Atualização de segurança para todas as versões do DataFlex com WebApp Framework - Ação necessária!
Para várias versões do DataFlex, há atualizações disponíveis que abordam uma ocorrência de segurança no DebugBuffer.js.
Isso não afeta a usabilidade das aplicações. No entanto, hackers podem potencialmente explorar o comportamento, tornando-o um risco de segurança que precisa ser abordado.
Essa ocorrência afeta todas as versões do DataFlex WebApp Framework (DataFlex Studio e aplicações DataFlex Web em execução em produção) e possivelmente implantações que usam a Biblioteca Ajax.
Passos a seguir
A vulnerabilidade é rápida de mitigar. É altamente recomendado remover os arquivos DebugBuffer.js e DebugBuffer.css de qualquer aplicação web DataFlex em execução em produção.
Também é recomendado que os desenvolvedores atualizem seus DataFlex Studio(s). Ao trabalhar com versões do DataFlex Studio que não são mais suportadas, os desenvolvedores e o administrador do sistema podem remover com segurança os arquivos DebugBuffer.js e DebugBuffer.css.
Os desenvolvedores são incentivados a atualizar as aplicações Web DataFlex em execução, em produção e no DataFlex Studio(s) agora mesmo!
Como remover arquivos JS e CSS do Debugger:
Quando executar esta etapa:
- Se você tiver aplicações DataFlex Web em execução na produção.
- Se você estiver trabalhando em uma versão mais antiga do DataFlex que não está na lista de produtos atual e nenhum DataFlex Studio atualizado for fornecido.
Como:
- Remova os arquivos ’DebugBuffer.js’ e ’DebugBuffer.css’ do diretório DfEngine na pasta AppHtml.
- Isso não afetará as capacidades de produção e é seguro de executar.
- É altamente recomendável realizar esta ação o mais rápido possível , mesmo que a chance de exposição seja baixa.
Como atualizar o(s) DataFlex Studio(s):
Quando executar esta etapa: se sua versão do DataFlex Studio estiver na lista abaixo.
Com este post lançamos novas versões do DataFlex Studio oficialmente suportadas, sendo elas:
Para instalar a(s) nova(s) versão(ões):
- Primeiro desinstale a versão atual do DataFlex Studio.
- Após abrir um workspace, uma migração do mecanismo JavaScript é exibida. Se isso não for sugerido, vá para Tools -> Update JavaSCript Engine. Clique em yes.
- Durante a atualização, uma mensagem será exibida: “Um componente de framework vulnerável (DebugBuffer.js) foi encontrado, o estúdio deve remover este arquivo?”. A resposta recomendada é sim.
- Note que isso removerá os arquivos JS e CSS. Aqueles que usaram ativamente esse componente podem deixá-lo.
Lembrete de segurança
Observe que é recomendado usar versões DataFlex recentes e suportadas. Especialmente em ambientes web, atualizações de segurança são importantes. Veja a Current Products List para as versões e plataformas DataFlex oficialmente suportadas.
Para mais discussões, visite o fórum DataFlex Web & Mobile Applications.
