-
Notifications
You must be signed in to change notification settings - Fork 12
/
Copy pathChangeLog
10154 lines (7917 loc) · 556 KB
/
ChangeLog
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
685
686
687
688
689
690
691
692
693
694
695
696
697
698
699
700
701
702
703
704
705
706
707
708
709
710
711
712
713
714
715
716
717
718
719
720
721
722
723
724
725
726
727
728
729
730
731
732
733
734
735
736
737
738
739
740
741
742
743
744
745
746
747
748
749
750
751
752
753
754
755
756
757
758
759
760
761
762
763
764
765
766
767
768
769
770
771
772
773
774
775
776
777
778
779
780
781
782
783
784
785
786
787
788
789
790
791
792
793
794
795
796
797
798
799
800
801
802
803
804
805
806
807
808
809
810
811
812
813
814
815
816
817
818
819
820
821
822
823
824
825
826
827
828
829
830
831
832
833
834
835
836
837
838
839
840
841
842
843
844
845
846
847
848
849
850
851
852
853
854
855
856
857
858
859
860
861
862
863
864
865
866
867
868
869
870
871
872
873
874
875
876
877
878
879
880
881
882
883
884
885
886
887
888
889
890
891
892
893
894
895
896
897
898
899
900
901
902
903
904
905
906
907
908
909
910
911
912
913
914
915
916
917
918
919
920
921
922
923
924
925
926
927
928
929
930
931
932
933
934
935
936
937
938
939
940
941
942
943
944
945
946
947
948
949
950
951
952
953
954
955
956
957
958
959
960
961
962
963
964
965
966
967
968
969
970
971
972
973
974
975
976
977
978
979
980
981
982
983
984
985
986
987
988
989
990
991
992
993
994
995
996
997
998
999
1000
2025-02-24 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole]
Risolto Bug #1585
Se il numero di regole di proxy pass definite superava le 9, l'ordinamento previsto non veniva mantenuto, causando un riordino errato.
In particolare, le regole venivano ordinate in modo lessicografico anziché numerico.
2025-02-19 Andrea Poli <[email protected]>
* [GovWayMonitor]
Aggiunta funzionalità #1583
(https://gitlab.link.it/gitlab/linkit/dev/govway/govway/-/issues/1583)
Aggiunto il suffisso '.rollingFile' ai RollingFile appender in monitor.log4j2.properties per uniformarli agli altri file di configurazione log4j del progetto.
2025-02-17 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1580
(https://github.com/link-it/govway/issues/191)
Arricchite tabelle 'statistiche' e 'transazioni_info' con una colonna 'id' definita come primary key.
2025-02-17 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1581
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2025-25193: aggiornata libreria 'io.netty:*' alla versione 4.1.118.Final
2025-02-17 Tommaso Burlon <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1552
Aggiunta la possibilità di personalizzare i log applicativi di debug prodotti dalle applicazioni di GovWay tramite variabili di sistema o parametri Java. Le nuove opzioni permettono di:
- abilitare il log su console;
- aggiungere un identificativo del nodo nel percorso di log, facilitando la condivisione dello stesso filesystem tra più istanze;
- abilitare il log in formato JSON.
2025-02-14 Andrea Poli <[email protected]>
* [ProtocolloModIPA]
Risolto Bug #1578
La configurazione della risposta che prevedeva la personalizzazione del claim 'aud' veniva ignorata,
impedendo l'assegnazione del valore configurato nei token di risposta generati.
2025-02-13 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1577
In caso di fallimento nella costruzione dello schema XSD, la collezione degli schemi veniva serializzata nella directory `/tmp`,
causando potenziali problemi di esaurimento dello spazio nella partizione temporanea.
Ora la collezione degli schemi viene registrata in una directory interna alla directory di log associata a GovWay, migliorando la gestione dello spazio e facilitando il debug.
2025-02-13 Giuliano Pintori <[email protected]>
* [GovWayMonitor]
Risolto Bug #1576
È stato corretto un comportamento anomalo nel filtro di ricerca delle azioni per le API SOAP nelle sezioni "Transazioni" e "Statistiche", che impediva la selezione delle azioni.
Il filtro funzionava correttamente per le API di tipo REST.
2025-02-13 Andrea Poli <[email protected]>
* [Utils, GovWayCore]
Aggiunta funzionalità #1575
Le funzionalità di lock basate su semafori sono state estese con uno scheduler che permette il rilascio automatico del lock dopo un timeout configurabile.
2025-02-04 Andrea Poli <[email protected]>
* Rilasciata versione 3.3.16
2025-01-30 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1573
Quando la funzionalità di proxy pass reverse per gli header HTTP è attiva,
se un header Location contiene un'URL con query parameter che non corrisponde a quella del connettore (e quindi non viene tradotta),
l'header veniva inoltrato al client senza i query parameters.
2025-01-30 Giuliano Pintori <[email protected]>
* [GovWayMonitor]
Risolto Bug #1570
È stato corretto il comportamento del filtro di ricerca per risorse/azioni nelle sezioni Transazioni e Statistiche.
In precedenza, il filtro appariva solo se veniva selezionata un'implementazione di API.
Ora il filtro viene mostrato anche quando viene selezionata un'API generica, permettendo la selezione di risorse e azioni senza dover scegliere un'implementazione specifica.
2025-01-29 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1572
Il processo di consegna di una notifica asincrona con salvataggio della risposta, in presenza di errori di connessione,
generava un'anomalia che causa una ripetizione infinita della consegna delle notifiche.
2025-01-22 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1567
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2025-23184:
aggiornata libreria 'org.apache.cxf:*' alla versione 3.6.5
aggiornata libreria 'org.ow2.asm:asm' alla versione 9.7.1
2025-01-21 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1566
In alcuni casi limite, i driver per l'accesso al database delle configurazioni restituivano al pool una connessione con l'opzione autoCommit disabilitata.
2025-01-17 Andrea Poli <[email protected]>
* [GovWayCore, ProtocolloModIPA]
Risolto Bug #1565
Risolto un problema nella funzionalità 'FileTrace' per la registrazione delle transazioni, dove l'informazione 'requester',
se registrata con l'opzione 'logBase64', veniva codificata in Base64 due volte.
2025-01-16 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1564
Nella funzionalitò di controllo del traffico con sincronizzazione distribuita tramite hazelcast,
è stato aggiunto un meccanismo di failover applicativo per la gestione dell'eccezione 'DistributedObjectDestroyedException' che può avvenire in casi limite
durante l'utilizzo di AtomicLong e PNCounter in configurazioni del cluster senza CP Subsystem.
Nell'intervento è stato reso configurabile il sistema di diagnostica di hazelcast e la validazione della configurazione utilizzata.
