Release Notes

Mit dem Release 2023.10 sind folgende intern verwendete Software aktualisiert worden.

• Java Service Wrapper (Konfiguration und Überwachung der FirstSpirit Java VM, 3.5.50 --> 3.5.54)
  Hinweis: Bei einer Aktualisierung des FirstSpirit-Servers (Auto-Update, Inplace-Upgrade) werden die Dateien des Java Service Wrappers nicht automatisch aktualisiert. Der Java Service Wrapper kann gemäß FirstSpirit Installationsanleitung über das Tar-Gzip-Aktualisierungsarchiv (Datei fs-update-[version].tar.gz) aktualisiert werden.
  Weiterführende Dokumentation:
  • zur Aktualisierung des Java Service Wrappers (Installationsanleitung)
  • zum Java Service Wrapper (Handbuch für Administratoren)

Mithilfe des neuen Parameters schedule.maxInactivityTimeout in der fs-server.conf kann definiert werden, innerhalb welchen Zeitraums eine Auftragsaktion als „blockiert“ betrachtet und abgebrochen wird, wenn keine CPU-Zeit verbraucht wurde.

Diese Metrik ermöglicht es, Threads oder Auftragsaktionen zu identifizieren, die keine CPU-Ressourcen innerhalb eines festgelegten Zeitraums nutzen, und sie gegebenenfalls abzubrechen, um die Effizienz und die Ressourcennutzung zu optimieren.

Standardmäßig ist dieser Zeitrahmen auf 10 Minuten eingestellt. Eine Überprüfung auf die Abbruchbedingung erfolgt alle fünf Minuten.

Im Ausnahmefall kann ein Thread in der Standardkonfiguration also bis zu 15 Minuten ohne CPU-Verbrauch verharren, bevor er als blockiert erkannt und abgebrochen wird.

Aufgrund von CVE-2023-4863 wurde die von FirstSpirit benutzte WebP-Library, welche zum Rendern von WebP-Bildern benötigt wird, auf eine Version aktualisiert, die auf libwebp-Version 1.3.2 basiert.

Ein „Heap Buffer Overflow“ in WebP ermöglicht es einem Angreifer, Speicher außerhalb der festgelegten Grenzen zu schreiben und so möglicherweise bösartigen Code einzuschleusen. Ein manipuliertes WebP-Bild kann daher zu einer Code-Injection führen.

FirstSpirit-Versionen ab 2019.11 sind betroffen.

Wie kann die Lücke ausgenutzt werden?

• Ein Redakteur fügt ein manipuliertes WebP-Bild einem Projekt hinzu.

Was muss man tun?

• (Server) Update auf 5.2.230813 (Non-Jakarta) oder 5.2.231008 (Jakarta)
• (Client) Deaktivieren der integrierten Vorschau im SA (JxBrowser)
• (Client) Aktualisieren der lokalen Browser

Mitigation ohne FS Update

• (Server) Hochladen von WebP verhindern (Einstellen passender Restriktionen im Projekt) oder
• (Server) WebP als Medientyp „file“ konfigurieren
• (Client) Deaktivieren der integrierten Vorschau im SA (JxBrowser)
• (Client) Aktualisieren der lokalen Browser

Aus Sicherheitsgründen ist es für Server-Administratoren, bei denen die Option „externer Benutzer“ nicht gesetzt ist, nicht mehr möglich, sich über eine externe Authentifizierung (z. B. SAML oder LDAP) anzumelden. Ein entsprechender Versuch führt nun dazu, dass der Anmeldedialog angezeigt wird.

Diese Einschränkung gilt nicht für „normale“ Benutzer und auch nicht für Projekt-Administratoren.

Es wurden zwei neuen Match-Modi für externe Gruppen im FirstSpirit SAML Login Modul eingeführt.

Die neuen Parameter können in fs-saml.conf defineirt werden (siehe dazu Installation und Einrichtung des Moduls).

group.match.mode

Mögliche Werte:

• contains (Standardwert)
• equals

Mit diesem Parameter kann die Zuordnung zu externen Gruppen von dem „SAML Gruppe muss die externe Bezeichnung der Gruppe enthalten“ (contains) auf „SAML Gruppe muss identisch zur externen Bezeichnung sein“ (equals) geändert werden.

group.name

group.name=${saml:groupName}

Mit diesem Parameter ist es möglich, den SAML Gruppennamen um ein beliebiges Prefix und/oder Suffix zu erweitern.

Beispiel:

group.name=SAML-${saml:groupName}-GRUPPE

Diese Konfiguration würde dazu führen, dass eine über SAML Login bezogene Gruppe „users“ in FirstSpirit als „SAML-users-GRUPPE“ verwendet würde.

