-
Notifications
You must be signed in to change notification settings - Fork 11
/
ChangeLog
9950 lines (7769 loc) · 547 KB
/
ChangeLog
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
685
686
687
688
689
690
691
692
693
694
695
696
697
698
699
700
701
702
703
704
705
706
707
708
709
710
711
712
713
714
715
716
717
718
719
720
721
722
723
724
725
726
727
728
729
730
731
732
733
734
735
736
737
738
739
740
741
742
743
744
745
746
747
748
749
750
751
752
753
754
755
756
757
758
759
760
761
762
763
764
765
766
767
768
769
770
771
772
773
774
775
776
777
778
779
780
781
782
783
784
785
786
787
788
789
790
791
792
793
794
795
796
797
798
799
800
801
802
803
804
805
806
807
808
809
810
811
812
813
814
815
816
817
818
819
820
821
822
823
824
825
826
827
828
829
830
831
832
833
834
835
836
837
838
839
840
841
842
843
844
845
846
847
848
849
850
851
852
853
854
855
856
857
858
859
860
861
862
863
864
865
866
867
868
869
870
871
872
873
874
875
876
877
878
879
880
881
882
883
884
885
886
887
888
889
890
891
892
893
894
895
896
897
898
899
900
901
902
903
904
905
906
907
908
909
910
911
912
913
914
915
916
917
918
919
920
921
922
923
924
925
926
927
928
929
930
931
932
933
934
935
936
937
938
939
940
941
942
943
944
945
946
947
948
949
950
951
952
953
954
955
956
957
958
959
960
961
962
963
964
965
966
967
968
969
970
971
972
973
974
975
976
977
978
979
980
981
982
983
984
985
986
987
988
989
990
991
992
993
994
995
996
997
998
999
1000
2024-12-21 Tommaso Burlon <tommaso.burlon@link.it>
* [GovWayCore, GovWayConsole]
Aggiunta funzionalità #1543
Aggiunto un connettore nella configurazione avanzata per simulare una risorsa che verifica lo stato di un servizio, nel caso in cui non sia nativamente disponibile nel backend dell'API.
2024-11-15 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1551
In presenza di messaggi SOAPWithAttachments, tramite una trasformazione è adesso possibile forzare la generazione del parametro 'start' nel Content-Type.
2024-11-15 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1550
Nel caso in cui il frontend web includa in un header HTTP il certificato X.509 del client autenticato (ad esempio, SSL_CLIENT_CERT),
è stata introdotta la possibilità di interpretare un header valorizzato con una stringa vuota come indicazione che il fruitore non ha presentato alcun certificato client.
Questa funzionalità è attiva di default, ma può essere disabilitata modificando la configurazione nel file govway_local.properties.
2024-11-13 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1549
Utilizzando il database 'SQLServer', si verificava un errore inatteso accedendo alla sezione 'Handler' nelle opzioni avanzate di un'erogazione/fruizione e
cliccando su una qualsiasi delle liste relative alla richiesta o alla risposta.
2024-11-13 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1548
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-47535 aggiornata libreria 'io.netty:*' alla versione 4.1.115
2024-11-09 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1532
Corrette segnalazioni vulnerabilità rilevate da SpotBugs 4.8.6
2024-11-08 Giuliano Pintori <pintori@link.it>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1533
Corrette segnalazioni vulnerabilità rilevate da SonarQube 10.7 su alcune pagine xhtml e jsp.
Corretta anomalia presente nella console di monitoraggio che causava la registrazione di comandi SQL nel file di log govway_monitor_core.log invece che nel file corretto govway_monitor_sql.log.
2024-11-06 Tommaso Burlon <tommaso.burlon@link.it>
* [Utils, GovWayCore]
Introdotte utility per la lettura dei dati da server LDAP e
ampliata la funzionalità di recupero delle liste di revoca dei certificati (CRL) per la validazione dei certificati presenti nell'estensione 'CRLDistributionPoints',
ora supportando anche il protocollo LDAP.
2024-10-31 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.3.15.p2
2024-10-30 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1542
La pagina iniziale che consente di effettuare il login nella console (es. http://127.0.0.1:8080/govwayConsole/) restituiva un codice di risposta HTTP 500 invece di 200.
2024-10-29 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1539
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-38821: aggiornate librerie 'org.springframework.security:*' alla versione 5.8.15
- CVE-2024-38820: aggiornate librerie 'org.springframework:*' alla versione 5.3.39-gov4j-1
2024-10-25 Andrea Poli <apoli@link.it>
* [Utils, GovWayCore]
Aggiunta funzionalità #1538
Introdotte utility per la gestione dell'ora legale e solare, utilizzate nella funzionalità di riconsegna con presenza in carico dei messaggi.
2024-10-23 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1536
Quando si valida il certificato di firma utilizzato in un header WSSecurity, se questo certificato è stato emesso da una CA intermedia,
la validazione, inclusa l'esamina delle CRL, viene effettuata su tutti i certificati, compresi quelli intermedi,
anche se viene fornito un solo file CRL relativo al certificato finale.
Di conseguenza, durante la validazione di un certificato intermedio, potrebbe comparire l'errore:
'No CRLs found for issuer "cn=RootCA,ou=TEST,o=Example,c=IT"'
Questo errore si verifica perché non è stata trovata una CRL emessa per il certificato intermedio dalla CA issuer (nell'esempio, quella di root).
Per risolvere il problema, è necessario fornire un file CRL per ogni certificato, inclusi quelli intermedi.
Per evitare questa complessa configurazione e prevenire il fallimento della validazione, se viene fornito un solo file CRL,
la configurazione di default adesso assume che esso sia relativo al certificato finale e non viene utilizzato per validare i certificati intermedi.
2024-10-16 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1534
Una validazione dei contenuti dopo aver verificato una firma WSSecurity falliva se l'elemento da validare presenta degli elementi tipizzati tramite "xsi:type" e la dichiarazione dei namespace dei prefix associati erano presenti nell'elemento Envelope della busta SOAP.
L'errore che si otteneva era simile al seguente: "UndeclaredPrefix: Cannot resolve 'test:EsempioType' as a QName: the prefix 'test' is not declared."
2024-10-14 Andrea Poli <apoli@link.it>
* [ProtocolloSPCoop]
Aggiunta funzionalità #1531
Se il gateway fruitore riceve dalla controparte erogatrice del servizio un messaggio di errore SPCoop come risposta,
la busta viene validata e viene generato un messaggio applicativo di errore che viene ritornato all’applicativo mittente,
come descritto nel documento "Sistema pubblico di cooperazione: PORTA DI DOMINIO v1.1", voce "PD_UR-5".
