeList.preserveRelativeLinks aktiviert ist, wird HTML, das javascript: URLs enthält, die mit Steuerzeichen erstellt wurden, nicht bereinigt. Wenn die Website, auf der dieses HTML veröffentlicht wird, keine Content Security Policy einstellt, ist ein XSS-Angriff möglich. Dieses Problem wurde in jsoup 1.15.3 behoben. Benutzer sollten auf diese Version aktualisieren. Da die nicht sanitisierten Eingaben möglicherweise erhalten geblieben sind, sollten alte Inhalte mit der aktualisierten Version erneut bereinigt werden. Um dieses Problem zu beheben, ohne sofort zu aktualisieren: - deaktivieren Sie SafeList.preserveRelativeLinks, wodurch Eingabe-URLs als absolute URLs umgeschrieben werden - Stellen Sie sicher, dass eine geeignete Content Security Policy definiert ist. (Dies sollte unabhängig von einem Upgrade als bewährtes Verfahren zur Tiefenverteidigung verwendet werden)