5.2. 既知の問題

CVE-2023-44487: 複数の HTTP/2 対応 Web サーバーが DDoS 攻撃 (Rapid Reset Attack) に対して脆弱である

HTTP/2 プロトコルでの多重化ストリームの処理に欠陥が見つかりました。HTTP/2 プロトコルでは、リクエストのキャンセルにより複数のストリームがすぐにリセットされるため、サービス拒否 (サーバーリソースの消費) が可能になります。サーバーは、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限に達しないようにしながら、ストリームのセットアップと破棄を行う必要があり、その結果、サーバーのリソース消費によるサービス妨害が発生していました。

CVE-2023-39325: 複数の HTTP/2 対応 Web サーバーが DDoS 攻撃 (Go 言語パッケージの Rapid Reset Attack) に対して脆弱です。

HTTP/2 プロトコルは、リクエストのキャンセルによって複数のストリームがすぐにリセットされる可能性があるため、サービス拒否攻撃の影響を受けやすくなっています。サーバーは、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限に達しないようにしながら、ストリームをセットアップおよび破棄する必要があります。これにより、サーバーのリソースが消費され、サービス拒否が発生します。

Keycloak を再度有効にすると MTA が中断される

Keycloak はデフォルトで有効化されています。Keycloak を無効にしてから再度有効にすると、再度ログインした後に MTA Web コンソールでアクションを実行できません。

名前にスペースが含まれるフォルダーを含むリポジトリーからルールを取得すると分析が失敗する

分析中にリポジトリーからカスタムルールをフェッチするときに、Root path フィールドにスペースが含まれていると、mta-cli コマンドが正しく設定されず、分析は失敗します。MTA-458

アプリケーション、ジョブ機能、およびビジネスサービスの更新通知が無効になっている

アプリケーション、ジョブ機能、および ビジネスサービス の更新通知が無効になっているため、通知は表示されません。MTA-1024

リポジトリータイプフィールドが必須ではない

分析でリポジトリーからルールファイルの設定を保存する場合、Repository type フィールドは必要ありません。MTA-1047

新しい Jira インスタンスで「not connnected」のステータスが誤っている

新しい Jira インスタンスの作成時に、接続ステータスは最初に Connected に移動する前に Not connected と表示され、この遅延により、提供された認証情報が正しくないとみなされる可能性があります。MTA-1019