Anche con la voce "Sbustamento SPCoop" disabilitata, viene comunque restituito un messaggio applicativo di errore.
È stata aggiunta la possibilità di modificare il comportamento di default per inoltrare all’applicativo mittente esattamente il messaggio di errore SPCoop ricevuto dalla controparte,
agendo a livello di configurazione nel file 'govway_local.properties'.
2024-10-11 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1530
Quando si definivano erogazioni o fruizioni con gruppi di configurazioni specifiche per operazioni,
eventuali modifiche alla configurazione CORS venivano applicate solo alle operazioni del gruppo predefinito,
mentre per le operazioni degli altri gruppi si continuava a utilizzare la configurazione di default.
Nell'intervento sono stati aggiunti test per il connettore http che verificano l'opzione avanzata 'Modalità Data Transfer' e l'utilizzo di un proxy http.
2024-10-09 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug #1528
Nella configurazione di un'API ModI con pattern INTEGRITY_REST,
scegliere l'header HTTP Custom-JWT-Signature comporta che la gestione dell’integrità non venga eseguita in modo integrato, ma sia demandata all’applicazione.
Dato questo comportamento, la maschera di configurazione non era del tutto intuitiva e poteva far pensare che si stesse solo modificando il nome dell'header HTTP,
mentre cambia anche la modalità di gestione dell’integrità.
È stata quindi aggiunta una nota esplicativa per chiarire meglio il funzionamento.
2024-10-09 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1529
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-47554:
aggiornata libreria 'commons-io:commons-io' alla versione 2.15.1
aggiornata libreria 'org.apache.velocity:velocity-engine-core' alla versione 2.4
- CVE-2024-45772: aggiornate librerie 'org.apache.lucene:*' alla versione 9.12.0
2024-09-30 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.3.15.p1
2024-09-26 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1525
È stata aggiunta un'opzione che permette di disabilitare, su singola erogazione o fruizione, il controllo della validità (scadenza) del certificato X.509 utilizzato per firmare un token.
Questo consente di accettare token firmati con certificati scaduti.
È stata inoltre introdotta una configurazione che permette di eseguire la verifica della validità del certificato di firma solo se il certificato non è presente nel truststore utilizzato per la validazione
(ad esempio, quando nel truststore è presente solo la CA).
Con questa impostazione, un certificato scaduto verrà accettato se è presente nel truststore; in caso contrario, la transazione verrà rifiutata.
2024-09-25 Andrea Poli <apoli@link.it>
* [GovWayConsole]
La maschera di caricamento di un certificato in un applicativo o in un soggetto è stata rivista per rendere più chiaro cosa comporta disabilitare la verifica del certificato.
2024-09-25 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayMonito]
Risolto Bug #1524
Esaminando i dettagli del messaggio di risposta presenti in una transazione fallita per indisponibilità del backend,
viene erroneamente indicata una dimensione di una ipotetica risposta ricevuta, che non può esistere a causa del fallimento della connessione al backend.
2024-09-20 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-45801 aggiornata libreria 'org.webjars:swagger-ui' alla versione 4.19.1
2024-09-19 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1523
Quando si navigava in liste interne a una singola erogazione o fruizione (ad esempio, gli applicativi autorizzati nel controllo degli accessi),
il passaggio alla pagina successiva veniva erroneamente mantenuto anche quando si accedeva a una lista di un'altra erogazione o fruizione.
Questo comportava una visualizzazione scorretta: nella seconda pagina potevano non esserci dati e non era più possibile tornare indietro alla pagina precedente.
2024-09-11 Andrea Poli <apoli@link.it>
* [CliVault]
Risolto Bug #1522
Il tool command line 'govway-vault-cli' non funzionava su database oracle.
2024-09-06 Andrea Poli <apoli@link.it>
* [GovWayMonitor]
Risolto Bug #1520
Nella distribuzione statistica a 3 dimensioni, personalizzata per esito, non venivano incluse le transazioni gestite con successo.
2024-09-05 Andrea Poli <apoli@link.it>
* [ProtocolloSDI]
Risolto Bug #1521
(https://github.com/link-it/govway/issues/171)
Su Tomcat, durante la validazione di una richiesta di notifica di decorrenza termini, nei log diagnostici si manifestava la seguente anomalia:
"Eccezione INFO con codice [GOVWAY-5] - EccezioneValidazioneProtocollo: Traccia di una precedente fattura inviata, con identificativo SDI [xxx], non rilevata: Errore durante la ricerca del datasource..."
2024-08-28 Andrea Poli <apoli@link.it>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-38808, CVE-2024-38809: aggiornata libreria 'org.springframework:*' alla versione 5.3.39
2024-08-09 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunte utility per trattare gli attributi 'mustUnderstand' e 'actor' attraverso gli elementi 'request' e 'response' accessibili tramite trasformazioni.
2024-08-07 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1754
(https://github.com/link-it/govway/issues/170)
Abilitando la validazione degli header in una Token Policy di Validazione e inserendo i valori attesi solo per i claim 'typ' e 'alg',
si otteneva uno dei seguenti errori inattesi:
- "JWT header validation failed; null"
- "JWT header validation failed; Expected claim 'cty' not found"
2024-08-05 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.3.15
2024-08-02 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayMonitor]
Aggiunta possibilità di effettuare una verifica puntuale sull'aggiornamento dei dati statistici tramite il servizio di 'health check'.
Inoltre nella testata della console, lo stato di autodiagnosti riporta adesso anche l'informazione sullo stato di aggiornamento dei dati statistici.
2024-08-01 Andrea Poli <apoli@link.it>
* [GovWayCore]
Corretto comportamento del servizio di 'health check'; le verifiche non vengono effettuate se si utilizza il servizio per ottenere informazioni sulle risorse.
2024-07-30 Andrea Poli <apoli@link.it>
* [GovWayMonitor]
Eliminata dichiarazione '<?xml' presente negli xml relativi alle tracce e ai diagnostici esportati tramite la console.
2024-07-29 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità OP-1750
È stata aggiunta, tra i controlli effettuati dal servizio di 'health check', una verifica dell'aggiornamento frequente dei campionamenti statistici.
2024-07-25 Andrea Poli <apoli@link.it>
* [GovWayCore, ProtocolloModIPA]
Aggiunta funzionalità OP-1749
Le informazioni sull'organizzazione, recuperate tramite le API PDND, vengono ora propagate al backend tramite gli header di integrazione:
- GovWay-Token-PDND-OrganizationName
- GovWay-Token-PDND-OrganizationCategory
- GovWay-Token-PDND-OrganizationExternal
2024-07-25 Andrea Poli <apoli@link.it>
* [GovWayConsole, GovWayCore]
Aggiunta funzionalità OP-1745
Aggiunta la possibilità di abilitare o disabilitare la funzionalità di 'encoded word' per i valori degli header HTTP,
oltre alla possibilità di personalizzarne gli aspetti di codifica per singole erogazioni o fruizioni di API attraverso la definizione di proprietà specifiche.
