Potremmo pubblicare periodicamente dei bollettini sulla sicurezza relativi a Compute Engine. Di seguito vengono descritti tutti i bollettini di sicurezza per Compute Engine.
Iscriviti ai bollettini di sicurezza per Compute Engine.
Data di pubblicazione: 18-06-2019
Ultimo aggiornamento: 25-06-2019 alle ore 6:30 PST
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneNetflix ha recentemente divulgato tre vulnerabilità TCP nei kernel Linux: Questi CVE vengono denominati collettivamente NFLX-2019-001. Impatto di Compute EngineL'infrastruttura che ospita Compute Engine è protetta da questa vulnerabilità. Le VM di Compute Engine che eseguono sistemi operativi Linux privi di patch e inviano/ricevono traffico di rete non attendibile sono vulnerabili a questo attacco DoS. Consigliamo di aggiornare le istanze VM appena saranno disponibili le patch per i sistemi operativi corrispondenti. Ai bilanciatori del carico che terminano le connessioni TCP sono state applicate patch contro questa vulnerabilità. Le istanze di Compute Engine che ricevono traffico non attendibile solo attraverso questi bilanciatori del carico non sono vulnerabili. Ciò include i bilanciatori del carico HTTP, del proxy SSL e del proxy TCP. I bilanciatori del carico di rete e i bilanciatori del carico interni non terminano le connessioni TCP. Le istanze di Compute Engine prive di patch che ricevono traffico non attendibile attraverso questi bilanciatori del carico sono vulnerabili. Immagini con patch e risorse del fornitoreForniremo qui i link alle informazioni sulle patch di ciascun fornitore del sistema operativo appena saranno disponibili, incluso lo stato dei singoli CVE. Le versioni precedenti di queste immagini pubbliche non contengono queste patch e non sono in grado di mitigare i potenziali attacchi:
|
Media |
Data di pubblicazione: 14-05-2019
Ultimo aggiornamento: 20-05-2019 alle ore 17.00 PST
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneIntel ha divulgato i seguenti CVE: Questi CVE vengono denominati collettivamente Microarchitectural Data Sampling (MDS). Queste vulnerabilità possono determinare un'esposizione dei dati attraverso l'interazione dell'esecuzione speculativa con lo stato della microarchitettura. Impatto di Compute EngineL'infrastruttura host che esegue Compute Engine isola i carichi di lavoro dei clienti l'uno dall'altro. A meno che tu non esegua codice non attendibile all'interno delle VM, non sono necessarie altre azioni. I clienti che eseguono codice non attendibile nei propri servizi multi-tenant all'interno delle macchine virtuali Compute Engine possono fare riferimento alla mitigazione consigliata dal fornitore del sistema operativo guest, che potrebbe includere l'utilizzo delle funzionalità di mitigazione del microcodice Intel. Abbiamo eseguito il deployment dell'accesso pass-through guest alla nuova funzionalità di svuotamento. Di seguito è riportato un riepilogo delle procedure di mitigazione per le immagini guest più comuni. Immagini con patch e risorse del fornitoreForniremo qui i link alle informazioni sulle patch fornite dal fornitore di ciascun sistema operativo non appena saranno disponibili, con lo stato di ciascun CVE. Tali immagini possono essere utilizzate per ricreare le istanze VM. Le versioni precedenti di queste immagini pubbliche non contengono queste patch e non sono in grado di mitigare i potenziali attacchi:
Container-Optimized OSSe utilizzi Container Optimized OS (COS) come sistema operativo guest ed esegui carichi di lavoro multi-tenant non attendibili nella tua macchina virtuale, ti consigliamo di:
|
Media |
