Di seguito sono descritti i bollettini sulla sicurezza relativi ad Apigee.
Per ricevere gli ultimi bollettini sulla sicurezza, esegui una delle seguenti operazioni:
- Aggiungi l'URL di questa pagina al tuo aggregatore di feed.
- Aggiungi l'URL del feed direttamente al tuo aggregatore di feed:
https://cloud.google.com/feeds/apigee-security-bulletins.xml
GCP-2025-023
Pubblicato il: 05/05/2025
| Descrizione | Gravità | Note | ||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
Questo bollettino riguarda potenziali lacune di sicurezza che potrebbero essere sfruttate se non affrontate nei criteri JavaCallout e PythonScript che sono stati scoperti e risolti. Questi criteri potrebbero comportare l'esecuzione di codice remoto non autorizzata (RCE) e l'escalation dei privilegi nell'ambiente di runtime di Apigee. Per poter essere sfruttati, questi possibili exploit richiedono l'accesso di utenti interni autorizzati (utenti che dispongono del privilegio di implementare i proxy). Queste potenziali vulnerabilità derivano da una sandboxing insufficiente per scenari come l'accesso tramite riflessione e lo spoofing degli oggetti di autorizzazione per aggirare il gestore della sicurezza. Prodotti interessati L'impatto è limitato ai criteri JavaCallout e PythonScript. Sono inclusi i deployment sulle seguenti piattaforme Apigee:
Che cosa devo fare? Esegui le seguenti azioni per ogni prodotto interessato: ApigeeNon è richiesta alcuna azione da parte dei clienti che utilizzano la versione di Apigee per Google Cloud. Le correzioni delle vulnerabilità sono state applicate alla release di Apigee 1-14-0-apigee-8. Se il team di rilascio non è in grado di implementare il rilascio per le tue organizzazioni, un TAM o un rappresentante dell'assistenza ti contatterà per correggere eventuali bundle proxy JavaCallout interessati. Apigee hybridDevi eseguire l'upgrade a una delle seguenti release delle patch di sicurezza:
|
Alta |
Apigee Edge for Public Cloud
Non è richiesta alcuna azione da parte dei clienti di Apigee Edge. I fix sono stati applicati all'ultima versione del runtime di Edge. Se sei un cliente che non può essere aggiornato all'ultima release di Edge a causa di azioni in attesa note, un rappresentante dell'assistenza clienti ti contatterà.
Apigee Edge for Private Cloud
Se sei un utente di Edge for Private Cloud, devi esaminare i criteri JavaCallout e PythonScript per assicurarti di utilizzare codice e librerie di origini attendibili. Le modifiche a questi criteri richiedono l'accesso interno autorizzato (utenti che dispongono delle autorizzazioni per implementare i proxy), pertanto ti consigliamo di eseguire la revisione delle autorizzazioni per assicurarti che solo gli utenti attendibili mantengano questo accesso. Le correzioni delle vulnerabilità sono state applicate alle release Edge Private Cloud 4.52.02 e 4.53.00.
GCP-2024-040
Pubblicato il: 02/07/2024
Questo bollettino include dettagli specifici per ciascuno di questi prodotti Apigee:
Edge Public Cloud
| Descrizione | Gravità | Note |
|---|---|---|
|
Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli autori di attacchi di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, Apigee Edge per il cloud pubblico non è sfruttabile e sono state implementate misure di mitigazione. Anche se questa CVE non è sfruttabile, Apigee eseguirà l'upgrade dei workload per risolvere la CVE riportata sopra. Che cosa devo fare? Non è richiesta alcuna azione da parte degli utenti di Apigee. Le patch per i carichi di lavoro verranno applicate nei prossimi giorni e il bollettino sulla sicurezza verrà aggiornato al termine dell'operazione. |
Critico |
Edge Private Cloud
| Descrizione | Gravità | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli aggressori di ottenere l'accesso come root ai nodi VM. I clienti di Edge Private Cloud possiedono e gestiscono le VM/gli host fisici in cui è implementato Edge Private Cloud.
Che cosa devo fare? Controlla la versione di OpenSSH emettendo il comando |
Critico |
Microgateway Edge
| Descrizione | Gravità | Note | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli aggressori di ottenere l'accesso come root ai nodi VM. I clienti di Edge Microgateway possiedono e gestiscono le VM/gli host fisici in cui viene disegnato Edge Microgateway.