2024-07-23 Andrea Poli <apoli@link.it>
* [GovWayConsole, GovWayCore]
Aggiunta funzionalità OP-1743
In presenza di regole di proxy pass, nella maschera di visualizzazione dell'URL di invocazione di una API erogata o fruita, viene ora visualizzata anche l'URL di invocazione interna.
2024-07-23 Andrea Poli <apoli@link.it>
* [GovWayConsole, GovWayCore]
Aggiunta funzionalità OP-1741
Nella configurazione di una token policy di negoziazione, è ora possibile indicare di utilizzare direttamente il payload di risposta HTTP come access token.
2024-07-22 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1739
Definendo una trasformazione in cui nella configurazione dell'area di applicabilità veniva impostato "Content-Type: application/json",
la trasformazione non veniva applicata se nella richiesta o nella risposta era presente un header "Content-Type" con un valore contenente altre informazioni oltre al tipo base,
ad esempio: "application/json; charset=utf-8".
2024-07-21 Andrea Poli <apoli@link.it>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-32007, CVE-2024-41172:
aggiornata libreria 'org.apache.cxf:*' alla versione 3.6.4
aggiornata libreria 'org.ow2.asm:asm' alla versione 9.7
aggiornata libreria 'com.fasterxml.woodstox:woodstox-core' alla versione 6.6.2
2024-07-19 Andrea Poli <apoli@link.it>
* [GovWayCore, ProtocolloModIPA]
Aggiunta funzionalità OP-1737
Aggiunta, nelle politiche di Rate Limiting, la possibilità di conteggiare per nome dell'organizzazione ottenuta accedendo alle API di interoperabilità della PDND.
È stata inoltre aggiunta la possibilità di modificare il comportamento di default per far fallire la transazione
nel caso in cui il recupero delle informazioni sul client o sull'organizzazione tramite API PDND fallisca.
2024-07-18 Andrea Poli <apoli@link.it>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1735
(https://github.com/link-it/govway/issues/161)
Aggiunta validazione dei campi contenenti codici crittografici (es. clientId, KID relativi ai token pdnd).
2024-07-17 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
È stata risolta una problematica nella gestione degli allegati di una erogazione o API, in cui il pulsante 'cestino' non funzionava correttamente, impedendo la rimozione di un file una volta caricato.
2024-07-17 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1722
Nella funzionalità 'Analisi Statistica' è ora possibile produrre anche una distribuzione statistica in 3 dimensioni personalizzata,
dove al posto della data è possibile selezionare l'informazione desiderata da includere nel report.
2024-07-12 Andrea Poli <apoli@link.it>
* [GovWayCore, InstallerVersioneBinaria, GovWayConsole, GovWayMonitor, ApiRsConfigurazione, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1701
Aggiunto supporto per gestire keystore firmati.
2024-07-10 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunto supporto per collezionare una serie di variabili Java che potranno essere riferite in qualsiasi file di proprietà di GovWay presente nella 'directory-lavoro' tramite la sintassi '${nomeVar}'.
Le variabili potranno inoltre essere accedute all’interno delle varie configurazioni di GovWay come, ad esempio, tramite la sintassi 'java:NAME' o 'envj:NAME'.
La definizione può essere attuata all'interno di due file differenti:
- govway.map.properties: le variabili definite in questo file verranno caricate all'avvio di ogni applicazione GovWay (es. runtime, console, batch ecc.)
- govway.secrets.properties: i valori delle variabili definite nel file saranno cifrati e GovWay si occuperà di decifrarli prima del loro caricamento nel sistema.
2024-07-09 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole, ApiRsConfigurazione]
Aggiunta funzionalità OP-1356
Le informazioni confidenziali presenti nella base dati possono adesso essere cifrate tramite le utility 'Bring Your Own Key (BYOK)'.
La definizione della master key e le modalità di cifratura e decifratura sono specificate all'interno di un file di configurazione presente nella 'directory-lavoro' con il nome 'byok.properties'.
La console di gestione è stata rivista per supportare i nuovi campi contenenti informazioni confidenziali.
2024-07-08 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Il corretto export dei plugin per l'autorizzazione dei contenuti non veniva eseguito correttamente, sia durante l'erogazione che durante la fruizione.
2024-07-06 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
(https://github.com/link-it/govway/issues/159)
Nella configurazione del connettore è adesso possibile specificare il metodo di autenticazione 'api-key'.
2024-07-05 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole]
La verifica dei certificati include adesso anche la validazione dei keystore riferiti nella configurazione della sicurezza dei messaggi.
Inoltre, è stata aggiunta la possibilità di disabilitare la 'Compliance BSP 1.1' nella validazione di un messaggio contenente WS-Security Username Token.
2024-07-05 Tommaso Burlon <tommaso.burlon@link.it>
* [Documentazione]
Aggiornato openapi 'resources/openapi/3.0/openapi.yaml'
Aggiornati archivi zip contenenti gli scenari:
- aggiornate le immagini docker di postgresql e keycloak alle ultime versioni;
- sostituito utilizzo di traefik con nginx come server web.
2024-07-04 Andrea Poli <apoli@link.it>
Aggiunta la possibilità di utilizzare policy OCSP nei connettori HTTPS riferiti nelle token policy di validazione e negoziazione.
Risolto inoltre un problema che si presentava selezionando un'autenticazione HTTPS client sulla funzionalità specifica di introspection o userinfo, ma non si abilitava l'endpoint HTTPS nella sezione token.
In questo scenario, la gestione personalizzata dei keystore utilizzati per la connessione HTTPS non veniva attivata.
2024-07-03 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Aggiunta la possibilità di svuotare la cache e verificare i certificati in qualsiasi maschera di configurazione di erogazione o fruizione di API, oltre che nella scheda di dettaglio.
2024-07-02 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Corretto il problema presente nella funzionalità di export per il profilo SPCoop che si verificava quando veniva selezionato un soggetto multi-tenant tra quelli disponibili.
Il problema si presentava durante l'export di una API o di una fruizione che riferiva una API il cui soggetto era differente da quello selezionato; all'interno dell'archivio zip non veniva inserita l'API.