Data di pubblicazione: 14-08-2018
Ultimo aggiornamento: 20-08-2018 alle ore 17.00 PST
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneIntel ha divulgato i seguenti CVE:
Questi CVE vengono denominati collettivamente "L1 Terminal Fault (L1TF)". Queste vulnerabilità L1TF sfruttano l'esecuzione speculativa attaccando la configurazione delle strutture di dati a livello di processore. "L1" si riferisce alla cache dei dati di livello 1 (L1D), una piccola risorsa on-core utilizzata per accelerare l'accesso alla memoria. Leggi il post del blog di Google Cloud per ulteriori dettagli su queste vulnerabilità e sulle mitigazioni di Compute Engine. Impatto di Compute EngineL'infrastruttura host che esegue Compute Engine e isola i carichi di lavoro dei clienti l'uno dall'altro è protetta dagli attacchi noti. I clienti di Compute Engine sono incoraggiati ad aggiornare le loro immagini per evitare il possibile sfruttamento indiretto di questa vulnerabilità all'interno dei loro ambienti guest. Ciò è particolarmente importante per i clienti che eseguono i propri servizi multi-tenant su macchine virtuali Compute Engine. Per aggiornare i sistemi operativi guest sulle loro istanze, i clienti di Google Compute Engine possono:
Immagini con patch e risorse del fornitoreForniremo qui i link alle informazioni sulle patch di ciascun fornitore del sistema operativo non appena saranno disponibili, con lo stato di entrambi i CVE. Utilizza queste immagini per ricreare le istanze VM. Le versioni precedenti di queste immagini pubbliche non contengono queste patch e non mitigano i potenziali attacchi:
|
Alta |
Data di pubblicazione: 06-08-2018
Ultimo aggiornamento: 05-09-2018 alle ore 17.00 PST
| Descrizione | Gravità | Note |
|---|---|---|
Aggiornamento 05-09-2018Il CVE-2018-5391 è stato divulgato il 14-08-2018 da US-CERT. Come per il CVE-2018-5390, si tratta di una vulnerabilità di rete a livello di kernel che aumenta l'efficacia degli attacchi DoS (Denial of Service) contro i sistemi vulnerabili. La principale differenza è che il CVE-2018-5391 è sfruttabile sulle connessioni IP. Abbiamo aggiornato questo bollettino per coprire entrambe le vulnerabilità. DescrizioneIl CVE-2018-5390 ("SegmentSmack") descrive una vulnerabilità di rete a livello di kernel che aumenta l'efficacia degli attacchi DoS (Denial of Service) contro i sistemi vulnerabili tramite le connessioni TCP. Il CVE-2018-5391 ("FragmentSmack") descrive una vulnerabilità di rete a livello di kernel che aumenta l'efficacia degli attacchi DoS (Denial of Service) contro i sistemi vulnerabili tramite le connessioni IP. Impatto di Compute EngineL'infrastruttura host che esegue le VM di Compute Engine non è a rischio. L'infrastruttura di rete che gestisce il traffico verso e dalle VM di Compute Engine è protetta da questa vulnerabilità. Le VM di Compute Engine che inviano/ricevono traffico di rete non attendibile solo tramite bilanciatori del carico HTTP(S), SSL o TCP sono protette da questa vulnerabilità. Le VM di Compute Engine che eseguono sistemi operativi privi di patch che inviano/ricevono traffico di rete non attendibile direttamente o tramite bilanciatori del carico di rete sono vulnerabili a questo attacco DoS. Valuta la possibilità di aggiornare le istanze VM non appena sono disponibili patch per i rispettivi sistemi operativi. Per aggiornare i sistemi operativi guest sulle loro istanze, i clienti di Compute Engine possono:
Immagini con patch e risorse del fornitoreForniremo qui i link alle informazioni relative alle patch di ciascun fornitore del sistema operativo non appena saranno disponibili.