2025-01-15 Andrea Poli <[email protected]>
* [GovWayCore, ProtocolloModIPA, Documentazione]
Aggiunta funzionalità #1563
Migliorata gestione della registrazione di molteplici repository delle chiavi PDND e/o utilizzo di client interop differenti in ambiente Multi-Tenant:
- l'introduzione di molteplici repository vengono automaticamente utilizzati nella console di gestione e nei timer dedicati alla gestione delle interazioni con la PDND;
- la proprietà 'org.openspcoop2.protocol.modipa.sicurezzaMessaggio.certificati.remoteStore.pdnd.baseUrl' può adesso essere definita con la sola base url senza il suffisso '/keys';
- rivista configurazione multitenant.
2025-01-12 Andrea Poli <[email protected]>
* [GovWayCore]
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-38827: aggiornata libreria 'org.springframework.security:*' alla versione 5.8.16
2025-01-10 Andrea Poli <[email protected]>
* [GovWayCore, ProtocolloModIPA]
Risolto Bug #1528
Risolta anomalia presente nella funzionalità ModI di imbustamento delle fruizioni per applicativi identificati tramite autenticazione interna di tipo 'token'.
In caso di token generati senza PDND, veniva erroneamente segnalato l'errore:
"Il profilo di sicurezza richiesto 'idam01' richiede l'identificazione di un applicativo".
Con una negoziazione del token tramite PDND, veniva segnalato l'errore:
"Il tipo di keystore indicato nella token policy 'PDND' richiede l'autenticazione e l'identificazione di un applicativo fruitore: Servizio applicativo anonimo".
Ora il keystore definito nell'applicativo viene correttamente utilizzato senza generare indicazioni di applicativo non identificato.
2025-01-10 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1561
Aggiunto il controllo basato sul valore dell'header HTTP 'Content-Length' per filtrare i messaggi secondo le policy di rate limiting per dimensione.
2025-01-08 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1560
Aggiunta una nuova metrica utilizzabile nelle politiche di Rate Limiting: "Numero completato con successo o fault applicativo"
2025-01-07 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1559
Aggiunto controllo dello stato della connessione al rilascio al datasource:
- verifica la presenza di transazioni aperte (autoCommit disabilitato);
- effettua il log dello stack trace per identificare la classe responsabile;
- richiama `setAutoCommit(true)` per ripristinare lo stato corretto.
2025-01-03 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1558
Aggiunta di un criterio di tolleranza per la validazione del claim 'nbf' nei token di sicurezza ModI e nei token validati tramite Token Policy.
La tolleranza predefinita è impostata a 5 secondi, con la possibilità di personalizzarla tramite la configurazione di GovWay.
2025-01-03 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1556
La funzionalità di validazione dei contenuti tramite OpenAPI è stata modificata per garantire che i payload contenenti elementi 'date-time' non conformi a RFC 3339 (#section-5.6),
come caratteri minuscoli (t, z) o spazi (' ') al posto del separatore T, vengano rifiutati.
Prima della modifica tali formati venivano accettati nei payload ma non negli header, nei parametri delle URL e nei path; adesso la validazione è uniforme su tutte le sorgenti.
È stata inoltre introdotta una configurazione parametrica che consente, se necessario, di ripristinare l'accettazione di formati non conformi.
2025-01-01 Andrea Poli <[email protected]>
* [GovWayCore]
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-38829: aggiornata libreria 'org.springframework.ldap:*' alla versione 2.4.4
2024-12-31 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Aggiunta funzionalità #1546
Migliorata l'usabilità con la funzionalità di copia negli appunti al passaggio del mouse su campi specifici, come ad esempio "URL Invocazione" e "Connettore" delle erogazioni.
2024-12-31 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Aggiunta funzionalità #1553
Nella sezione "runtime" è stata introdotta la possibilità di effettuare un refresh della pagina che mantiene l'utente nella posizione specifica della sezione aggiornata.
2024-12-21 Tommaso Burlon <[email protected]>
* [GovWayCore, GovWayConsole]
Aggiunta funzionalità #1543
Aggiunto un connettore nella configurazione avanzata per simulare una risorsa che verifica lo stato di un servizio, nel caso in cui non sia nativamente disponibile nel backend dell'API.
2024-11-15 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1551
In presenza di messaggi SOAPWithAttachments, tramite una trasformazione è adesso possibile forzare la generazione del parametro 'start' nel Content-Type.
2024-11-15 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1550
Nel caso in cui il frontend web includa in un header HTTP il certificato X.509 del client autenticato (ad esempio, SSL_CLIENT_CERT),
è stata introdotta la possibilità di interpretare un header valorizzato con una stringa vuota come indicazione che il fruitore non ha presentato alcun certificato client.
Questa funzionalità è attiva di default, ma può essere disabilitata modificando la configurazione nel file govway_local.properties.
2024-11-13 Andrea Poli <[email protected]>
* [GovWayConsole]
Risolto Bug #1549
Utilizzando il database 'SQLServer', si verificava un errore inatteso accedendo alla sezione 'Handler' nelle opzioni avanzate di un'erogazione/fruizione e
cliccando su una qualsiasi delle liste relative alla richiesta o alla risposta.
2024-11-13 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1548
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-47535: aggiornata libreria 'io.netty:*' alla versione 4.1.115
2024-11-09 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1532
Corrette segnalazioni vulnerabilità rilevate da SpotBugs 4.8.6
2024-11-08 Giuliano Pintori <[email protected]>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1533
Corrette segnalazioni vulnerabilità rilevate da SonarQube 10.7 su alcune pagine xhtml e jsp.
Corretta anomalia presente nella console di monitoraggio che causava la registrazione di comandi SQL nel file di log govway_monitor_core.log invece che nel file corretto govway_monitor_sql.log.
2024-11-06 Tommaso Burlon <[email protected]>
* [Utils, GovWayCore]
Introdotte utility per la lettura dei dati da server LDAP e
ampliata la funzionalità di recupero delle liste di revoca dei certificati (CRL) per la validazione dei certificati presenti nell'estensione 'CRLDistributionPoints',
ora supportando anche il protocollo LDAP.
2024-10-31 Andrea Poli <[email protected]>
* Rilasciata versione 3.3.15.p2
2024-10-30 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Risolto Bug #1542
La pagina iniziale che consente di effettuare il login nella console (es. http://127.0.0.1:8080/govwayConsole/) restituiva un codice di risposta HTTP 500 invece di 200.
2024-10-29 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1539
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-38821: aggiornate librerie 'org.springframework.security:*' alla versione 5.8.15
- CVE-2024-38820: aggiornate librerie 'org.springframework:*' alla versione 5.3.39-gov4j-1
2024-10-25 Andrea Poli <[email protected]>
* [Utils, GovWayCore]
Aggiunta funzionalità #1538
Introdotte utility per la gestione dell'ora legale e solare, utilizzate nella funzionalità di riconsegna con presenza in carico dei messaggi.