2024-07-01 Andrea Poli <apoli@link.it>
* [ProtocolloSDI]
Risolto Bug OP-1730
La disabilitazione della validazione del nome della fattura tramite la proprietà 'org.openspcoop2.protocol.sdi.validazione.nomeFile.enable'
causava il seguente errore bloccante se il nome della fattura era conforme a una fatturazione europea che iniziava con il codice 'UB' o 'II':
'Elemento [File] decodifica non riuscita: formato non conosciuto'.
2024-06-27 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug OP-1728
Apportate lievi migliorie prestazionali.
2024-06-14 Tommaso Burlon <tommaso.burlon@link.it>
* [GovWayCore]
Aggiunta funzionalità OP-1726
Introdotte opzioni aggiuntive che consentono di modificare alcuni aspetti relativi alla sicurezza del messaggio attuata tramite la libreria 'wss4j':
- encoding in base64 dell'attachment prima o dopo aver applicato la sicurezza;
- gestione dell'elemento 'InclusiveNamespace' in presenza di lista di prefissi vuota e all'interno dell'elemento 'CanonicalizationMethod';
- gestione dell'elemento 'KeyInfo' presente all'interno dell'elemento 'EncryptedData';
- aggiunta o meno delle parentesi uncinate ('<' e '>') nei riferimenti agli allegati;
- aggiunta dell'header di un attachment all'interno del messaggio cifrato;
- aggiunto il supporto per lo scambio di chiavi simmetriche di cifratura usando un'altra chiave simmetrica condivisa, tramite la gestione di keystore di tipo 'jceks'."
2024-06-12 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole]
Aggiunta funzionalità OP-1725
Introdotto il supporto per il soggetto intermediario nel profilo di interoperabilità 'ModI',
che consente di autorizzare una richiesta proveniente da un soggetto identificato sul canale e da un applicativo appartenente a un soggetto differente, identificato tramite token di sicurezza.
Nell'occasione è stato affinato il processo di autenticazione:
- Il processo di identificazione degli applicativi veniva inutilmente effettuato sull'autenticazione HTTPS attivata nelle erogazioni con profilo di interoperabilità 'ModI',
poiché con tale profilo gli applicativi possono essere censiti solamente con credenziale di tipo 'token' o con certificato di firma; tale controllo è stato disattivato.
- I controlli di esistenza di un applicativo già registrato con lo stesso certificato sono stati migliorati al fine di escludere gli applicativi con profilo di interoperabilità 'ModI' di dominio esterno,
poiché tali certificati non si riferiscono a credenziali TLS ma vengono utilizzati per firmare token di sicurezza.
2024-06-04 Andrea Poli <apoli@link.it>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-34447, CVE-2024-30172, CVE-2024-30171, CVE-2024-29857:
aggiornata libreria 'org.bouncycastle:bcprov-ext-jdk18on' alla versione 1.78.1 (migrazione verso bcprov-jdk18on)
aggiornata libreria 'org.bouncycastle:bcpkix-jdk18on' alla versione 1.78.1
aggiornata libreria 'org.bouncycastle:bcutil-jdk18on' alla versione 1.78.1
- CVE-2024-31573: aggiornata libreria 'org.xmlunit:*' alla versione 2.10.0
2024-04-26 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2024-22262: aggiornata libreria 'org.springframework:*' alla versione 5.3.34
2024-04-02 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1719
(https://github.com/link-it/govway/issues/160)
Utilizzando una architettura con database distinti per configurazione e runtime si otteneva un errore non bloccante riportato nei log del database, ad esempio su postgresql:
"ERROR: relation "db_info_console" does not exist at character 15
STATEMENT: select * from db_info_console order by id DESC"
2024-03-27 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Risolto Bug OP-1717
I file relativi ai profili di interoperabilità (es. modipa_local.properties) presenti nella configurazione esterna (es. /etc/govway)
non venivano configurati correttamente dall'installer se erano presenti archivi patch al suo interno.
Gli archivi patch relativi ai profili di interoperabilità (es. openspcoop2_modipa-protocol-<version>.jar) non venivanon configurati nel file di proprietà interno (es. modipa.properties)
per contenere la proprietà relativa alla directory di configurazione esterna indicata nell'installer (es. 'org.openspcoop2.protocol.modipa.confDirectory=/etc/govway').
2024-03-26 Andrea Poli <apoli@link.it>
* [GovWayCore, Utils]
Aggiunta funzionalità OP-1701
Introdotta funzionalità 'Bring Your Own Key (BYOK)' nelle utility.
Aggiunta possibilità di utilizzare funzionalità di 'unwrap' della chiave per la cifratura dei dati registrati tramite 'FileTrace'
2024-03-21 Andrea Poli <apoli@link.it>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2024-22257: aggiornata libreria 'org.springframework.security:*' alla versione 5.8.11
- CVE-2024-28752: aggiornata libreria 'org.apache.cxf:*' alla versione 3.6.3
aggiornata libreria 'org.ow2.asm:asm' alla versione 9.6
aggiornata libreria 'org.codehaus.woodstox:stax2-api' alla versione 4.2.2
aggiornata libreria 'com.fasterxml.woodstox:woodstox-core' alla versione 6.6.0
aggiornata libreria 'org.apache.ws.xmlschema:xmlschema-core' alla versione 2.3.1
aggiornata libreria 'org.springframework:*' alla versione 5.3.3
2024-03-21 Andrea Poli <apoli@link.it>
* [GovWayCore]
Nella funzionalità di consegna asincrona in alcuni casi limite, con connettori con consegna in errore, non veniva correttamente aggiornato lo stato della transazione.
2024-03-20 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole]
Aggiunta funzionalità OP-1715
È adesso possibile definire una token policy di validazione tramite una "well-know-url" come descritto nella specifica 'https://swagger.io/docs/specification/authentication/openid-connect-discovery'.
Inoltre è stata aggiunta la possibilità di definire il keystore contenente le chiavi necessarie ad effettuare una 'validazione jwt' del token anche indicando un endpoint.
2024-03-15 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug
La modifica del nome di un soggetto non veniva riflessa correttamente sul nome dell'erogazione.
Nella denominazione del componente 'porta_applicativa', veniva erroneamente aggiunto un carattere '/' finale,
causando l'impossibilità di riconoscere l'erogazione al momento della sua invocazione e generando un errore '404 NotFound' restituito al chiamante.
2024-03-15 Andrea Poli <apoli@link.it>
* [GovWayCore]
Modificato il comportamento predefinito in modo che il tracciamento delle richieste che violano una politica di RateLimiting sia disabilitato.
2024-03-15 Andrea Poli <apoli@link.it>
* [BatchStatistiche]
Risolto Bug
Le transazioni da inserire in un intervallo temporale potrebbero non essere ancora tutte presenti nella base dati nel caso in cui il generatore di statistiche
si avvii nell'intervallo prossimo successivo (es. calcolo intervallo orario 16-17 e generatore che si avvia alle 17:00:06).