Che cosa devo fare? Controlla la versione di OpenSSH emettendo i comandi |
Critico |
Apigee
| Descrizione | Gravità | Note |
|---|---|---|
|
Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli autori di attacchi di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, Apigee non è sfruttabile e sono state implementate misure di mitigazione. Anche se questa CVE non è sfruttabile, Apigee eseguirà l'upgrade dei workload per risolvere la CVE-2024-6387. Che cosa devo fare? Non è richiesta alcuna azione da parte degli utenti di Apigee. L'applicazione delle patch per i carichi di lavoro verrà eseguita nei prossimi giorni e il bollettino sulla sicurezza verrà aggiornato al termine dell'operazione. Nota: se i gruppi di istanze gestite vengono di cui vengono eseguiti il deployment in un progetto del cliente per il bilanciamento del carico in entrata, in particolare InternalRouting (VPC) e ExternalRouting (MIG), verifica la versione di OpenSSH installata. Se la versione è vulnerabile alla CVE, aggiorna autonomamente a OpenSSH versione 9.8p1 rilasciata il 1° luglio 2024, poiché Apigee non gestisce questi MIG. |
Critico |
Apigee hybrid
| Descrizione | Gravità | Note | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli attaccanti di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, le immagini ibride non sono vulnerabili perché OpenSSH non è pacchettizzato in nessuna delle immagini container ibride. Tuttavia, se il sistema operativo dell'host/del nodo GKE è in esecuzione con le versioni vulnerabili di OpenSSH riportate di seguito, i cluster ibride saranno sfruttabili.
Che cosa devo fare? Questo problema è stato risolto nel bollettino sulla sicurezza dell'assistenza clienti Google Cloud GCP-2024-040. Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:
|
Critico |
GCP-2024-006
Pubblicato il: 5/02/2024
| Descrizione | Gravità | Note |
|---|---|---|
|
Quando un proxy di gestione API Apigee si connette a un endpoint di destinazione o server di destinazione, per impostazione predefinita il proxy non esegue la convalida del nome host per il certificato presentato dall'endpoint o dal server di destinazione. Se la convalida del nome host non è attivata utilizzando una delle seguenti opzioni, i proxy Apigee che si connettono a un endpoint o a un server di destinazione potrebbero essere a rischio di un attacco man-in-the-middle da parte di un utente autorizzato. Per ulteriori informazioni, consulta Configurare TLS dall'Edge al backend (Cloud e Private Cloud). Prodotti interessati Sono interessati i deployment dei proxy Apigee sulle seguenti piattaforme Apigee:
Che cosa devo fare? Per attivare questa convalida, i clienti possono utilizzare una delle seguenti opzioni: Opzione 1: aggiungi una configurazione al proxy Puoi attivare la convalida dell'endpoint o del server di destinazione aggiungendo una configurazione <HTTPTargetConnection>
<SSLInfo>
<Enabled>true</Enabled>
<TrustStore>ref://mytruststoreref</TrustStore>
<CommonName>*.example.com</CommonName>
</SSLInfo>
<URL>https://my.example.com/</URL>
</HTTPTargetConnection>Se questa configurazione è presente nell'elemento Apigee consiglia questo approccio. Puoi testare i proxy singolarmente per verificare che la convalida funzioni come previsto, con una potenziale interruzione minima del traffico. Per ulteriori informazioni su come testare la convalida del nome host nei proxy e visualizzare gli errori, consulta Utilizzare lo strumento di tracciabilità. Opzione 2: imposta un flag a livello di organizzazione Puoi impostare un flag a livello di organizzazione Apigee per attivare la convalida del nome host per tutti i proxy e i target di destinazione di cui è stato eseguito il deployment nella tua organizzazione. Se il flag Nota: anche se questa opzione può aiutarti ad attivare la funzionalità nell'intera organizzazione, possono verificarsi errori di convalida dei nomi host se i target non presentano i certificati previsti.
Apigee consiglia di implementare questa modifica prima negli ambienti non di produzione, per assicurarsi che la convalida funzioni come previsto e non causi interruzioni della produzione. Se la convalida del nome host non va a buon fine per uno o più target, viene restituito il seguente messaggio di errore: {"fault":{"faultstring":"SSL Handshake failed java.security.cert.CertificateException: No subject alternative DNS name matching example.com found.","detail":{"errorcode":"messaging.adaptors.http.flow.SslHandshakeFailed"}}} |
Alta |
GCP-2023-032
Pubblicato il: 13/10/2023
Aggiornamento: 03/11/2023
| Descrizione | Gravità | Note |
|---|---|---|
|
Aggiornamento del 03/11/2023: è stato aggiunto un problema noto per Apigee Edge for Private Cloud. Di recente è stata scoperta una vulnerabilità di tipo denial of service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il servizio Apigee Ingress (Cloud Service Mesh) utilizzato da Apigee X e Apigee hybrid. La vulnerabilità potrebbe causare un attacco DoS della funzionalità di gestione delle API di Apigee. Prodotti interessati
Prodotti non interessati
Che cosa devo fare?
Quali vulnerabilità vengono affrontate da queste patch? La vulnerabilità CVE-2023-44487 potrebbe causare un attacco DoS della funzionalità di gestione dell'API Apigee. |
Alta | CVE-2023-44487 |