Allgemeine Änderungen

  • Strongly named Assemblies für i-net Clear Reports .Net Bridge zum SDK hinzugefügt
  • Neue Rendering-Ausgabeformate: DOCX und JSON
  • Installer für macOS mit Apple Silicon ist verfügbar
  • Das mitgelieferte Eclipse Temurin ist Version 17.0.6
  • Support für DynamoDB-Persistenz hinzugefügt

RELEASE-INFORMATION

Sicherheit

  • Sicherheitsupdate für CVE-2020-36518
    • jackson-databind vor 2.13.0 ermöglicht eine Java StackOverflow-Exception und Denial-of-Service über eine große Tiefe von verschachtelten Objekten.
  • Sicherheitsupdate für CVE-2022-24823
    • Netty ist ein quelloffenes, asynchrones, ereignisgesteuertes Netzwerkanwendungs-Framework. Das Paket io.netty:netty-codec-http vor Version 4.1.77.Final enthält eine unzureichende Korrektur für CVE-2021-21290. Wenn die Multipart-Decoder von Netty verwendet werden, kann die Offenlegung lokaler Informationen über das temporäre Verzeichnis des lokalen Systems erfolgen, wenn die temporäre Speicherung von Uploads auf der Festplatte aktiviert ist. Dies wirkt sich nur auf Anwendungen aus, die unter Java Version 6 und niedriger laufen. Darüber hinaus wirkt sich diese Schwachstelle auf Code aus, der auf Unix-ähnlichen Systemen und sehr alten Versionen von Mac OSX und Windows ausgeführt wird, da sie alle das temporäre Systemverzeichnis für alle Benutzer freigeben. Version 4.1.77.Final enthält einen Patch für diese Sicherheitslücke. Als Workaround kann man sein eigenes java.io.tmpdir beim Starten der JVM angeben oder DefaultHttpDataFactory.setBaseDir(...) verwenden, um das Verzeichnis auf etwas zu setzen, das nur für den aktuellen Benutzer lesbar ist.
  • Sicherheitsupdate für CVE-2021-23792
    • Das Paket com.twelvevemonkeys.imageio:imageio-metadata vor 3.7.1 ist anfällig für XML External Entity (XXE) Injection aufgrund eines unsicher initialisierten XML-Parsers zum Lesen von XMP-Metadaten. Ein Angreifer kann diese Schwachstelle ausnutzen, wenn es ihm gelingt, eine Datei (z. B. bei der Verarbeitung eines Online-Profilbildes) mit einem bösartigen XMP-Segment zu versehen. Wenn die XMP-Metadaten des hochgeladenen Bildes geparst werden, wird die XXE-Schwachstelle ausgelöst.
  • Sicherheitsupdate für CVE-2022-21363
    • Sicherheitslücke im Produkt MySQL Connectors von Oracle MySQL (Komponente: Connector/J). Unterstützte Versionen, die betroffen sind, sind 8.0.27 und früher. Die schwer auszunutzende Schwachstelle erlaubt es Angreifern mit hohen Privilegien und Netzwerkzugang über mehrere Protokolle, MySQL Connectors zu kompromittieren. Erfolgreiche Angriffe auf diese Schwachstelle können zu einer Übernahme der MySQL-Konnektoren führen. CVSS 3.1 Base Score 6.6 (Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit). CVSS-Vektor: (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H).
  • Sicherheitsupdate für CVE-2020-11023
    • In jQuery-Versionen größer oder gleich 1.0.3 und vor 3.5.0 kann die Übergabe von HTML, das Elemente aus nicht vertrauenswürdigen Quellen enthält - selbst nach deren Bereinigung - an eine der DOM-Manipulationsmethoden von jQuery (d. h. .html(), .append() und andere) nicht vertrauenswürdigen Code ausführen. Dieses Problem wurde in jQuery 3.5.0 behoben.
  • Sicherheitsupdate für CVE-2022-2191
    • In den Eclipse Jetty-Versionen 10.0.0 bis 10.0.9 und 11.0.0 bis 11.0.9 gibt SslConnection im Falle von Fehlercodepfaden keine ByteBuffer aus dem konfigurierten ByteBufferPool frei.
  • Sicherheitsupdate für CVE-2022-2047
    • In Eclipse Jetty-Versionen 9.4.0 bis 9.4.46 und 10.0.0 bis 10.0.9 sowie 11.0.0 bis 11.0.9 erkennt die Jetty HttpURI-Klasse beim Parsen des Autoritätssegments einer http-Schema-URI fälschlicherweise eine ungültige Eingabe als Hostname. Dies kann zu Fehlern in einem Proxy-Szenario führen.