Transazioni che non rientrano nel calcolo dell'intervallo potrebbe essere relative ad eventi di 'readTimeout' (scritte sulla base dati dopo 120 secondi e oltre) o
di lettura dello storico delle transazioni su una base dati in replica (ritardo dovuto alla sincronizzazione).
Per risolvere l'anomalia è stato introdotto un parametro di tradeoff per individuare anche le transazioni che vengono registrate sulla base dati in un tempo successivo alla data di avvio del batch.
Il generatore continuerà ad aggiornare i dati aggregati fino a quando la data di esecuzione del generatore non supera l'intervallo temporale corrente aumentato del tradeoff.
Per default viene utilizzato un tradeoff di 5 minuti. In questo scenario ad esempio il generatore continuerà ad aggiornare i dati dell'intervallo 16-17 fino a quando non verrò avviato dopo le 17:05,
consentendo così alle transazioni scritte dopo le 17:00 ma facenti parte dell'intervallo 16-17 di essere incluse nel dato aggregato statistico.
2024-03-15 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole, GovWayMonitor, ApiRsConfigurazione]
Aggiunta funzionalità OP-1692
Migliorata funzionalità di tracciamento introducendo la possibilità di attivare il tracciamento su database e/o su file (FileTrace) in 4 momenti differenti della gestione di una richiesta:
- Richiesta ricevuta
- Richiesta in consegna
- Risposta in consegna
- Risposta consegnata
Ogni fase è attivabile sia a livello di configurazione generale che sulla singola erogazione o fruizione.
Inoltre ogni fase è configurabile per far terminare la richiesta con errore in caso tracciamento fallito o proseguire segnalando l'anomalia solamente nei log.
Nel caso richiesta terminata con errore di tracciamento è stato aggiunto un nuovo esito 'Tracciamento Fallito'.
Infine sono stati attuate le seguenti migliorie agli aspetti di configurazione del tracciamento su file (FileTrace):
- possibilità di attivare il tracciamento rispetto all'esito di una transazione;
- maschera di configurazione sulla singola erogazione o fruizione che consente di indicare il file di configurazione e l'attivazione o meno del buffer dei messaggi.
Nel menù principale la configurazione a livello globale del tracciamento e della registrazione messaggi è stata suddivisa in due voci distinte.
2024-03-01 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2024-21742: aggiornata libreria 'org.apache.james:apache-mime4j-*' alla versione 0.8.10
2024-02-23 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole]
Risolto Bug OP-1713
In caso di Violazione Policy di RateLimiting con raggruppamento per Token Claim l'evento emesso non conteneva l'informazione puntuale sul valore del claim.
Nell'intervento è stata corretta anche una anomalia presente durante il salvataggio di una policy con criterio di raggruppamento per Token Claim 'subject';
l'impostazione del criterio di raggruppamento per token subject non consentiva di entrare nuovamente in modifica della policy e nei log si poteva riscontrare un errore simile al seguente:
"Enum with value [TOKEN_ISSUER] not found"
2024-02-23 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2024-22243: aggiornata libreria 'org.springframework:*' alla versione 5.3.32
2024-02-23 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2024-25710: aggiornata libreria 'org.apache.commons:commons-compress' alla versione 1.26.0
2024-02-14 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-52428: aggiornata libreria 'com.nimbusds:nimbus-jose-jwt' alla versione 9.37.3
2024-02-13 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Aggiunta funzionalità OP-1710
Il report 'heatmap' fornito con la distribuzione statistica in 3 dimensioni presente nella funzionalità di "Analisi Statistica" è stato migliorato per:
- contenere una legenda che descriva la corrispondenza tra tonalità del colore e misura rappresentata;
- possibilità di visualizzare in ogni quadratino la misura.
2024-02-10 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1708
In una configurazione che prevede un access token PDND (ID_AUTH_REST_01),
il jti presente all'interno del token non veniva utilizzato come identificativo messaggio della richiesta alla quale veniva invece asssociato un identificativo generato da GovWay.
L'anomalia comportava:
- un doppio tracciamento sia del jti e che dell'identificativo generato da GovWay;
- una valorizzazione dell'header di integrazione 'GovWay-Message-ID' con l'identificativo generato da GovWay invece del jti.
2024-02-06 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.3.14
2024-02-02 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1706
Risolta anomalia che si verificava in alcuni casi limite durante il tracciamento delle fruizioni di API con negoziazione token.
L'errore segnalato nei log era:
"PostOutResponseHandler [transazioni]Errore durante la scrittura della transazione sul database (Lettura dati Transazione): Caused by: java.util.ConcurrentModificationException
at java.util.HashMap$HashIterator.nextNode(HashMap.java)
...
at org.openspcoop2.pdd.core.token.TokenUtilities.replaceTokenInMap(TokenUtilities.java)
2024-02-01 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1691
Nella funzionalità "Analisi Statistica" è adesso possibile produrre anche una distribuzione statistica in 3 dimensioni: criterio di distribuzione, data e valore.
2024-01-26 Andrea Poli <apoli@link.it>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1702
Durante la registrazione di un applicativo con profilo di interoperabilità 'ModI',
se nella sezione 'ModI - Sicurezza Messaggio - KeyStore' veniva effettuato con modalità 'Archivio' l'upload di un keystore pkcs12,
creato importando un altro archivio pkcs12 al suo interno, si ottevena l'errore: "keystore password was incorrect".
Si trattava dello stesso bug risolto nell'issue 'https://github.com/link-it/govway/issues/128'
la cui risoluzione non era però stata riportata nella maschera di gestione della sicurezza ModI di un applicativo.
2024-01-23 Andrea Poli <apoli@link.it>
* [GovWayCore, ProtocolloModIPA]
Risolto Bug OP-1694
La validazione dei token 'ModI' non supportava token contenenti claim 'aud' definiti come stringhe di array.
È stato aggiunto il supporto in modo da rispettare entrambe le modalità (array of case-sensitive strings or single case-sensitive string)
indicate nel RFC 'https://datatracker.ietf.org/doc/html/rfc7519.html#section-4.1.3'.
Nell'intervento è stato rivista anche la verifica dei certificati di una fruizione o erogazione,
in modo che i keystore/truststore utilizzati per i token di una risposta vengono validati solamente se l'API prevede un token di sicurezza nella risposta.
2024-01-22 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-51074: aggiornata libreria 'com.jayway.jsonpath:json-path' alla versione 2.9.0
2024-01-19 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Aggiunti script di svecchiamento delle tracce per tipo di database sqlserver.