2024-10-23 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1536
Quando si valida il certificato di firma utilizzato in un header WSSecurity, se questo certificato è stato emesso da una CA intermedia,
la validazione, inclusa l'esamina delle CRL, viene effettuata su tutti i certificati, compresi quelli intermedi,
anche se viene fornito un solo file CRL relativo al certificato finale.
Di conseguenza, durante la validazione di un certificato intermedio, potrebbe comparire l'errore:
'No CRLs found for issuer "cn=RootCA,ou=TEST,o=Example,c=IT"'
Questo errore si verifica perché non è stata trovata una CRL emessa per il certificato intermedio dalla CA issuer (nell'esempio, quella di root).
Per risolvere il problema, è necessario fornire un file CRL per ogni certificato, inclusi quelli intermedi.
Per evitare questa complessa configurazione e prevenire il fallimento della validazione, se viene fornito un solo file CRL,
la configurazione di default adesso assume che esso sia relativo al certificato finale e non viene utilizzato per validare i certificati intermedi.
2024-10-16 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1534
Una validazione dei contenuti dopo aver verificato una firma WSSecurity falliva se l'elemento da validare presenta degli elementi tipizzati tramite "xsi:type" e la dichiarazione dei namespace dei prefix associati erano presenti nell'elemento Envelope della busta SOAP.
L'errore che si otteneva era simile al seguente: "UndeclaredPrefix: Cannot resolve 'test:EsempioType' as a QName: the prefix 'test' is not declared."
2024-10-14 Andrea Poli <[email protected]>
* [ProtocolloSPCoop]
Aggiunta funzionalità #1531
Se il gateway fruitore riceve dalla controparte erogatrice del servizio un messaggio di errore SPCoop come risposta,
la busta viene validata e viene generato un messaggio applicativo di errore che viene ritornato all’applicativo mittente,
come descritto nel documento "Sistema pubblico di cooperazione: PORTA DI DOMINIO v1.1", voce "PD_UR-5".
Anche con la voce "Sbustamento SPCoop" disabilitata, viene comunque restituito un messaggio applicativo di errore.
È stata aggiunta la possibilità di modificare il comportamento di default per inoltrare all’applicativo mittente esattamente il messaggio di errore SPCoop ricevuto dalla controparte,
agendo a livello di configurazione nel file 'govway_local.properties'.
2024-10-11 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1530
Quando si definivano erogazioni o fruizioni con gruppi di configurazioni specifiche per operazioni,
eventuali modifiche alla configurazione CORS venivano applicate solo alle operazioni del gruppo predefinito,
mentre per le operazioni degli altri gruppi si continuava a utilizzare la configurazione di default.
Nell'intervento sono stati aggiunti test per il connettore http che verificano l'opzione avanzata 'Modalità Data Transfer' e l'utilizzo di un proxy http.
2024-10-09 Andrea Poli <[email protected]>
* [ProtocolloModIPA]
Risolto Bug #1528
Nella configurazione di un'API ModI con pattern INTEGRITY_REST,
scegliere l'header HTTP Custom-JWT-Signature comporta che la gestione dell’integrità non venga eseguita in modo integrato, ma sia demandata all’applicazione.
Dato questo comportamento, la maschera di configurazione non era del tutto intuitiva e poteva far pensare che si stesse solo modificando il nome dell'header HTTP,
mentre cambia anche la modalità di gestione dell’integrità.
È stata quindi aggiunta una nota esplicativa per chiarire meglio il funzionamento.
2024-10-09 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug #1529
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-47554:
aggiornata libreria 'commons-io:commons-io' alla versione 2.15.1
aggiornata libreria 'org.apache.velocity:velocity-engine-core' alla versione 2.4
- CVE-2024-45772: aggiornate librerie 'org.apache.lucene:*' alla versione 9.12.0
2024-09-30 Andrea Poli <[email protected]>
* Rilasciata versione 3.3.15.p1
2024-09-26 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità #1525
È stata aggiunta un'opzione che permette di disabilitare, su singola erogazione o fruizione, il controllo della validità (scadenza) del certificato X.509 utilizzato per firmare un token.
Questo consente di accettare token firmati con certificati scaduti.
È stata inoltre introdotta una configurazione che permette di eseguire la verifica della validità del certificato di firma solo se il certificato non è presente nel truststore utilizzato per la validazione
(ad esempio, quando nel truststore è presente solo la CA).
Con questa impostazione, un certificato scaduto verrà accettato se è presente nel truststore; in caso contrario, la transazione verrà rifiutata.
2024-09-25 Andrea Poli <[email protected]>
* [GovWayConsole]
La maschera di caricamento di un certificato in un applicativo o in un soggetto è stata rivista per rendere più chiaro cosa comporta disabilitare la verifica del certificato.
2024-09-25 Andrea Poli <[email protected]>
* [GovWayCore, GovWayMonito]
Risolto Bug #1524
Esaminando i dettagli del messaggio di risposta presenti in una transazione fallita per indisponibilità del backend,
viene erroneamente indicata una dimensione di una ipotetica risposta ricevuta, che non può esistere a causa del fallimento della connessione al backend.
2024-09-20 Andrea Poli <[email protected]>
* [GovWayCore]
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-45801 aggiornata libreria 'org.webjars:swagger-ui' alla versione 4.19.1
2024-09-19 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Risolto Bug #1523
Quando si navigava in liste interne a una singola erogazione o fruizione (ad esempio, gli applicativi autorizzati nel controllo degli accessi),
il passaggio alla pagina successiva veniva erroneamente mantenuto anche quando si accedeva a una lista di un'altra erogazione o fruizione.
Questo comportava una visualizzazione scorretta: nella seconda pagina potevano non esserci dati e non era più possibile tornare indietro alla pagina precedente.
2024-09-11 Andrea Poli <[email protected]>
* [CliVault]
Risolto Bug #1522
Il tool command line 'govway-vault-cli' non funzionava su database oracle.
2024-09-06 Andrea Poli <[email protected]>
* [GovWayMonitor]
Risolto Bug #1520
Nella distribuzione statistica a 3 dimensioni, personalizzata per esito, non venivano incluse le transazioni gestite con successo.
2024-09-05 Andrea Poli <[email protected]>
* [ProtocolloSDI]
Risolto Bug #1521
(https://github.com/link-it/govway/issues/171)
Su Tomcat, durante la validazione di una richiesta di notifica di decorrenza termini, nei log diagnostici si manifestava la seguente anomalia:
"Eccezione INFO con codice [GOVWAY-5] - EccezioneValidazioneProtocollo: Traccia di una precedente fattura inviata, con identificativo SDI [xxx], non rilevata: Errore durante la ricerca del datasource..."
