Šta se desilo?

Apache je objavio ispravku za CVE-2026-86471, propust u proveri konfiguracione vrednosti. Administrator CouchDB servera može da izvrši proizvoljne shell komande pod nalogom operativnog sistema koji pokreće CouchDB.

Koga pogađa?

Pogođen je Apache CouchDB 3.5.2 i stariji, na svim platformama. Uslov je pristup konfiguraciji kao administrator CouchDB servera; uloga administratora pojedinačne baze nije isto ovlašćenje.

Kako se zaštititi?

  • Ažurirajte CouchDB na verziju 3.5.3 ili noviju podržanu verziju.
  • Pre nadogradnje proverite kompatibilnost okruženja i mogućnost vraćanja rezervnih kopija.
  • Ograničite mrežni pristup administrativnom API-ju na ovlašćene sisteme.
  • Pregledajte administratorske naloge i neočekivane izmene konfiguracije.
  • Posle nadogradnje proverite aktivnu verziju na svim čvorovima i rad servisa.

Tehnički detalji

Propust se odnosi na neproverenu konfiguracionu vrednost i izvršavanje komandi. Apache obaveštenje od 20. oktobra navodi CVSS 4.0 ocenu 9,3 (kritično), dok stranica dokumentacije navodi nivo High. Objavljeni vektor sadrži E:A, ali obaveštenje ne daje opis konkretne kampanje ni broj žrtava.

Zašto je važno?

Posledice zavise i od ovlašćenja sistemskog naloga CouchDB-a. Izvršavanje komandi ne znači automatski root pristup, ali može proširiti posledice kompromitovanog administratorskog naloga.

Preporuka Sajber Radara

Prioritet dajte ažuriranju svih čvorova. Ograničavanje pristupa smanjuje izloženost, ali ne zamenjuje zakrpu. Istražite neuobičajene promene konfiguracije i procese koje je pokretao CouchDB.