2024-01-19 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria, ProtocolloAS4]
Risolto Bug OP-1697
Gli artefatti prodotti dall'installer in caso di scelta del profilo di interoperabiltà 'eDelivery' presentavano i seguenti errori:
- nell'archivio govway.ear manca il jar 'openspcoop2_as4-protocol_ecodexBackendStub_cxf.jar'
- il datasource per wildfly 'domibus-ds.xml' non contiene il nome jndi 'org.govway.datasource.domibus' atteso
Inoltre è stato aggiornato il riferimento al progetto eDelivery Domibus: https://ec.europa.eu/digital-building-blocks/sites/display/DIGITAL/Domibus
2024-01-18 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayMonitor, ApiRsMonitoraggio, ProtocolloModIPA]
Aggiunta funzionalità OP-1689
Migliorato tracciamento per le richieste contenenti credenziali non valide, token scaduti o non autorizzati. Vengono adesso registrate:
- le informazioni sui claim principali presenti nel token (clientId, subject/issuer, username, eMail);
- le informazioni recuperate tramite le API PDND (es. nome e categoria dell'organizzazione);
- l'identificativo autenticato a livello trasporto (principal).
È stata inoltre rivisto il concetto di richiedente di una richiesta di servizio al fine di considerare anche il nome dell'organizzazione recuperata tramite le API PDND,
in modo da visualizzarla al posto del clientId durante la consultazione dello storico delle transazioni.
Sono stati introdotti i seguenti miglioramenti alla console di monitoraggio (govwayMonitor) alle API (govwayAPIMonitor):
- nello storico delle transazioni è adesso possibile effettuare una ricerca per nome dell'organizzazione individuata tramite le API PDND;
- i dati dei report statistici possono essere filtrati per nome dell'organizzazione individuata tramite le API PDND;
- è possibile adesso ottenere una distribuzione per clientId contenente anche le informazioni recuperate tramite le API PDND.
Le informazioni raccolte tramite le API PDND sono inoltre state aggiunte alla base dati di tracciamento in modo da consentirne l'estrazione tramite viste personalizzate.
Sono stati introdotti i seguenti miglioramenti nella funzionalità 'fileTrace' che consentono di accedere:
- alle informazioni del token ModI di audit 'Agid-JWT-TrackingEvidence';
- alle informazioni recuperate tramite le API PDND.
2023-12-19 Andrea Poli <apoli@link.it>
* [ApiRsConfigurazione]
Aggiunta funzionalità OP-1685
Aggiunto scenario di fruizione ModI in cui è possibile utilizzare il materiale crittografico definito nella token policy per firmare i token di AUDIT e di INTEGRITY.
2023-12-19 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole]
Risolto Bug OP-1687
Le richieste contenenti metodi http 'PATCH', 'LINK' e 'UNLINK' venivano inoltrate al backend erroneamente come metodo POST se la connessione era https.
Nell'intervento è stato risolto anche un problema sulla console di gestione che avveniva su una erogazione configurata per gestire gruppi di risorse differenti,
in cui in ogni gruppo veniva ridefinito il connettore e attivata la consegna condizionale.
La problematica era riscontrabile se venivano visualizzati i connettori di un gruppo e successivamente si passava a visualizzare i connettori dell'altro gruppo: i dati riportati sui connettori erano errati.
2023-12-18 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole, ProtocolloModIPA]
Aggiunta funzionalità OP-1685
Aggiunto scenario di fruizione ModI in cui è possibile utilizzare il materiale crittografico definito nella token policy per firmare i token di AUDIT e di INTEGRITY.
2023-12-12 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1683
Una correlazione applicativa configurata con una modalità d'identificazione basata su header HTTP e un comportamento di identificazione fallita uguale al valore 'accetta',
provocava la terminazione con errore della transazione se la richiesta non presentava l'header HTTP indicato nonostante fosse stato indicato di proseguire con successo in caso di identificazione fallita.
L'errore riportato era il seguente: "Identificativo di correlazione applicativa non identificato; nessun elemento tra quelli di correlazione definiti è presente nel body".
L'anomalia si presentava anche su altre modalità di identificazione nel caso in cui l'identificativo estratto risultasse null o una stringa vuota.
È stato modificato il comportamento di default del gateway in modo da considerare entrambi i casi come una estrazione di correlazione applicativa fallita per la specifica modalità,
per la quale si può poi decidere se proseguire comunque o terminare con errore.
Il precedente comportamento di accettare identificativi null o stringhe vuote è ripristinabile agendo sulle proprietà della singola fruizione o erogazione di API.
2023-12-11 Andrea Poli <apoli@link.it>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1681
La registrazione di una erogazione di API con pattern di sicurezza canale 'ID_AUTH_CHANNEL_02' creava un controllo accessi non corretto poichè l'autenticazione canale veniva configurata come opzionale.
2023-12-11 Andrea Poli <apoli@link.it>
* [ApiRsMonitoraggio]
Risolto Bug OP-1679
Api di monitoraggio non ritornano la descrizione di un evento
2023-12-06 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor, ApiRsMonitoraggio]
Aggiunta funzionalità OP-1675
Nella funzionalità "Configurazione API" delle statitstiche è adesso possibile esportare il report oltre che nel formato 'csv' anche nel formato 'xls'.
2023-12-05 Andrea Poli <apoli@link.it>
* [GovWayConsole, ProtocolloModIPA]
Risolto Bug OP-1677
La verifica dei certificati su una fruizione di una API configurata con pattern di sicurezza messaggio 'ID_AUTH_REST_01' e 'Generazione Token' via PDND non veniva effettuata.
La console indicava che tutti i certificati erano validi anche quando non lo erano.
Inoltre la configurazione fornita dalla funzionalità 'Visualizza dettagli della configurazione', presente nelle opzioni di una fruizione,
non visualizzava le informazioni corrette su eventuali keystore definite nella fruizione stessa.
Infine nel caso si configurava una API senza pattern di sicurezza messaggio con relativa fruizione e successivamente si modificava l'API impostando 'ID_AUTH_REST_01' e 'Generazione Token' via PDND,
entrando nella maschera di configurazione del connettore della fruizione si otteneva una informazione errata sulla token policy che sembrava assegnata anche se in realtà non lo era.
2023-12-04 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Aggiunta funzionalità OP-1673
Eliminata la generazione dell'archivio 'govwaySec' prodotto per default sugli archivi generati per l'application server WildFly.
L'archivio è nuovamente generabile abilitando l'opzione specifica utilizzando l'installer in modalità avanzata.