Die Umstellung auf Jakarta Servlet 6.0 ist ein wesentlicher Schritt, um die Sicherheit der Webanwendungen zu gewährleisten.

Mit der FirstSpirit-Version 2023.9 erfolgte die Umstellung auf Jakarta Servlet 6.0 mit Unterstützung für automatische Migration.

Die Unterstützung der automatischen Migration wird mit FirstSpirit 2024.9 eingestellt.

Im Gegensatz zum schrittweise erfolgenden Rollout für Cloud-Kunden können On-Premises-Kunden ihre FirstSpirit-Server nach Erscheinen der Version 2023.9 oder 2023.10 testen und migrieren.

Wichtig:

• Wenn FirstSpirit in einem On-Premises-Szenario betreiben wird, muss beim Wechsel auf die FirstSpirit JakartaEE-Edition die Tomcat-Version aktualisiert werden. Da die Servlet-Version auf 6.0 aktualisiert wird, wird eine 10.1.x Version von Tomcat benötigt.
• Die Verwendung der FirstSpirit-Version 2023.9 oder höher setzt voraus, dass Java in der Version 17 eingesetzt ist.

Die FirstSpirit-Installation kann betroffen sein, wenn eine der folgenden Bedingungen zutrifft:

• Die FirstSpirit-Installation wird nicht in der Crownpeak Cloud gepflegt.
• Es wird ein benutzerdefiniertes Modul verwendet, das eine WebApp-Komponente mit Code enthält, der die alte Java-Servlet-API verwendet.
• Es wird ein benutzerdefiniertes Modul eingesetzt, das eine WebApp-Komponente mit Abhängigkeiten enthält, die das alte JavaEE-API verwenden, z. B. Spring Boot 2.x.

Weitere Informationen und Updates sind in der Crownpeak Community und in den ausführlichen Jakarta FAQ zu finden.
Bei Fragen oder Feedback zur Migration wenden Sie sich bitte an den Customer Support Team.

Im ServerManager liefert die Liste der Web-Applikationen jetzt auch Informationen zur eingesetzten Servlet-Version. Mit dieser kann festgestellt werden, ob auf einem Server mit Jakarta-EE-Unterstützung noch Komponenten installiert sind, die in nächster Zeit auf die Jakarta-EE-API migriert werden sollen.

Servlet Version

Bei der Erstellung von Features werden diese nun nicht mehr grundsätzlich im „Project-Local-Storage“ gespeichert, sondern nur noch, wenn dieser explizit ausgewählt wurde.

Hinweis: Bei der Erstellung von Features mittels FirstSpirit-API wird automatisch der „Project-Local-Storage“ verwendet.

Folgende Modul-Versionen für FirstSpirit Content Experience Tools werden von FirstSpirit 2023.10 unterstützt.

Mit dem aktuellen FirstSpirit-Release besteht nun die Möglichkeit, optional eine minimal benötigte FirstSpirit-Version bei der Modulenwicklung anzugeben (module.xml).

Innerhalb des <module>-Blocks kann die entsprechende FirstSpirit-Version definiert werden.

Beispiel:

<module>
   <name>FirstSpirit Beispiel-Modul</name>
   <version>5.2</version>
   <min-fs-version>5.2.230909</min-fs-version>

   <components>
   ...
   </components>
<module>

Mit dieser Syntax kann z. B. sichergestellt werden, dass das Modul nur auf einem FirstSpirit-Server ab der Version 5.2.230909 installiert werden kann.

Die Syntax lautet <FSMajorVersion>.<FSMinorVersion>.<FSBuildNummer>, wobei

• <FSMajorVersion>: 5
• <FSMinorVersion>: 2
• <FSBuildNummer>: 6-stellige Nummer bestehend aus jeweils zwei Stellen für <Jahr>, <Version im Jahr>, <Buildnummer>

Das Interface WebServer (FirstSpirit Developer-API, Package de.espirit.firstspirit.module) wurde um eine neue Methode getWebAppDir(String targetPath) erweitert, die den Pfad zu einem bestimmten Webanwendungsverzeichnis dieses Webservers zurück liefert. Da die Methode über eine Default-Implementierung verfügt, ist für die meisten Ableitungen der Klasse keine Anpassung notwendig.

Außerdem wurde der Fehler beseitigt, der dazu führte, dass die Ergebnisse von Generierungsaufträgen für den mit FirstSpirit 2023.9 bereitgestellten Embedded Tomcat nicht sichtbar waren.