セキュリティに関する公開情報 | Google Security Operations

このページでは、Google Security Operations に関連するすべてのセキュリティに関する公開情報を提供します。

GCP-2023-028

公開済み: 2023-09-19

最終更新: 2024-05-29

説明

説明	重大度	メモ
2024 年 5 月 29 日更新: 新しいフィードでは共有サービスアカウントが使用されなくなりましたが、サービスが中断されないように、既存のフィードでは引き続き有効です。共有サービスアカウントの不正使用を防ぐため、古いフィード内のソースへの変更はブロックされます。顧客はソースを変更しない限り、古いフィードを引き続き使用できます。お客様は、取り込みフィードを使用して、お客様所有の Cloud Storage バケットからデータを取り込むように Google SecOps を構成できます。Google SecOps では最近まで共有サービスアカウントを提供しており、お客様がバケットへのアクセス権を付与する用途に使われていました。ひとつのお客様の Google SecOps インスタンスが、別のお客様の Cloud Storage バケットからデータを取り込むように構成できてしまうという可能性が存在していました。影響分析を実行したところ、この脆弱性は過去にも現在にも悪用されていることが確認されていません。この脆弱性は、2023 年 9 月 19 日より前の Google SecOps のすべてのバージョンに存在していました。必要な対策 2023 年 9 月 19 日時点で、Google SecOps はこの脆弱性に対処するように更新されています。お客様による対応は必要ありません。対処されている脆弱性 Google SecOps では以前は共有サービスアカウントを提供しており、お客様がバケットへのアクセス権を付与する用途に使われていました。複数のお客様が、同一の Google SecOps サービスアカウントへのアクセス権を各自のバケットに付与していたため、フィードが作成または変更されたときに、ひとつのお客様のフィードが別のお客様のバケットにアクセスできるという悪用ベクトルが存在していました。この悪用ベクトルには、バケット URI に関する知識が必要でした。現在、フィードの作成時または変更時には、Google SecOps はお客様ごとに一意のサービスアカウントを使用します。	高

重大度

メモ

2024 年 5 月 29 日更新: 新しいフィードでは共有サービスアカウントが使用されなくなりましたが、サービスが中断されないように、既存のフィードでは引き続き有効です。共有サービスアカウントの不正使用を防ぐため、古いフィード内のソースへの変更はブロックされます。顧客はソースを変更しない限り、古いフィードを引き続き使用できます。

お客様は、取り込みフィードを使用して、お客様所有の Cloud Storage バケットからデータを取り込むように Google SecOps を構成できます。Google SecOps では最近まで共有サービスアカウントを提供しており、お客様がバケットへのアクセス権を付与する用途に使われていました。ひとつのお客様の Google SecOps インスタンスが、別のお客様の Cloud Storage バケットからデータを取り込むように構成できてしまうという可能性が存在していました。影響分析を実行したところ、この脆弱性は過去にも現在にも悪用されていることが確認されていません。この脆弱性は、2023 年 9 月 19 日より前の Google SecOps のすべてのバージョンに存在していました。

必要な対策

2023 年 9 月 19 日時点で、Google SecOps はこの脆弱性に対処するように更新されています。お客様による対応は必要ありません。

対処されている脆弱性

Google SecOps では以前は共有サービスアカウントを提供しており、お客様がバケットへのアクセス権を付与する用途に使われていました。複数のお客様が、同一の Google SecOps サービスアカウントへのアクセス権を各自のバケットに付与していたため、フィードが作成または変更されたときに、ひとつのお客様のフィードが別のお客様のバケットにアクセスできるという悪用ベクトルが存在していました。この悪用ベクトルには、バケット URI に関する知識が必要でした。現在、フィードの作成時または変更時には、Google SecOps はお客様ごとに一意のサービスアカウントを使用します。

高