2023-12-01 Andrea Poli <apoli@link.it>
* [GovWayConsole, ApiRsConfigurazione]
Aggiunta funzionalità OP-1671
Su ogni oggetto del registro è adesso possibile indicare una descrizione contenente fino a 4000 caratteri.
Inoltre sono adesso consultabili le informazioni su chi e quando ha creato o modificato un oggetto tramite la nuova voce 'Proprietà'
utilizzabile tramite il menù "tre puntini" presente sia nell'elenco che nel dettaglio di un oggetto.
Infine sono state riviste le schede di visualizzazione dei dettagli di una API, di una erogazione o fruizione e di un gruppo di configurazioni per i seguenti aspetti:
- la descrizione viene visualizzata solo se definita ed è possibile aggiungerla tramite un'azione dedicata presente tra le informazioni sul nome dell'oggetto;
- vengono visualizzate le informazioni riguardanta la data di creazione, la data di ultima modifica e gli utenti che hanno effettuato tali operazioni.
2023-11-10 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Aggiunta funzionalità OP-1661
È adesso possibile verificare o eliminare i dati presenti nella cache locale contenente le chiavi pubbliche (JWK) e le informazioni sui client raccolte tramite le API PDND.
2023-11-09 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità OP-1669
Differenziata cache che conserva i dati recuperati dalle Attribute Authority rispetto alla cache che conserva i token.
2023-11-08 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità OP-1667
Viene adesso consentito l'utilizzo di valori dinamici anche sul flusso di risposta per quanto concerne la funzionalità di sicurezza messaggio.
Inoltre per la funzionalità 'WS-Security Username Token' è adesso possibile definire una mappa di credenziali attese.
2023-11-07 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità OP-1665
In una token policy di validazione, per un token JWS è adesso possibile aggiungere criteri di validazione dei 'typ', 'cty' e 'alg' presenti nell'header.
2023-11-07 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità OP-1663
Una richiesta non applicabile a nessuna regola di correlazione applicativa, fino alla versione 3.3.13.p1, terminava con l’errore:
"Identificativo di correlazione applicativa non identificato; nessun elemento tra quelli di correlazione definiti è presente nel body".
È stato modificato il default in modo da accettare la richiesta.
Il precedente comportamento è ripristinabile agendo sulle proprietà della singola fruizione o erogazione di API.
2023-11-03 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-45860: aggiornata libreria 'com.hazelcast:hazelcast' alla versione 5.3.5
2023-11-03 Andrea Poli <apoli@link.it>
* [Utils, GenericProject]
Aggiunta funzionalità OP-1659
Le utility della classe 'org.openspcoop2.utils.sql' e le espressioni 'org.openspcoop2.generic_project.expression'
consentono adesso di effettuare la selezione di campi e la definizione di condizioni di where relative a parti di una data:
YEAR, MONTH, DAY, HOUR, MINUTE, SECOND, DayOfWeek, DayOfYear, FullDayName e ShortDayName.
2023-11-02 Andrea Poli <apoli@link.it>
* [GovWayConsole, Utils]
Risolto Bug OP-1657
La creazione di una API tramite un OpenAPI contenente la definizione di un parametro di tipo 'header' falliva.
Dai log si poteva riscontrare il seguente errore: "Trovato parametro header 'Authorization' senza tipo".
2023-10-26 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità OP-1655
Nell'invocazione delle API PDND:
- aggiunta la possibilità di produrre header o parametri della url personalizzati da inoltrare verso la fruizione;
- aggiunta la possibilità di disattivare l'invio di credenziali basic;
- aggiunta la possibilità di personalizzare le chiamate per tenant in una installazione multi-tenant.
2023-10-21 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-44483: aggiornata libreria 'org.apache.santuario:xmlsec' alla versione 2.3.4
2023-10-18 Andrea Poli <apoli@link.it>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2023-5072: aggiornata libreria 'org.json:json' alla versione 20231013
- CVE-2023-4586: aggiornata libreria 'io.netty:*' alla versione 4.1.100.Final
aggiornata libreria 'org.redisson:redisson' alla versione 3.23.5
aggiornata libreria 'org.jboss.marshalling:*' alla versione 2.1.3.SP1
2023-10-18 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole, GovWayMonitor]
Aggiunta funzionalità OP-1653
La classificazione degli esiti è stata estesa per individuare i seguenti casi:
- 'Read Timeout': Risposta non ricevuta entro il timeout specificato
- 'Request Read Timeout': Richiesta non ricevuta entro il timeout specificato
- 'Connection Timeout': Connessione non stabilita entro il timeout specificato
- 'Negoziazione Token Fallita': Sono emersi degli errori durante la negoziazione del token
Sono inoltre state riviste le classi di appartenenza di ogni esito in modo da far rientrare il nuovo esito 'Request Read Timeout' e l'esito 'Connessione Client Interrotta' in una nuova classe 'Errore Client Indisponibile'.
I nuovi esiti relativi a timeout concorrono inoltre alla generazione di eventi
che consentono all'operatore di indivuare l'occorrenza di errori di timeout senza dove effettuare ricerche puntuali nello storico delle transazioni.
Durante l'intervento è stato risolta anche l'anomalia relativa al fatto che non venivano utilizzati i tempi di connection e read timeout impostati a livello globale.
Infine sono stati modificati i tempi a livello globale relativi ad una nuova installazione:
- connection timeout: modificato da 10 a 5 secondi
- read timeout sulle erogazioni: modificato da 120 a 60 secondi
- read timeout sulle fruizioni: modificato da 150 a 65 secondi
2023-10-12 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug OP-1651
L'operazione "Svuota le Cache dei nodi '<nomeGruppo>'" veniva ripetuta erroneamente più volte per ogni nodo.
2023-10-12 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA, GovWayConsole]
Risolto Bug OP-1649
- In un contesto in cui risultava già attiva una erogazione definita senza pattern di sicurezza messaggio o con un pattern con generazione token 'Authorization ModI',
se veniva modificata l'API per utilizzare un pattern con token 'Authorization PDND',
la sezione controllo degli accessi dell'erogazione non consentiva di abilitare la token policy di validazione dei voucher PDND.
- In un API definita con un pattern di sicurezza messaggio con generazione token 'Authorization ModI' e con voce 'Header HTTP del Token' impostata a 'Custom-JWT-Signature',
se veniva modificata la voce di generazione token in 'Authorization PDND' rimanevano inconsistenti le successive voci che consentono la configurazione dell'header custom.
2023-10-11 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità OP-1647
La registrazione delle informazioni personalizzate da includere nel token di AUDIT_REST_01 consente adesso di definire se ogni singolo claim veicola un valore riutilizzabile su differenti chiamate.