2024-08-28 Andrea Poli <[email protected]>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-38808, CVE-2024-38809: aggiornata libreria 'org.springframework:*' alla versione 5.3.39
2024-08-09 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunte utility per trattare gli attributi 'mustUnderstand' e 'actor' attraverso gli elementi 'request' e 'response' accessibili tramite trasformazioni.
2024-08-07 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug OP-1754
(https://github.com/link-it/govway/issues/170)
Abilitando la validazione degli header in una Token Policy di Validazione e inserendo i valori attesi solo per i claim 'typ' e 'alg',
si otteneva uno dei seguenti errori inattesi:
- "JWT header validation failed; null"
- "JWT header validation failed; Expected claim 'cty' not found"
2024-08-05 Andrea Poli <[email protected]>
* Rilasciata versione 3.3.15
2024-08-02 Andrea Poli <[email protected]>
* [GovWayCore, GovWayMonitor]
Aggiunta possibilità di effettuare una verifica puntuale sull'aggiornamento dei dati statistici tramite il servizio di 'health check'.
Inoltre nella testata della console, lo stato di autodiagnosti riporta adesso anche l'informazione sullo stato di aggiornamento dei dati statistici.
2024-08-01 Andrea Poli <[email protected]>
* [GovWayCore]
Corretto comportamento del servizio di 'health check'; le verifiche non vengono effettuate se si utilizza il servizio per ottenere informazioni sulle risorse.
2024-07-30 Andrea Poli <[email protected]>
* [GovWayMonitor]
Eliminata dichiarazione '<?xml' presente negli xml relativi alle tracce e ai diagnostici esportati tramite la console.
2024-07-29 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità OP-1750
È stata aggiunta, tra i controlli effettuati dal servizio di 'health check', una verifica dell'aggiornamento frequente dei campionamenti statistici.
2024-07-25 Andrea Poli <[email protected]>
* [GovWayCore, ProtocolloModIPA]
Aggiunta funzionalità OP-1749
Le informazioni sull'organizzazione, recuperate tramite le API PDND, vengono ora propagate al backend tramite gli header di integrazione:
- GovWay-Token-PDND-OrganizationName
- GovWay-Token-PDND-OrganizationCategory
- GovWay-Token-PDND-OrganizationExternal
2024-07-25 Andrea Poli <[email protected]>
* [GovWayConsole, GovWayCore]
Aggiunta funzionalità OP-1745
Aggiunta la possibilità di abilitare o disabilitare la funzionalità di 'encoded word' per i valori degli header HTTP,
oltre alla possibilità di personalizzarne gli aspetti di codifica per singole erogazioni o fruizioni di API attraverso la definizione di proprietà specifiche.
2024-07-23 Andrea Poli <[email protected]>
* [GovWayConsole, GovWayCore]
Aggiunta funzionalità OP-1743
In presenza di regole di proxy pass, nella maschera di visualizzazione dell'URL di invocazione di una API erogata o fruita, viene ora visualizzata anche l'URL di invocazione interna.
2024-07-23 Andrea Poli <[email protected]>
* [GovWayConsole, GovWayCore]
Aggiunta funzionalità OP-1741
Nella configurazione di una token policy di negoziazione, è ora possibile indicare di utilizzare direttamente il payload di risposta HTTP come access token.
2024-07-22 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug OP-1739
Definendo una trasformazione in cui nella configurazione dell'area di applicabilità veniva impostato "Content-Type: application/json",
la trasformazione non veniva applicata se nella richiesta o nella risposta era presente un header "Content-Type" con un valore contenente altre informazioni oltre al tipo base,
ad esempio: "application/json; charset=utf-8".
2024-07-21 Andrea Poli <[email protected]>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-32007, CVE-2024-41172:
aggiornata libreria 'org.apache.cxf:*' alla versione 3.6.4
aggiornata libreria 'org.ow2.asm:asm' alla versione 9.7
aggiornata libreria 'com.fasterxml.woodstox:woodstox-core' alla versione 6.6.2
2024-07-19 Andrea Poli <[email protected]>
* [GovWayCore, ProtocolloModIPA]
Aggiunta funzionalità OP-1737
Aggiunta, nelle politiche di Rate Limiting, la possibilità di conteggiare per nome dell'organizzazione ottenuta accedendo alle API di interoperabilità della PDND.
È stata inoltre aggiunta la possibilità di modificare il comportamento di default per far fallire la transazione
nel caso in cui il recupero delle informazioni sul client o sull'organizzazione tramite API PDND fallisca.
2024-07-18 Andrea Poli <[email protected]>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1735
(https://github.com/link-it/govway/issues/161)
Aggiunta validazione dei campi contenenti codici crittografici (es. clientId, KID relativi ai token pdnd).
2024-07-17 Giuliano Pintori <[email protected]>
* [GovWayConsole]
È stata risolta una problematica nella gestione degli allegati di una erogazione o API, in cui il pulsante 'cestino' non funzionava correttamente, impedendo la rimozione di un file una volta caricato.
2024-07-17 Giuliano Pintori <[email protected]>
* [GovWayMonitor, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1722
Nella funzionalità 'Analisi Statistica' è ora possibile produrre anche una distribuzione statistica in 3 dimensioni personalizzata,
dove al posto della data è possibile selezionare l'informazione desiderata da includere nel report.
2024-07-12 Andrea Poli <[email protected]>
* [GovWayCore, InstallerVersioneBinaria, GovWayConsole, GovWayMonitor, ApiRsConfigurazione, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1701
Aggiunto supporto per gestire keystore firmati.
2024-07-10 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunto supporto per collezionare una serie di variabili Java che potranno essere riferite in qualsiasi file di proprietà di GovWay presente nella 'directory-lavoro' tramite la sintassi '${nomeVar}'.
Le variabili potranno inoltre essere accedute all’interno delle varie configurazioni di GovWay come, ad esempio, tramite la sintassi 'java:NAME' o 'envj:NAME'.
La definizione può essere attuata all'interno di due file differenti:
- govway.map.properties: le variabili definite in questo file verranno caricate all'avvio di ogni applicazione GovWay (es. runtime, console, batch ecc.)
- govway.secrets.properties: i valori delle variabili definite nel file saranno cifrati e GovWay si occuperà di decifrarli prima del loro caricamento nel sistema.
2024-07-09 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole, ApiRsConfigurazione]
Aggiunta funzionalità OP-1356
Le informazioni confidenziali presenti nella base dati possono adesso essere cifrate tramite le utility 'Bring Your Own Key (BYOK)'.