  • Sicherheitsupdate für CVE-2022-31160
    • jQuery UI ist eine Zusammenstellung von Benutzeroberflächeninteraktionen, Effekten, Widgets und Themen, die auf jQuery basieren. Versionen vor 1.13.2 sind potenziell anfällig für Cross-Site-Scripting. Die Initialisierung eines Checkboxradio-Widgets auf einer Eingabe, die von einem Label eingeschlossen ist, führt dazu, dass der Inhalt des übergeordneten Labels als das Eingabe-Label betrachtet wird. Der Aufruf von .checkboxradio( "refresh" ) auf einem solchen Widget und das anfängliche HTML enthielt kodierte HTML-Entitäten, die fälschlicherweise dekodiert wurden. Dies kann dazu führen, dass möglicherweise JavaScript-Code ausgeführt wird. Der Fehler wurde in jQuery UI 1.13.2 behoben. Um das Problem zu beheben, kann jemand, der das ursprüngliche HTML ändern kann, alle Nicht-Eingabe-Inhalte des "Labels" in ein "span" einpacken.
  • Sicherheitsupdate für CVE-2022-31197
    • Der PostgreSQL JDBC-Treiber (kurz: PgJDBC) ermöglicht es Java-Programmen, sich mit einer PostgreSQL-Datenbank zu verbinden, indem sie standardmäßigen, datenbankunabhängigen Java-Code verwenden. Die PGJDBC-Implementierung der Methode java.sql.ResultRow.refreshRow() führt kein Escaping von Spaltennamen durch, so dass ein bösartiger Spaltenname, der einen Anweisungsterminator, z.B. ;, enthält, zu einer SQL-Injection führen kann. Dies könnte dazu führen, dass zusätzliche SQL-Befehle als JDBC-Benutzer der Anwendung ausgeführt werden. Benutzeranwendungen, die die Methode ResultSet.refreshRow() nicht aufrufen, sind davon nicht betroffen. Benutzeranwendungen, die diese Methode aufrufen, sind betroffen, wenn die zugrunde liegende Datenbank, die sie über ihre JDBC-Anwendung abfragen, unter der Kontrolle eines Angreifers stehen könnte. Für den Angriff muss der Angreifer den Benutzer dazu bringen, SQL gegen einen Tabellennamen auszuführen, dessen Spaltennamen das bösartige SQL enthalten, und anschließend die Methode refreshRow() für das ResultSet aufzurufen. Beachten Sie, dass der JDBC-Benutzer der Anwendung und der Eigentümer des Schemas nicht identisch sein müssen. Eine JDBC-Anwendung, die als privilegierter Benutzer ausgeführt wird und Datenbankschemata abfragt, die potenziell böswilligen, weniger privilegierten Benutzern gehören, wäre anfällig. In einer solchen Situation könnte es dem böswilligen Benutzer möglich sein, ein Schema zu erstellen, das die Anwendung dazu veranlasst, Befehle als privilegierter Benutzer auszuführen. Die gepatchten Versionen werden als 42.2.26 und 42.4.1 veröffentlicht. Den Benutzern wird empfohlen, ein Upgrade durchzuführen. Es gibt keine bekannten Umgehungsmöglichkeiten für dieses Problem.
  • Sicherheitsupdate für CVE-2022-31129
    • moment ist eine JavaScript-Datumsbibliothek zum Parsen, Validieren, Manipulieren und Formatieren von Daten. Bei den betroffenen Versionen von moment wurde festgestellt, dass sie einen ineffizienten Parsing-Algorithmus verwenden. Insbesondere die Verwendung von String-Date-Parsing in Moment (genauer gesagt rfc2822-Parsing, das standardmäßig versucht wird) hat eine quadratische (N^2) Komplexität bei bestimmten Eingaben. Bei Eingaben von mehr als 10k Zeichen kann eine deutliche Verlangsamung festgestellt werden. Benutzer, die vom Benutzer bereitgestellte Zeichenketten ohne Überprüfung der korrekten Länge an den Moment-Konstruktor übergeben, sind anfällig für (Re)DoS-Angriffe. Das Problem ist in 2.29.4 behoben, der Patch kann mit minimalen Anpassungen auf alle betroffenen Versionen angewendet werden. Benutzern wird empfohlen, ein Upgrade durchzuführen. Benutzer, die nicht upgraden können, sollten in Erwägung ziehen, die Datumslängen zu begrenzen, die von Benutzereingaben akzeptiert werden.