|
Alta |
Data di pubblicazione: 03-01-2018
Ultimo aggiornamento: 21-05-2018 alle ore 15.00 PST
| Descrizione | Gravità | Note |
|---|---|---|
Aggiornamento 21-05-2018Il CVE-2018-3640 e il CVE-2018-3639, rispettivamente varianti 3a e 4, sono stati divulgati da Intel. Come per le prime tre varianti di Spectre e Meltdown, l'infrastruttura che esegue le istanze VM di Compute Engine è protetta e le istanze VM dei clienti sono isolate e protette l'una dall'altra. Inoltre, Compute Engine prevede il deployment delle patch di microcodice Intel nella nostra infrastruttura, che consentirà ai clienti che eseguono carichi di lavoro multi-tenant o non attendibili all'interno di una singola istanza VM di attivare ulteriori mitigazioni interne alla VM quando fornite dai provider e dai fornitori di sistemi operativi. Compute Engine eseguirà il deployment delle patch di microcodice dopo che Intel le avrà certificate e dopo che Compute Engine avrà verificato e qualificato le patch per il nostro ambiente di produzione. Forniremo tempistiche e aggiornamenti più dettagliati su questa pagina non appena saranno disponibili. DescrizioneQuesti CVE sono varianti di una nuova classe di attacchi che sfruttano la tecnologia di esecuzione speculativa disponibile in molti processori. Questa classe di attacchi può consentire l'accesso non autorizzato in sola lettura ai dati in memoria in varie circostanze. Compute Engine ha utilizzato la tecnologia di migrazione live delle VM per eseguire aggiornamenti del sistema host e dell'hypervisor senza impatto sull'utente, senza finestre di manutenzione forzata e senza riavvii di massa. Tuttavia, a tutti i sistemi operativi guest e a tutte le versioni devono essere applicate patch di protezione da questa nuova classe di attacchi, indipendentemente dalla posizione di esecuzione di questi sistemi. Per i dettagli tecnici completi su questo metodo di attacco, leggi il post del blog di Project Zero. Per i dettagli completi sulle misure di mitigazione di Google, incluse tutte le informazioni specifiche del prodotto, leggi il post del blog di Google Security. Impatto di Compute EngineL'infrastruttura che esegue Compute Engine e isola le istanze VM dei clienti l'una dall'altra è protetta dagli attacchi noti. Le nostre mitigazioni impediscono l'accesso non autorizzato ai nostri sistemi host da applicazioni eseguite all'interno di istanze VM. Queste mitigazioni impediscono anche l'accesso non autorizzato tra istanze VM in esecuzione sullo stesso sistema host. Per impedire l'accesso non autorizzato all'interno delle istanze di macchine virtuali, devi aggiornare i sistemi operativi guest in tali istanze utilizzando una delle seguenti opzioni:
Immagini con patch e risorse del fornitoreNota: le immagini con patch potrebbero non includere le correzioni per tutti i CVE elencati in questo bollettino sulla sicurezza. Inoltre, immagini diverse potrebbero includere metodi diversi per impedire questi tipi di attacchi. Rivolgiti al fornitore del sistema operativo per verificare quali CVE vengono risolti dalle sue patch e quali metodi di prevenzione vengono utilizzati.
Utilizza queste immagini per ricreare le istanze VM. Le versioni precedenti di queste immagini pubbliche non contengono queste patch e non mitigano i potenziali attacchi. Patch dei fornitori di hardwareNVIDIA fornisce driver con patch per mitigare i potenziali attacchi contro i sistemi su cui è installato il software dei driver NVIDIA®. Per sapere a quali versioni dei driver sono state applicate le patch, leggi il bollettino sulla sicurezza di NVIDIA relativo agli aggiornamenti di sicurezza per i driver video delle GPU NVIDIA. Cronologia delle revisioni:
|
Alta |
Data di pubblicazione: 02-10-2017