La definizione della master key e le modalità di cifratura e decifratura sono specificate all'interno di un file di configurazione presente nella 'directory-lavoro' con il nome 'byok.properties'.
La console di gestione è stata rivista per supportare i nuovi campi contenenti informazioni confidenziali.
2024-07-08 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Il corretto export dei plugin per l'autorizzazione dei contenuti non veniva eseguito correttamente, sia durante l'erogazione che durante la fruizione.
2024-07-06 Giuliano Pintori <[email protected]>
* [GovWayConsole]
(https://github.com/link-it/govway/issues/159)
Nella configurazione del connettore è adesso possibile specificare il metodo di autenticazione 'api-key'.
2024-07-05 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole]
La verifica dei certificati include adesso anche la validazione dei keystore riferiti nella configurazione della sicurezza dei messaggi.
Inoltre, è stata aggiunta la possibilità di disabilitare la 'Compliance BSP 1.1' nella validazione di un messaggio contenente WS-Security Username Token.
2024-07-05 Tommaso Burlon <[email protected]>
* [Documentazione]
Aggiornato openapi 'resources/openapi/3.0/openapi.yaml'
Aggiornati archivi zip contenenti gli scenari:
- aggiornate le immagini docker di postgresql e keycloak alle ultime versioni;
- sostituito utilizzo di traefik con nginx come server web.
2024-07-04 Andrea Poli <[email protected]>
Aggiunta la possibilità di utilizzare policy OCSP nei connettori HTTPS riferiti nelle token policy di validazione e negoziazione.
Risolto inoltre un problema che si presentava selezionando un'autenticazione HTTPS client sulla funzionalità specifica di introspection o userinfo, ma non si abilitava l'endpoint HTTPS nella sezione token.
In questo scenario, la gestione personalizzata dei keystore utilizzati per la connessione HTTPS non veniva attivata.
2024-07-03 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Aggiunta la possibilità di svuotare la cache e verificare i certificati in qualsiasi maschera di configurazione di erogazione o fruizione di API, oltre che nella scheda di dettaglio.
2024-07-02 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Corretto il problema presente nella funzionalità di export per il profilo SPCoop che si verificava quando veniva selezionato un soggetto multi-tenant tra quelli disponibili.
Il problema si presentava durante l'export di una API o di una fruizione che riferiva una API il cui soggetto era differente da quello selezionato; all'interno dell'archivio zip non veniva inserita l'API.
2024-07-01 Andrea Poli <[email protected]>
* [ProtocolloSDI]
Risolto Bug OP-1730
La disabilitazione della validazione del nome della fattura tramite la proprietà 'org.openspcoop2.protocol.sdi.validazione.nomeFile.enable'
causava il seguente errore bloccante se il nome della fattura era conforme a una fatturazione europea che iniziava con il codice 'UB' o 'II':
'Elemento [File] decodifica non riuscita: formato non conosciuto'.
2024-06-27 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Risolto Bug OP-1728
Apportate lievi migliorie prestazionali.
2024-06-14 Tommaso Burlon <[email protected]>
* [GovWayCore]
Aggiunta funzionalità OP-1726
Introdotte opzioni aggiuntive che consentono di modificare alcuni aspetti relativi alla sicurezza del messaggio attuata tramite la libreria 'wss4j':
- encoding in base64 dell'attachment prima o dopo aver applicato la sicurezza;
- gestione dell'elemento 'InclusiveNamespace' in presenza di lista di prefissi vuota e all'interno dell'elemento 'CanonicalizationMethod';
- gestione dell'elemento 'KeyInfo' presente all'interno dell'elemento 'EncryptedData';
- aggiunta o meno delle parentesi uncinate ('<' e '>') nei riferimenti agli allegati;
- aggiunta dell'header di un attachment all'interno del messaggio cifrato;
- aggiunto il supporto per lo scambio di chiavi simmetriche di cifratura usando un'altra chiave simmetrica condivisa, tramite la gestione di keystore di tipo 'jceks'."
2024-06-12 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole]
Aggiunta funzionalità OP-1725
Introdotto il supporto per il soggetto intermediario nel profilo di interoperabilità 'ModI',
che consente di autorizzare una richiesta proveniente da un soggetto identificato sul canale e da un applicativo appartenente a un soggetto differente, identificato tramite token di sicurezza.
Nell'occasione è stato affinato il processo di autenticazione:
- Il processo di identificazione degli applicativi veniva inutilmente effettuato sull'autenticazione HTTPS attivata nelle erogazioni con profilo di interoperabilità 'ModI',
poiché con tale profilo gli applicativi possono essere censiti solamente con credenziale di tipo 'token' o con certificato di firma; tale controllo è stato disattivato.
- I controlli di esistenza di un applicativo già registrato con lo stesso certificato sono stati migliorati al fine di escludere gli applicativi con profilo di interoperabilità 'ModI' di dominio esterno,
poiché tali certificati non si riferiscono a credenziali TLS ma vengono utilizzati per firmare token di sicurezza.
2024-06-04 Andrea Poli <[email protected]>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-34447, CVE-2024-30172, CVE-2024-30171, CVE-2024-29857:
aggiornata libreria 'org.bouncycastle:bcprov-ext-jdk18on' alla versione 1.78.1 (migrazione verso bcprov-jdk18on)
aggiornata libreria 'org.bouncycastle:bcpkix-jdk18on' alla versione 1.78.1
aggiornata libreria 'org.bouncycastle:bcutil-jdk18on' alla versione 1.78.1
- CVE-2024-31573: aggiornata libreria 'org.xmlunit:*' alla versione 2.10.0
2024-04-26 Andrea Poli <[email protected]>
* [GovWayCore]
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-22262: aggiornata libreria 'org.springframework:*' alla versione 5.3.34
2024-04-02 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug OP-1719
(https://github.com/link-it/govway/issues/160)
Utilizzando una architettura con database distinti per configurazione e runtime si otteneva un errore non bloccante riportato nei log del database, ad esempio su postgresql:
"ERROR: relation "db_info_console" does not exist at character 15
STATEMENT: select * from db_info_console order by id DESC"
2024-03-27 Andrea Poli <[email protected]>
* [InstallerVersioneBinaria]
Risolto Bug OP-1717
I file relativi ai profili di interoperabilità (es. modipa_local.properties) presenti nella configurazione esterna (es. /etc/govway)
non venivano configurati correttamente dall'installer se erano presenti archivi patch al suo interno.
Gli archivi patch relativi ai profili di interoperabilità (es. openspcoop2_modipa-protocol-<version>.jar) non venivanon configurati nel file di proprietà interno (es. modipa.properties)
per contenere la proprietà relativa alla directory di configurazione esterna indicata nell'installer (es. 'org.openspcoop2.protocol.modipa.confDirectory=/etc/govway').
