Software-update - Vaultwarden 1.37.4

In dit artikel:

Vaultwarden, de onofficiële en in Rust geschreven server voor Bitwarden, is bijgewerkt naar versie 1.37.4. Gebruikers kunnen de officiële Bitwarden-apps blijven gebruiken. De nieuwe release bevat meerdere beveiligingsreparaties en wordt daarom zo snel mogelijk aangeraden.

De problemen betroffen onder meer het intrekken van toegang voor organisatieleden, tweefactorauthenticatie, uitnodigingen, bestandsbijlagen, gebeurtenisregistratie, het delen van versleutelde gegevens en organisatie-API-sleutels. De ernst loopt uiteen van laag tot hoog; het zwaarste probleem heeft een score van 8,1. Ook zijn afhankelijkheden bijgewerkt en aanvullende beveiligingsmaatregelen toegevoegd. De kwetsbaarheden worden later, na toekenning van CVE-nummers, openbaar gemaakt.

Beheerders van organisaties met onvoldoende betrouwbare admins wordt geadviseerd na de upgrade de API-sleutel te vernieuwen. Voor reverse proxies is de verwerking van adressen in de header X-Forwarded-For aangepast. Bij meerdere proxies moeten alle vertrouwde tussenstations worden opgenomen in IP_HEADER_TRUSTED_PROXIES om correcte logging en snelheidsbeperkingen te behouden.

Daarnaast werkt de opdrachtregeloptie voor het ontvangen van Sends niet meer met oudere Bitwarden-cli-versies. Verouderde feature flags, Duo-instellingen en API-eindpunten zijn verwijderd. Een nieuw e-mailsjabloon ondersteunt meldingen na herstel van tweefactorauthenticatie. Verder sluit Vaultwarden beter aan op recente Bitwarden-clients, zijn problemen rond ingetrokken organisatieleden opgelost en zijn diverse bouw-, afhankelijkheids- en compatibiliteitsverbeteringen doorgevoerd.