  • Sicherheitsupdate für CVE-2022-36033
    • jsoup ist ein Java-HTML-Parser, der für HTML-Bearbeitung, Bereinigung, Scraping und Cross-Site-Scripting (XSS)-Sicherheit entwickelt wurde. jsoup kann HTML, das javascript: URL-Ausdrücke enthält, falsch bereinigen, was XSS-Angriffe ermöglichen könnte, wenn ein Leser anschließend auf diesen Link klickt. Wenn die nicht standardmäßige Option SafeList.preserveRelativeLinks aktiviert ist, wird HTML, das javascript: URLs enthält, die mit Steuerzeichen erstellt wurden, nicht bereinigt. Wenn die Website, auf der dieses HTML veröffentlicht wird, keine Content Security Policy einstellt, ist ein XSS-Angriff möglich. Dieses Problem wurde in jsoup 1.15.3 behoben. Benutzer sollten auf diese Version aktualisieren. Da die nicht sanitisierten Eingaben möglicherweise erhalten geblieben sind, sollten alte Inhalte mit der aktualisierten Version erneut bereinigt werden. Um dieses Problem zu beheben, ohne sofort zu aktualisieren: - deaktivieren Sie SafeList.preserveRelativeLinks, wodurch Eingabe-URLs als absolute URLs umgeschrieben werden - Stellen Sie sicher, dass eine geeignete Content Security Policy definiert ist. (Dies sollte unabhängig von einem Upgrade als bewährtes Verfahren zur Tiefenverteidigung verwendet werden)
  • Sicherheitsupdate für CVE-2022-42003
    • In FasterXML jackson-databind vor Version 2.14.0-rc1 kann es zu einer Erschöpfung der Ressourcen kommen, weil in primitiven Wert-Deserialisierern eine Prüfung fehlt, um tiefe Wrapper-Array-Schachtelungen zu vermeiden, wenn die Funktion UNWRAP_SINGLE_VALUE_ARRAYS aktiviert ist. Zusätzliche Korrekturversion in 2.13.4.1 und 2.12.17.1
  • Sicherheitsupdate für CVE-2022-31684
    • Der Reactor Netty HTTP Server, in den Versionen 1.0.11 - 1.0.23, kann in einigen Fällen von ungültigen HTTP-Anfragen Anfrage-Header protokollieren. Die protokollierten Header können denjenigen, die Zugriff auf die Serverprotokolle haben, gültige Zugriffstoken offenbaren. Dies kann nur ungültige HTTP-Anfragen betreffen, bei denen die Protokollierung auf WARN-Ebene aktiviert ist.
  • Sicherheitsupdate für CVE-2021-37533
    • Vor Apache Commons Net 3.9.0 vertraute Net's FTP-Client standardmäßig dem Host aus der PASV-Antwort. Ein bösartiger Server kann den Commons Net-Code umleiten, um einen anderen Host zu verwenden, aber der Benutzer muss sich zunächst mit dem bösartigen Server verbinden. Dies kann dazu führen, dass Informationen über Dienste, die im privaten Netzwerk des Clients laufen, preisgegeben werden. Die Voreinstellung in Version 3.9.0 ist nun false, um solche Hosts zu ignorieren, wie es cURL tut. Siehe https://issues.apache.org/jira/browse/NET-711.
  • Sicherheitsupdate für CVE-2022-23494
    • Tinymce ist ein Open-Source-Rich-Text-Editor. Eine Cross-Site-Scripting (XSS)-Schwachstelle wurde in den Warn- und Bestätigungsdialogen entdeckt, wenn diese Dialoge mit bösartigen HTML-Inhalten versehen wurden. Dies kann in Plugins auftreten, die die Warn- oder Bestätigungsdialoge verwenden, wie z.B. im `image`-Plugin, das diese Dialoge präsentiert, wenn bestimmte Fehler auftreten. Die Schwachstelle ermöglichte die Ausführung von beliebigem JavaScript, wenn eine Warnung in der TinyMCE-Benutzeroberfläche für den aktuellen Benutzer angezeigt wurde. Diese Schwachstelle wurde in TinyMCE 5.10.7 und TinyMCE 6.3.1 gepatcht, indem sichergestellt wurde, dass die HTML-Sanitisierung auch nach dem Entpacken ungültiger Elemente durchgeführt wurde. Benutzern wird empfohlen, entweder auf 5.10.7 oder 6.3.1 zu aktualisieren. Benutzer, die kein Upgrade durchführen können, können sicherstellen, dass der `images_upload_handler` einen gültigen Wert gemäß der images_upload_handler-Dokumentation zurückgibt.
  • Sicherheitsupdate für CVE-2022-41915
    • Das Netty-Projekt ist ein ereignisgesteuertes, asynchrones Netzwerkanwendungs-Framework. Ab Version 4.1.83.Final und vor 4.1.86.Final wurde beim Aufruf von `DefaultHttpHeadesr.set` mit einem _Iterator_ von Werten keine Validierung der Header-Werte durchgeführt, wodurch bösartige Header-Werte im Iterator HTTP Response Splitting durchführen konnten. Dieses Problem wurde in Version 4.1.86.Final behoben. Integratoren können das Problem umgehen, indem sie den Aufruf `DefaultHttpHeaders.set(CharSequence, Iterator)` in einen `remove()`-Aufruf ändern und `add()` in einer Schleife über den Iterator der Werte aufrufen.
  • Sicherheitsupdate für CVE-2023-24998
    • Apache Commons FileUpload vor Version 1.5 begrenzt nicht die Anzahl der zu verarbeitenden Anfrageteile, was dazu führt, dass ein Angreifer mit einem bösartigen Upload oder einer Reihe von Uploads einen DoS auslösen kann.