Boletins de segurança | Google Security Operations

Esta página foi traduzida pela API Cloud Translation.

Nesta página, você encontra todos os boletins de segurança relacionados às Operações de segurança do Google.

GCP-2023-028

Publicado : 19/09/2023

Atualizado : 29/05/2024

Descrição

Descrição	Gravidade	Observações
Atualização de 29/05/2024: os novos feeds não usam mais a conta de serviço compartilhada, mas ela permanece ativa nos feeds atuais para evitar interrupções no serviço. As alterações na origem em feeds mais antigos são bloqueadas para evitar o uso indevido da conta de serviço compartilhada. Os clientes podem continuar usando os feeds antigos normalmente, desde que não alterem a origem. Os clientes podem configurar o Google SecOps para ingerir dados de buckets do Cloud Storage de propriedade do cliente usando um feed de ingestão. Até recentemente, o Google SecOps fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão ao bucket. Havia uma oportunidade para que a instância do Google SecOps de um cliente pudesse ser configurada para ingerir dados do bucket do Cloud Storage de outro cliente. Após realizar uma análise de impacto, não encontramos exploração atual ou anterior dessa vulnerabilidade. Essa vulnerabilidade já estava presente em todas as versões do Google SecOps anteriores a 19 de setembro de 2023. O que fazer? Desde 19 de setembro de 2023, o Google SecOps foi atualizado para resolver essa vulnerabilidade. Nenhuma ação do cliente é necessária. Quais vulnerabilidades estão sendo resolvidas? Antes, o Google SecOps fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão a um bucket. Como diferentes clientes deram permissão para o bucket com a mesma conta de serviço do Google SecOps, existia um vetor de exploração que permitia que o feed de um cliente acessasse o bucket de outro cliente durante a criação ou modificação de um feed. Esse vetor de exploração exigiu conhecimento do URI do bucket. Agora, durante a criação ou modificação de feeds, o Google SecOps usa contas de serviço exclusivas para cada cliente.	Alto

Gravidade

Observações

Atualização de 29/05/2024: os novos feeds não usam mais a conta de serviço compartilhada, mas ela permanece ativa nos feeds atuais para evitar interrupções no serviço. As alterações na origem em feeds mais antigos são bloqueadas para evitar o uso indevido da conta de serviço compartilhada. Os clientes podem continuar usando os feeds antigos normalmente, desde que não alterem a origem.

Os clientes podem configurar o Google SecOps para ingerir dados de buckets do Cloud Storage de propriedade do cliente usando um feed de ingestão. Até recentemente, o Google SecOps fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão ao bucket. Havia uma oportunidade para que a instância do Google SecOps de um cliente pudesse ser configurada para ingerir dados do bucket do Cloud Storage de outro cliente. Após realizar uma análise de impacto, não encontramos exploração atual ou anterior dessa vulnerabilidade. Essa vulnerabilidade já estava presente em todas as versões do Google SecOps anteriores a 19 de setembro de 2023.

O que fazer?

Desde 19 de setembro de 2023, o Google SecOps foi atualizado para resolver essa vulnerabilidade. Nenhuma ação do cliente é necessária.

Quais vulnerabilidades estão sendo resolvidas?

Antes, o Google SecOps fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão a um bucket. Como diferentes clientes deram permissão para o bucket com a mesma conta de serviço do Google SecOps, existia um vetor de exploração que permitia que o feed de um cliente acessasse o bucket de outro cliente durante a criação ou modificação de um feed. Esse vetor de exploração exigiu conhecimento do URI do bucket. Agora, durante a criação ou modificação de feeds, o Google SecOps usa contas de serviço exclusivas para cada cliente.

Alto