2024-03-26 Andrea Poli <[email protected]>
* [GovWayCore, Utils]
Aggiunta funzionalità OP-1701
Introdotta funzionalità 'Bring Your Own Key (BYOK)' nelle utility.
Aggiunta possibilità di utilizzare funzionalità di 'unwrap' della chiave per la cifratura dei dati registrati tramite 'FileTrace'
2024-03-21 Andrea Poli <[email protected]>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-22257: aggiornata libreria 'org.springframework.security:*' alla versione 5.8.11
- CVE-2024-28752: aggiornata libreria 'org.apache.cxf:*' alla versione 3.6.3
aggiornata libreria 'org.ow2.asm:asm' alla versione 9.6
aggiornata libreria 'org.codehaus.woodstox:stax2-api' alla versione 4.2.2
aggiornata libreria 'com.fasterxml.woodstox:woodstox-core' alla versione 6.6.0
aggiornata libreria 'org.apache.ws.xmlschema:xmlschema-core' alla versione 2.3.1
aggiornata libreria 'org.springframework:*' alla versione 5.3.3
2024-03-21 Andrea Poli <[email protected]>
* [GovWayCore]
Nella funzionalità di consegna asincrona in alcuni casi limite, con connettori con consegna in errore, non veniva correttamente aggiornato lo stato della transazione.
2024-03-20 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole]
Aggiunta funzionalità OP-1715
È adesso possibile definire una token policy di validazione tramite una "well-know-url" come descritto nella specifica 'https://swagger.io/docs/specification/authentication/openid-connect-discovery'.
Inoltre è stata aggiunta la possibilità di definire il keystore contenente le chiavi necessarie ad effettuare una 'validazione jwt' del token anche indicando un endpoint.
2024-03-15 Andrea Poli <[email protected]>
* [GovWayConsole]
Risolto Bug
La modifica del nome di un soggetto non veniva riflessa correttamente sul nome dell'erogazione.
Nella denominazione del componente 'porta_applicativa', veniva erroneamente aggiunto un carattere '/' finale,
causando l'impossibilità di riconoscere l'erogazione al momento della sua invocazione e generando un errore '404 NotFound' restituito al chiamante.
2024-03-15 Andrea Poli <[email protected]>
* [GovWayCore]
Modificato il comportamento predefinito in modo che il tracciamento delle richieste che violano una politica di RateLimiting sia disabilitato.
2024-03-15 Andrea Poli <[email protected]>
* [BatchStatistiche]
Risolto Bug
Le transazioni da inserire in un intervallo temporale potrebbero non essere ancora tutte presenti nella base dati nel caso in cui il generatore di statistiche
si avvii nell'intervallo prossimo successivo (es. calcolo intervallo orario 16-17 e generatore che si avvia alle 17:00:06).
Transazioni che non rientrano nel calcolo dell'intervallo potrebbe essere relative ad eventi di 'readTimeout' (scritte sulla base dati dopo 120 secondi e oltre) o
di lettura dello storico delle transazioni su una base dati in replica (ritardo dovuto alla sincronizzazione).
Per risolvere l'anomalia è stato introdotto un parametro di tradeoff per individuare anche le transazioni che vengono registrate sulla base dati in un tempo successivo alla data di avvio del batch.
Il generatore continuerà ad aggiornare i dati aggregati fino a quando la data di esecuzione del generatore non supera l'intervallo temporale corrente aumentato del tradeoff.
Per default viene utilizzato un tradeoff di 5 minuti. In questo scenario ad esempio il generatore continuerà ad aggiornare i dati dell'intervallo 16-17 fino a quando non verrò avviato dopo le 17:05,
consentendo così alle transazioni scritte dopo le 17:00 ma facenti parte dell'intervallo 16-17 di essere incluse nel dato aggregato statistico.
2024-03-15 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole, GovWayMonitor, ApiRsConfigurazione]
Aggiunta funzionalità OP-1692
Migliorata funzionalità di tracciamento introducendo la possibilità di attivare il tracciamento su database e/o su file (FileTrace) in 4 momenti differenti della gestione di una richiesta:
- Richiesta ricevuta
- Richiesta in consegna
- Risposta in consegna
- Risposta consegnata
Ogni fase è attivabile sia a livello di configurazione generale che sulla singola erogazione o fruizione.
Inoltre ogni fase è configurabile per far terminare la richiesta con errore in caso tracciamento fallito o proseguire segnalando l'anomalia solamente nei log.
Nel caso richiesta terminata con errore di tracciamento è stato aggiunto un nuovo esito 'Tracciamento Fallito'.
Infine sono stati attuate le seguenti migliorie agli aspetti di configurazione del tracciamento su file (FileTrace):
- possibilità di attivare il tracciamento rispetto all'esito di una transazione;
- maschera di configurazione sulla singola erogazione o fruizione che consente di indicare il file di configurazione e l'attivazione o meno del buffer dei messaggi.
Nel menù principale la configurazione a livello globale del tracciamento e della registrazione messaggi è stata suddivisa in due voci distinte.
2024-03-01 Andrea Poli <[email protected]>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2024-21742: aggiornata libreria 'org.apache.james:apache-mime4j-*' alla versione 0.8.10
2024-02-23 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole]
Risolto Bug OP-1713
In caso di Violazione Policy di RateLimiting con raggruppamento per Token Claim l'evento emesso non conteneva l'informazione puntuale sul valore del claim.
Nell'intervento è stata corretta anche una anomalia presente durante il salvataggio di una policy con criterio di raggruppamento per Token Claim 'subject';
l'impostazione del criterio di raggruppamento per token subject non consentiva di entrare nuovamente in modifica della policy e nei log si poteva riscontrare un errore simile al seguente:
"Enum with value [TOKEN_ISSUER] not found"
2024-02-23 Andrea Poli <[email protected]>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2024-22243: aggiornata libreria 'org.springframework:*' alla versione 5.3.32
2024-02-23 Andrea Poli <[email protected]>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2024-25710: aggiornata libreria 'org.apache.commons:commons-compress' alla versione 1.26.0
2024-02-14 Andrea Poli <[email protected]>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-52428: aggiornata libreria 'com.nimbusds:nimbus-jose-jwt' alla versione 9.37.3
2024-02-13 Giuliano Pintori <[email protected]>
* [GovWayMonitor]
Aggiunta funzionalità OP-1710
Il report 'heatmap' fornito con la distribuzione statistica in 3 dimensioni presente nella funzionalità di "Analisi Statistica" è stato migliorato per:
- contenere una legenda che descriva la corrispondenza tra tonalità del colore e misura rappresentata;
- possibilità di visualizzare in ogni quadratino la misura.
