다음은 Apigee와 관련된 모든 보안 게시판에 대한 설명입니다.
제공되는 최신 보안 게시판을 보려면 다음 중 하나를 수행합니다.
- 이 페이지의 URL을 피드 리더에 추가합니다.
- 피드 리더에 피드 URL을 직접 추가합니다.
https://cloud.google.com/feeds/apigee-security-bulletins.xml
GCP-2024-006
게시: 2024년 2월 5일
| 설명 | 심각도 | 참고 |
|---|---|---|
|
Apigee API 관리 프록시가 대상 엔드포인트 또는 대상 서버에 연결되면 프록시는 기본적으로 대상 엔드포인트 또는 대상 서버에서 제공한 인증서에 대해 호스트 이름 검증을 수행하지 않습니다. 다음 옵션 중 하나를 사용하여 호스트 이름 검증을 사용 설정하지 않으면 대상 엔드포인트 또는 대상 서버에 연결하는 Apigee 프록시가 승인된 사용자의 중간자 공격 위험에 노출될 수 있습니다. 자세한 내용은 Edge에서 백엔드로 TLS 구성(Cloud 및 프라이빗 클라우드)을 참조하세요. 영향을 받는 제품 다음 Apigee 플랫폼의 Apigee 프록시 배포가 영향을 받습니다.
어떻게 해야 하나요? 고객은 다음 옵션 중 하나를 활용하여 검증을 사용 설정할 수 있습니다. 옵션 1 - 프록시에 구성 추가 다음과 같이 프록시 구성에 있는 <HTTPTargetConnection>
<SSLInfo>
<Enabled>true</Enabled>
<TrustStore>ref://mytruststoreref</TrustStore>
<CommonName>*.example.com</CommonName>
</SSLInfo>
<URL>https://my.example.com/</URL>
</HTTPTargetConnection>
이 구성이 프록시 구성의 Apigee에서는 이 접근 방식을 권장합니다. 프록시를 개별적으로 테스트하여 검증이 의도한 대로 작동하는지 확인하고 트래픽 중단을 최소화할 수 있습니다. 프록시에서 호스트 이름 검증 테스트 및 오류 확인에 대한 자세한 내용은 Trace 도구 사용을 참조하세요. 옵션 2 - 조직 수준 플래그 설정 Apigee 조직 수준 플래그를 설정하여 조직에 배포된 모든 프록시 및 대상에 대해 호스트 이름 검증을 사용 설정할 수 있습니다. 조직 속성에서 참고: 이 옵션을 사용하면 조직 전체에서 이 기능을 사용 설정할 수 있지만 대상에 필요한 인증서가 없으면 호스트 이름 검증 오류가 발생할 수 있습니다.
검증이 의도한 대로 작동하고 프로덕션 중단이 발생하지 않도록 비프로덕션 환경에서 이 변경사항을 먼저 구현하는 것이 좋습니다. 대상에 대한 호스트 이름 검증이 실패하면 다음 오류 메시지가 반환됩니다. {"fault":{"faultstring":"SSL Handshake failed java.security.cert.CertificateException: No subject alternative DNS name matching example.com found.","detail":{"errorcode":"messaging.adaptors.http.flow.SslHandshakeFailed"}}}
|
높음 |
GCP-2023-032
게시: 2023년 10월 13일
업데이트: 2023년 11월 3일
| 설명 | 심각도 | 참고 |
|---|---|---|
|
2023년 11월 3일 업데이트: 프라이빗 클라우드용 Apigee Edge에 대한 알려진 문제가 추가되었습니다. 최근 서비스 거부(DoS) 취약점은 Apigee X 및 Apigee Hybrid에서 사용하는 Apigee 인그레스(Anthos Service Mesh) 서비스를 포함하여 HTTP/2 프로토콜(CVE-2023-44487)의 여러 구현에서 발견되었습니다. 이 취약점으로 인해 Apigee API 관리 기능에 대한 DoS가 발생할 수 있습니다. 영향을 받는 제품
영향을 받지 않는 제품
어떻게 해야 하나요?
이러한 패치로 해결되는 취약점 취약점 CVE-2023-44487로 인해 Apigee API 관리 기능에 대한 DoS가 발생할 수 있습니다. |
높음 | CVE-2023-44487 |