Résumé
Une mise à jour de sécurité pour l'agent .NET de New Relic corrige une vulnérabilité où l'agent pouvait capturer involontairement les paramètres de demande de service des applications WCF.
Release date: 4 mai 2017
Vulnerability identifier: NR17-04
Priority: Moyen
Logiciels concernés
Les versions d'agent New Relic suivantes sont concernées :
Name | Affected version | Notes | Remediated version |
|---|---|---|---|
Agent .NET | 6.8.172.0 (et versions supérieures) | Avec WCF |
informations sur les vulnérabilités
La version 6.8.172.0 de l'agent .NET de New Relic a ajouté une visibilité sur les analyses d'erreurs. Par défaut, l'agent capture l'événement d'erreur, et avec les applications WCF, celui-ci est capturé comme un événement de type TransactionError. New Relic a découvert que l'attribut **service.request.*** peut contenir des informations sensibles qui ne doivent pas être envoyées à New Relic. Un correctif a été apporté pour désactiver la collecte de ces paramètres lors de la collecte des erreurs. Les clients sont encouragés à mettre à niveau vers la dernière version de l’agent .NET.
Facteurs atténuants
- Seuls les agents .NET avec Error Analytics et les applications WCF sont concernés.
- Tous les attributs de demande de service sont désactivés en mode haute sécurité.
Solutions de contournement
les utilisateurs concernés et incapables d'effectuer la mise à niveau peuvent choisir de configurer manuellement l'agent .NET pour ne pas capturer les paramètres de demande de service. l'utilisateur peut exclure l'attribut **service.request.*** de la strophe errorCollector dans son fichier newrelic.config.
<attributes enabled="true"> <exclude > service.request.*</exclude> </attributes>Pour plus de détails, veuillez vous référer à notre d'erreurs de l'agent .NET Collector configuration
Signaler les vulnérabilités de sécurité à New Relic
New Relic s'engage à assurer la sécurité de ses clients et de leurs données. Si vous pensez avoir découvert une faille de sécurité dans l'un de nos produits ou sites Web, nous vous invitons à la signaler au programme de divulgation coordonnée de New Relic. Pour plus d'informations, consultez Signalement des vulnérabilités de sécurité.
Pour plus d'aide
Les ressources de documentation supplémentaires incluent :.