2024-02-10 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug OP-1708
In una configurazione che prevede un access token PDND (ID_AUTH_REST_01),
il jti presente all'interno del token non veniva utilizzato come identificativo messaggio della richiesta alla quale veniva invece asssociato un identificativo generato da GovWay.
L'anomalia comportava:
- un doppio tracciamento sia del jti e che dell'identificativo generato da GovWay;
- una valorizzazione dell'header di integrazione 'GovWay-Message-ID' con l'identificativo generato da GovWay invece del jti.
2024-02-06 Andrea Poli <[email protected]>
* Rilasciata versione 3.3.14
2024-02-02 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug OP-1706
Risolta anomalia che si verificava in alcuni casi limite durante il tracciamento delle fruizioni di API con negoziazione token.
L'errore segnalato nei log era:
"PostOutResponseHandler [transazioni]Errore durante la scrittura della transazione sul database (Lettura dati Transazione): Caused by: java.util.ConcurrentModificationException
at java.util.HashMap$HashIterator.nextNode(HashMap.java)
...
at org.openspcoop2.pdd.core.token.TokenUtilities.replaceTokenInMap(TokenUtilities.java)
2024-02-01 Giuliano Pintori <[email protected]>
* [GovWayMonitor, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1691
Nella funzionalità "Analisi Statistica" è adesso possibile produrre anche una distribuzione statistica in 3 dimensioni: criterio di distribuzione, data e valore.
2024-01-26 Andrea Poli <[email protected]>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1702
Durante la registrazione di un applicativo con profilo di interoperabilità 'ModI',
se nella sezione 'ModI - Sicurezza Messaggio - KeyStore' veniva effettuato con modalità 'Archivio' l'upload di un keystore pkcs12,
creato importando un altro archivio pkcs12 al suo interno, si ottevena l'errore: "keystore password was incorrect".
Si trattava dello stesso bug risolto nell'issue 'https://github.com/link-it/govway/issues/128'
la cui risoluzione non era però stata riportata nella maschera di gestione della sicurezza ModI di un applicativo.
2024-01-23 Andrea Poli <[email protected]>
* [GovWayCore, ProtocolloModIPA]
Risolto Bug OP-1694
La validazione dei token 'ModI' non supportava token contenenti claim 'aud' definiti come stringhe di array.
È stato aggiunto il supporto in modo da rispettare entrambe le modalità (array of case-sensitive strings or single case-sensitive string)
indicate nel RFC 'https://datatracker.ietf.org/doc/html/rfc7519.html#section-4.1.3'.
Nell'intervento è stato rivista anche la verifica dei certificati di una fruizione o erogazione,
in modo che i keystore/truststore utilizzati per i token di una risposta vengono validati solamente se l'API prevede un token di sicurezza nella risposta.
2024-01-22 Andrea Poli <[email protected]>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-51074: aggiornata libreria 'com.jayway.jsonpath:json-path' alla versione 2.9.0
2024-01-19 Andrea Poli <[email protected]>
* [InstallerVersioneBinaria]
Aggiunti script di svecchiamento delle tracce per tipo di database sqlserver.
2024-01-19 Andrea Poli <[email protected]>
* [InstallerVersioneBinaria, ProtocolloAS4]
Risolto Bug OP-1697
Gli artefatti prodotti dall'installer in caso di scelta del profilo di interoperabiltà 'eDelivery' presentavano i seguenti errori:
- nell'archivio govway.ear manca il jar 'openspcoop2_as4-protocol_ecodexBackendStub_cxf.jar'
- il datasource per wildfly 'domibus-ds.xml' non contiene il nome jndi 'org.govway.datasource.domibus' atteso
Inoltre è stato aggiornato il riferimento al progetto eDelivery Domibus: https://ec.europa.eu/digital-building-blocks/sites/display/DIGITAL/Domibus
2024-01-18 Andrea Poli <[email protected]>
* [GovWayCore, GovWayMonitor, ApiRsMonitoraggio, ProtocolloModIPA]
Aggiunta funzionalità OP-1689
Migliorato tracciamento per le richieste contenenti credenziali non valide, token scaduti o non autorizzati. Vengono adesso registrate:
- le informazioni sui claim principali presenti nel token (clientId, subject/issuer, username, eMail);
- le informazioni recuperate tramite le API PDND (es. nome e categoria dell'organizzazione);
- l'identificativo autenticato a livello trasporto (principal).
È stata inoltre rivisto il concetto di richiedente di una richiesta di servizio al fine di considerare anche il nome dell'organizzazione recuperata tramite le API PDND,
in modo da visualizzarla al posto del clientId durante la consultazione dello storico delle transazioni.
Sono stati introdotti i seguenti miglioramenti alla console di monitoraggio (govwayMonitor) alle API (govwayAPIMonitor):
- nello storico delle transazioni è adesso possibile effettuare una ricerca per nome dell'organizzazione individuata tramite le API PDND;
- i dati dei report statistici possono essere filtrati per nome dell'organizzazione individuata tramite le API PDND;
- è possibile adesso ottenere una distribuzione per clientId contenente anche le informazioni recuperate tramite le API PDND.
Le informazioni raccolte tramite le API PDND sono inoltre state aggiunte alla base dati di tracciamento in modo da consentirne l'estrazione tramite viste personalizzate.
Sono stati introdotti i seguenti miglioramenti nella funzionalità 'fileTrace' che consentono di accedere:
- alle informazioni del token ModI di audit 'Agid-JWT-TrackingEvidence';
- alle informazioni recuperate tramite le API PDND.
2023-12-19 Andrea Poli <[email protected]>
* [ApiRsConfigurazione]
Aggiunta funzionalità OP-1685
Aggiunto scenario di fruizione ModI in cui è possibile utilizzare il materiale crittografico definito nella token policy per firmare i token di AUDIT e di INTEGRITY.
2023-12-19 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole]
Risolto Bug OP-1687
Le richieste contenenti metodi http 'PATCH', 'LINK' e 'UNLINK' venivano inoltrate al backend erroneamente come metodo POST se la connessione era https.
Nell'intervento è stato risolto anche un problema sulla console di gestione che avveniva su una erogazione configurata per gestire gruppi di risorse differenti,
in cui in ogni gruppo veniva ridefinito il connettore e attivata la consegna condizionale.
La problematica era riscontrabile se venivano visualizzati i connettori di un gruppo e successivamente si passava a visualizzare i connettori dell'altro gruppo: i dati riportati sui connettori erano errati.
2023-12-18 Andrea Poli <[email protected]>
* [GovWayCore, GovWayConsole, ProtocolloModIPA]
Aggiunta funzionalità OP-1685
Aggiunto scenario di fruizione ModI in cui è possibile utilizzare il materiale crittografico definito nella token policy per firmare i token di AUDIT e di INTEGRITY.
