Release-Datum: 30.03.2020

Über dieses Release

Version 4.12.6 von DRACOON Core Service für On-Premises-Kunden beseitigt einige, u.U. schwerwiegende Probleme im aktuellen LTS-Release 2019-1. Sie enthält außerdem ein Sicherheitsupdate für Spring Boot, das eine Sicherheitslücke in Apache Tomcat schließt.

Die neue Version 4.12.2 der OAuth-Komponente, die neue Version 1.2.2 des Branding-Services und die neue Version 5.2.2 des WebDAV-Proxys von DRACOON enthalten ebenfalls das oben genannte Spring Boot-Sicherheitsupdate.

Die Installation wird allen On-Premises-Kunden empfohlen (die also DRACOON auf selbstverwalteten Servern betreiben).

Die Installationspakete stehen auf unserem Download-Portal (download.dracoon.com) zur Verfügung.

Problembeseitigungen

Folgende Probleme wurden in Version 4.12.6 von DRACOON Server behoben:

• Mit den jüngsten Versionen von DRACOON für Windows/Mac konnten Benutzer, die im Datenraum die Berechtigung "Download-Freigaben verwalten" nicht besaßen, keine Neufassungen von Dateien im Datenraum speichern.
• Dateien, die über Upload-Freigaben in einen verschlüsselten Datenraum hochgeladen wurden, konnten u.U. nicht geöffnet werden, weil Dateischlüssel fehlten. Nicht-verschlüsselte Datenräume waren nicht betroffen.
• Das Löschen vieler Dateien aus dem Papierkorb (z.B. beim Leeren des Papierkorbs) konnte lange dauern.
• Beim Löschen von Dateien (Verschieben in den Papierkorb) wurde das Ablaufdatum der Dateien entfernt, sofern vorhanden. Wurde eine gelöschte Datei später aus dem Papierkorb wiederhergestellt, hatte sie folglich kein Ablaufdatum mehr.
• Die S3-Migration (nach Anbindung eines S3-Speichers in den Systemeinstellungen) konnte in Ausnahmefällen nicht abgeschlossen werden.
• Beim Abbruch eines Datei-Uploads in angebundenen S3-Speicher wurde der interne Upload-Status der Datei nicht zurückgesetzt.

Sicherheitsupdates

• Version 4.12.6 von DRACOON Server, Version 4.12.2 der DRACOON OAuth-Komponente, Version 1.2.2 des DRACOON Branding Service und Version 5.2.2 des DRACOON WebDAV-Proxy enthalten ein Update für Spring Boot, das wiederum die neue Version 9.0.31 von Apache Tomcat enthält. Diese beseitigt die Tomcat-Sicherheitslücke CVE-2020-1938, die unter dem Namen Ghostcat bekannt wurde. Diese Sicherheitslücke konnte nicht ausgenutzt werden, wenn der DRACOON-Server nach Empfehlung von DRACOON konfiguriert war (wenn also der Port 8009/tcp nicht von außen zugänglich war).

  DRACOON-Bulletin zur Ghostcat-Lücke