L'intero token di audit verrà salvato in cache e riutilizzato su differenti chiamate solo se tutti i claim inseriti all'interno del token risultano configurati come riutilizzabili.
2023-10-11 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug OP-1643
Durante la visualizzazione di una pagina, il componente "loading" che inibisce l'utilizzo della pagina stessa,
terminava la sua funzione prima che il caricamento della pagina fosse completo.
2023-10-11 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità OP-1645
La produzione e la validazione dell'header di integrità 'Custom-JWT-Signature' è adesso attivabile anche per metodi senza payload.
2023-10-06 Andrea Poli <apoli@link.it>
* [Documentazione]
Migliorata documentazione della proprietà 'org.openspcoop2.pdd.cluster_id.numeric.dinamico.cifre' nel file 'govway_local.properties'
che consente di indicare le cifre utilizzate per l’utilizzo dell'identificativo univoco numerico come prefisso di un numero seriale (es. identificativo eGov).
2023-10-05 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug OP-1641
In una fruizione ModI di una API definita tramite i pattern ID_AUTH_REST via PDND e AUDIT_REST_01,
se la fruizione risulta configurata per utilizzare un keystore definito nell'applicativo e quest'ultimo non viene identificato durante la gestione della richiesta,
GovWay emetteva un diagnostico malformato: "Il profilo di sicurezza richiesto 'null' richiede l'identificazione di un applicativo"
2023-10-04 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug OP-1639
Attivando una configurazione opzionale per il token di audit, l'impostazione veniva ignorata e il token veniva obbligatoriamente richiesto.
È stata inoltre aggiunta la possibilità di definire dei criteri di validazioni sui claim definiti all'interno del token di audit.
I criteri associabili ad ogni claim sono la validazione rispetto ad una lista di valori, tramite una espressione regolare, e l'indicazione della lunghezza minima o massima di caratteri.
2023-09-29 Andrea Poli <apoli@link.it>
* [ApiRsMonitoraggio]
Risolto Bug OP-1637
La distribuzione temporale non consentiva di ottenere report contenenti informazioni sull'occupazione della banda e sul tempo medio di risposta dei servizi.
2023-09-22 Andrea Poli <apoli@link.it>
* [GovWayMonitor]
La pagina "Informazioni Generali" di un allarme rimaneva bloccata.
2023-09-22 Andrea Poli <apoli@link.it>
* [GovWayMonitor]
Risolto Bug OP-1635
La visualizzazione dei contenuti dei messaggi su SQLServer fallisce se la dimensione dei messaggi è superiore a '250Kb'.
2023-09-20 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-34042: aggiornata libreria 'org.springframework.security:*' alla versione 5.8.7
Registrata come falso positivo la vulnerabilità:
- CVE-2023-4759: libreria 'org.eclipse.jgit:org.eclipse.jgit', versione 6.7.0.202309050840-r
2023-09-19 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunte govlet per PagoPA v1 e v2
2023-09-15 Andrea Poli <apoli@link.it>
* [GovWayCore]
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2023-4759: aggiornata libreria 'org.eclipse.jgit:org.eclipse.jgit' alla versione 6.7.0.202309050840-r
- CVE-2023-40167: aggiornata libreria 'org.eclipse.jetty:*' alla versione 10.0.16
2023-09-06 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.3.13.p1
2023-09-05 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug OP-1631
Modificando la configurazione di una fruizione o di una erogazione (es. sicurezza messaggio)
era necessario effettuare due volte l'operazione 'Rimuovi dalla Cache' per far sì che la modifica venisse effettivamente vista dal runtime.
2023-09-04 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1629
Risultavano le stesse informazioni sulle organizzazioni prelevate dalla PDND relativamente a chiamate (clientId) differenti.
2023-08-21 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug OP-1627
In un ambiente multi-tenant la creazione di un applicativo con credenziali api-key,
dove il soggetto di dominio interno non viene selezionato attraverso le voci in alto a destra nella console ma utilizzando la select list presente nella form di creazione,
non funzionava correttamente poichè le credenziali generate venivano assegnate al soggetto presente inizialmente nella maschera di creazione e non al soggetto successivamente selezionato.
2023-08-09 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug OP-1625
Utilizzando la funzionalità 'Importa' e caricando un archivio che contiene configurazioni che richiedono una token policy non esistente sul registro,
se non si abilita l'opzione 'Policy di Configurazione' l'import non va a buon fine e vengono create solamente in parte le configurazioni per via della mancanza della policy sulla base dati.
Al di là dell'importare correttamente l'archivio con l'opzione abilitata, se invece si volesse procedere immediatamente all'eliminazione di quanto importato parzialmente,
utilizzando la funzionalità 'Elimina' la console terminava con un errore inatteso e dal file di log si poteva riscontrare il seguente errore:
"Caused by: org.openspcoop2.core.registry.driver.DriverRegistroServiziException: Fruizione da parte del soggetto [modipa/xxx] del servizio [modipa/yyyy:modipa/yyyy:1] non esistente"
2023-08-07 Andrea Poli <apoli@link.it>
* [GovWayCore, Utils]
Risolto Bug OP-1623
Utilizzando la configurazione di Apache suggerita per inoltrare il certificato TLS ('RequestHeader set SSL_CLIENT_CERT "%{SSL_CLIENT_CERT}s" "expr=-n %{SSL_CLIENT_CERT}"')
avviene un inoltro dell'header in una formato che non veniva supportato da GovWay: PEM su una unica linea dove i ritorni a capo venivano sostituiti da spazi.
2023-08-04 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole]
Risolto Bug OP-1621
La funzionalità 'import' con wizard non funzionava correttamente nei seguenti aspetti:
- gli step di avanzamento rimanevano a '0'
- gli input raccolti nel wizard non venivano applicati ai template
2023-08-03 Andrea Poli <apoli@link.it>
* [ApiRsMonitoraggio]
Risolto Bug OP-1619
Nel dettaglio di una transazion veniva restituito un elemento vuoto 'informazioni_token:{}'; se non valorizzato adesso l'elemento non viene prodotto.
2023-07-27 Andrea Poli <apoli@link.it>
* [GovWayCore]
È stata risolta la seguente vulnerabilità relativa al jar di terza parte:
- CVE-2023-2976: aggiornata libreria 'com.google.guava:guava' alla versione 32.1.1-jre
2023-07-27 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug OP-1614
Dopo l'aggiornamento di una installazione di GovWay esistente all'ultima versione 3.3.13 si ottiene il seguente errore:
"[GOVWAY-6] - EccezioneProcessamento: per abilitare la proprietà è richiesto che sia abilitata la gestione delle chiavi PDND"