Halaman ini menyediakan semua buletin keamanan yang terkait dengan Chronicle.
GCP-2023-028
Dipublikasikan: 19-09-2023
Deskripsi
| Deskripsi | Keparahan | Notes |
|---|---|---|
Pelanggan dapat mengonfigurasi Chronicle untuk menyerap data dari bucket Cloud Storage milik pelanggan menggunakan feed penyerapan. Hingga baru-baru ini, Chronicle menyediakan akun layanan bersama yang digunakan pelanggan untuk memberikan izin ke bucket. Terdapat peluang sedemikian rupa sehingga instance Chronicle milik satu pelanggan dapat dikonfigurasi untuk menyerap data dari bucket Cloud Storage pelanggan lain. Setelah melakukan analisis dampak, kami tidak menemukan adanya eksploitasi saat ini atau sebelumnya terhadap kerentanan ini. Kerentanan ini ada di semua versi Chronicle sebelum 19 September 2023. Apa yang sebaiknya saya lakukan? Mulai 19 September 2023, Chronicle telah diupdate untuk mengatasi kerentanan ini. Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan apa yang ditangani? Sebelumnya, Chronicle menyediakan akun layanan bersama yang digunakan pelanggan untuk memberikan izin ke bucket. Karena beberapa pelanggan memberikan izin akun layanan Chronicle yang sama ke bucket mereka, terdapat vektor eksploitasi yang memungkinkan feed satu pelanggan mengakses bucket pelanggan yang berbeda saat feed dibuat atau diubah. Vektor eksploitasi ini memerlukan pengetahuan tentang URI bucket. Saat ini, selama pembuatan atau perubahan feed, Chronicle menggunakan akun layanan unik untuk setiap pelanggan. |
Tinggi |