2023-12-12 Andrea Poli <[email protected]>
* [GovWayCore]
Risolto Bug OP-1683
Una correlazione applicativa configurata con una modalità d'identificazione basata su header HTTP e un comportamento di identificazione fallita uguale al valore 'accetta',
provocava la terminazione con errore della transazione se la richiesta non presentava l'header HTTP indicato nonostante fosse stato indicato di proseguire con successo in caso di identificazione fallita.
L'errore riportato era il seguente: "Identificativo di correlazione applicativa non identificato; nessun elemento tra quelli di correlazione definiti è presente nel body".
L'anomalia si presentava anche su altre modalità di identificazione nel caso in cui l'identificativo estratto risultasse null o una stringa vuota.
È stato modificato il comportamento di default del gateway in modo da considerare entrambi i casi come una estrazione di correlazione applicativa fallita per la specifica modalità,
per la quale si può poi decidere se proseguire comunque o terminare con errore.
Il precedente comportamento di accettare identificativi null o stringhe vuote è ripristinabile agendo sulle proprietà della singola fruizione o erogazione di API.
2023-12-11 Andrea Poli <[email protected]>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1681
La registrazione di una erogazione di API con pattern di sicurezza canale 'ID_AUTH_CHANNEL_02' creava un controllo accessi non corretto poichè l'autenticazione canale veniva configurata come opzionale.
2023-12-11 Andrea Poli <[email protected]>
* [ApiRsMonitoraggio]
Risolto Bug OP-1679
Api di monitoraggio non ritornano la descrizione di un evento
2023-12-06 Giuliano Pintori <[email protected]>
* [GovWayMonitor, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1675
Nella funzionalità "Configurazione API" delle statitstiche è adesso possibile esportare il report oltre che nel formato 'csv' anche nel formato 'xls'.
2023-12-05 Andrea Poli <[email protected]>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1677
La verifica dei certificati su una fruizione di una API configurata con pattern di sicurezza messaggio 'ID_AUTH_REST_01' e 'Generazione Token' via PDND non veniva effettuata.
La console indicava che tutti i certificati erano validi anche quando non lo erano.
Inoltre la configurazione fornita dalla funzionalità 'Visualizza dettagli della configurazione', presente nelle opzioni di una fruizione,
non visualizzava le informazioni corrette su eventuali keystore definite nella fruizione stessa.
Infine nel caso si configurava una API senza pattern di sicurezza messaggio con relativa fruizione e successivamente si modificava l'API impostando 'ID_AUTH_REST_01' e 'Generazione Token' via PDND,
entrando nella maschera di configurazione del connettore della fruizione si otteneva una informazione errata sulla token policy che sembrava assegnata anche se in realtà non lo era.
2023-12-04 Andrea Poli <[email protected]>
* [InstallerVersioneBinaria]
Aggiunta funzionalità OP-1673
Eliminata la generazione dell'archivio 'govwaySec' prodotto per default sugli archivi generati per l'application server WildFly.
L'archivio è nuovamente generabile abilitando l'opzione specifica utilizzando l'installer in modalità avanzata.
2023-12-01 Andrea Poli <[email protected]>
* [GovWayConsole, ApiRsConfigurazione]
Aggiunta funzionalità OP-1671
Su ogni oggetto del registro è adesso possibile indicare una descrizione contenente fino a 4000 caratteri.
Inoltre sono adesso consultabili le informazioni su chi e quando ha creato o modificato un oggetto tramite la nuova voce 'Proprietà'
utilizzabile tramite il menù "tre puntini" presente sia nell'elenco che nel dettaglio di un oggetto.
Infine sono state riviste le schede di visualizzazione dei dettagli di una API, di una erogazione o fruizione e di un gruppo di configurazioni per i seguenti aspetti:
- la descrizione viene visualizzata solo se definita ed è possibile aggiungerla tramite un'azione dedicata presente tra le informazioni sul nome dell'oggetto;
- vengono visualizzate le informazioni riguardanta la data di creazione, la data di ultima modifica e gli utenti che hanno effettuato tali operazioni.
2023-11-10 Giuliano Pintori <[email protected]>
* [GovWayConsole]
Aggiunta funzionalità OP-1661
È adesso possibile verificare o eliminare i dati presenti nella cache locale contenente le chiavi pubbliche (JWK) e le informazioni sui client raccolte tramite le API PDND.
2023-11-09 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità OP-1669
Differenziata cache che conserva i dati recuperati dalle Attribute Authority rispetto alla cache che conserva i token.
2023-11-08 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità OP-1667
Viene adesso consentito l'utilizzo di valori dinamici anche sul flusso di risposta per quanto concerne la funzionalità di sicurezza messaggio.
Inoltre per la funzionalità 'WS-Security Username Token' è adesso possibile definire una mappa di credenziali attese.
2023-11-07 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità OP-1665
In una token policy di validazione, per un token JWS è adesso possibile aggiungere criteri di validazione dei 'typ', 'cty' e 'alg' presenti nell'header.
2023-11-07 Andrea Poli <[email protected]>
* [GovWayCore]
Aggiunta funzionalità OP-1663
Una richiesta non applicabile a nessuna regola di correlazione applicativa, fino alla versione 3.3.13.p1, terminava con l’errore:
"Identificativo di correlazione applicativa non identificato; nessun elemento tra quelli di correlazione definiti è presente nel body".
È stato modificato il default in modo da accettare la richiesta.
Il precedente comportamento è ripristinabile agendo sulle proprietà della singola fruizione o erogazione di API.
2023-11-03 Andrea Poli <[email protected]>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-45860: aggiornata libreria 'com.hazelcast:hazelcast' alla versione 5.3.5
2023-11-03 Andrea Poli <[email protected]>
* [Utils, GenericProject]
Aggiunta funzionalità OP-1659
Le utility della classe 'org.openspcoop2.utils.sql' e le espressioni 'org.openspcoop2.generic_project.expression'
consentono adesso di effettuare la selezione di campi e la definizione di condizioni di where relative a parti di una data:
YEAR, MONTH, DAY, HOUR, MINUTE, SECOND, DayOfWeek, DayOfYear, FullDayName e ShortDayName.
2023-11-02 Andrea Poli <[email protected]>
* [GovWayConsole, Utils]
Risolto Bug OP-1657
La creazione di una API tramite un OpenAPI contenente la definizione di un parametro di tipo 'header' falliva.
Dai log si poteva riscontrare il seguente errore: "Trovato parametro header 'Authorization' senza tipo".
2023-10-26 Andrea Poli <[email protected]>