安全公告 | Google Security Operations

此页面由 Cloud Translation API 翻译。

本页面提供了与 Google Security Operations 相关的所有安全公告。

GCP-2023-028

发布日期 ：2023 年 9 月 19 日

说明

说明	严重级别	Notes
客户可以将 Google Security Operations 配置为使用注入 Feed 从客户拥有的 Cloud Storage 存储分区中注入数据。直到最近，Google Security Operations 都提供共享服务帐号，客户使用此账号授予对存储桶的权限。这时，客户的 Google Security Operations 实例可配置为从另一客户的 Cloud Storage 存储桶中注入数据。执行影响分析后，我们发现当前或之前没有利用此漏洞。2023 年 9 月 19 日之前的所有版本的 Google Security Operations 中都存在此漏洞。该怎么做？截至 2023 年 9 月 19 日，Google Security Operations 已进行更新，以解决此漏洞。客户无需采取任何行动。解决了哪些漏洞？之前，Google Security Operations 提供了一个共享服务帐号，客户可使用此账号向存储桶授予权限。由于不同的客户向同一个 Google Security Operations 服务帐号授予了其存储桶的权限，因此系统中存在利用漏洞，当创建或修改 Feed 时，该漏洞允许某个客户的 Feed 访问其他客户的存储桶。此利用途径要求知道存储桶 URI。现在，在创建或修改 Feed 的过程中，Google Security Operations 会为每个客户使用唯一的服务账号。	高

严重级别

Notes

客户可以将 Google Security Operations 配置为使用注入 Feed 从客户拥有的 Cloud Storage 存储分区中注入数据。直到最近，Google Security Operations 都提供共享服务帐号，客户使用此账号授予对存储桶的权限。这时，客户的 Google Security Operations 实例可配置为从另一客户的 Cloud Storage 存储桶中注入数据。执行影响分析后，我们发现当前或之前没有利用此漏洞。2023 年 9 月 19 日之前的所有版本的 Google Security Operations 中都存在此漏洞。

该怎么做？

截至 2023 年 9 月 19 日，Google Security Operations 已进行更新，以解决此漏洞。客户无需采取任何行动。

解决了哪些漏洞？

之前，Google Security Operations 提供了一个共享服务帐号，客户可使用此账号向存储桶授予权限。由于不同的客户向同一个 Google Security Operations 服务帐号授予了其存储桶的权限，因此系统中存在利用漏洞，当创建或修改 Feed 时，该漏洞允许某个客户的 Feed 访问其他客户的存储桶。此利用途径要求知道存储桶 URI。现在，在创建或修改 Feed 的过程中，Google Security Operations 会为每个客户使用唯一的服务账号。

高