Resumo
Uma atualização de segurança para o agente .NET da New Relic corrige vulnerabilidades em que o agente poderia capturar involuntariamente o parâmetro de solicitação de serviço do aplicativo WCF.
Release date: 4 de maio de 2017
Vulnerability identifier: NR17-04
Priority: Médio
Software afetado
As seguintes versões do agente New Relic são afetadas:
Name | Affected version | Notes | Remediated version |
|---|---|---|---|
Agente .NET | 6.8.172.0 (e superior) | Com WCF |
Informações sobre vulnerabilidades
A versão do agente .NET da New Relic 6.8.172.0 adicionou visibilidade ao Error Analytics. Por padrão o agente irá capturar o evento de erro, e com o aplicativo WCF isso é capturado como tipo de evento TransactionError. New Relic descobriu que o atributo **service.request.*** pode conter informações confidenciais que não devem ser enviadas à New Relic. Foi feita uma correção para desabilitar a coleta destes parâmetros durante a coleta de erros. Os clientes são incentivados a atualizar para a versão mais recente do agente .NET.
Fatores mitigantes
- Somente o agente .NET com Error Analytics e o aplicativo WCF são afetados.
- Todos os atributos de solicitação de serviço ficam desabilitados no modo de alta segurança.
Soluções alternativas
O usuário afetado e incapaz de atualizar pode optar por configurar manualmente o agente .NET para não capturar o parâmetro de solicitação de serviço. o usuário pode excluir **service.request.*** atributo da sub-rotina errorCollector em seu arquivo newrelic.config.
<attributes enabled="true"> <exclude > service.request.*</exclude> </attributes>Para obter detalhes, consulte nossa configuração do coletor de erros do agente .NET
Relate vulnerabilidades de segurança à New Relic
A New Relic está comprometida com a segurança de nossos clientes e de seus dados. Se você acredita ter encontrado vulnerabilidades de segurança em um de nossos produtos ou sites, agradecemos e agradecemos muito que você relate isso ao programa de divulgação coordenado da New Relic. Para obter mais informações, consulte Relatando vulnerabilidades de segurança.
Para obter mais ajuda
Recursos de documentação adicionais incluem:.