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneDnsmasq fornisce la funzionalità per gestire DNS, DHCP, annunci di router e avvio di rete. Questo software è installato comunemente in sistemi di vario tipo, tra cui distribuzioni desktop Linux (come Ubuntu), router domestici e dispositivi IoT. Dnsmasq è ampiamente utilizzato sia sull'Internet pubblico sia internamente nelle reti private. Google ha rilevato sette problemi diversi nel corso delle normali valutazioni della propria sicurezza interna. Dopo aver stabilito la gravità di questi problemi, abbiamo cercato di analizzarne l'impatto e la sfruttabilità, per poi generare una serie di proof of concept interni per ciascuno di essi. Abbiamo inoltre lavorato con il gestore di Dnsmasq, Simon Kelly, per produrre le patch adeguate e limitare l'impatto del problema. Durante la revisione, il nostro team ha riscontrato tre possibili esecuzioni di codice remoto, una perdita di informazioni e tre vulnerabilità di tipo Denial of Service che interessano la versione più recente nel server Git di progetto al 5 settembre 2017. Queste patch sono propagate a monte e sono confermate nel repository Git del progetto. Impatto di Compute EnginePer impostazione predefinita, Dnsmasq è installato solo nelle immagini che utilizzano NetworkManager e non è attivo. Dnsmasq è installato nelle seguenti immagini pubbliche di Compute Engine:
Tuttavia, Dnsmasq potrebbe essere installato su altre immagini come dipendenza per altri pacchetti. Ti consigliamo di aggiornare le istanze Debian, Ubuntu, CentOS, RHEL, SLES e OpenSuse in modo da utilizzare l'immagine più recente del sistema operativo. CoreOS e Container-Optimized OS non sono interessati, così come le immagini Windows. Per le istanze che utilizzano Debian e Ubuntu puoi effettuare un aggiornamento eseguendo nell'istanza i seguenti comandi: sudo apt-get -y update sudo apt-get -y dist-upgrade Esegui il comando seguente per le istanze Red Hat Enterprise Linux e CentOS: sudo yum -y upgrade Esegui il comando seguente per le immagini SLES e OpenSUSE: sudo zypper up In alternativa all'esecuzione dei comandi di aggiornamento manuale, puoi ricreare le istanze VM utilizzando le famiglie di immagini del rispettivo sistema operativo. |
Alta |
Data di pubblicazione: 26-10-2016
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneLa vulnerabilità CVE-2016-5195 è legata a una race condition relativa alla modalità con cui il sottosistema della memoria del kernel Linux ha gestito la violazione da parte di utenti non autorizzati dei mapping privati di sola lettura sfruttando il meccanismo di copy-on-write (COW) al momento dell'accesso in scrittura. Un utente locale non privilegiato potrebbe sfruttare questa falla per accedere in scrittura a mapping di memoria di sola lettura, con conseguente aumento dei propri privilegi sul sistema. Per ulteriori informazioni, consulta le domande frequenti sulla vulnerabilità Dirty COW. Impatto di Compute EngineSono interessate tutte le distribuzioni e le versioni di Linux su Compute Engine. La maggior parte delle istanze scarica e installa automaticamente un kernel più recente. Tuttavia, è necessario riavviare il sistema per potervi applicare una patch. Nelle istanze nuove o ricreate che si basano sulle seguenti immagini Compute Engine sono già installati i kernel con patch applicata.
|
Alta | CVE-2016-5195 |
Data di pubblicazione: 16-02-2016
Ultimo aggiornamento: 22-02-2016
| Descrizione | Gravità | Note |
|---|---|---|
Descrizione
La vulnerabilità CVE-2015-7547 riguarda il resolver lato client del DNS glibc, che rende il software vulnerabile al sovraccarico del buffer basato su stack quando si utilizza la funzione di libreria Per ulteriori dettagli, consulta il blog sulla sicurezza online di Google o il database delle vulnerabilità ed esposizioni comuni (CVE). Impatto di Compute EngineAggiornamento (22-02-2016): Adesso puoi ricreare le istanze utilizzando le seguenti immagini CoreOS, SLES e OpenSUSE:
Aggiornamento (17-02-2016): Adesso puoi aggiornare le istanze Ubuntu 12.04 LTS, Ubuntu 14.04 LTS e Ubuntu 15.10 eseguendo i seguenti comandi:
In alternativa all'esecuzione dei comandi di aggiornamento manuale, adesso puoi ricreare le istanze con le nuove immagini seguenti:
Non conosciamo metodi che possono sfruttare questa vulnerabilità attraverso i resolver DNS di Compute Engine con la configurazione glibc predefinita. Conviene tuttavia applicare il prima possibile una patch alle istanze di macchine virtuali poiché, come accade con qualsiasi nuova vulnerabilità, nel corso del tempo potrebbero essere scoperti nuovi metodi di attacco. Se hai abilitato edns0 (che è disabilitato per impostazione predefinita), devi disabilitarlo finché alle istanze non viene applicata la patch. Bollettino originale: La distribuzione Linux potrebbe essere vulnerabile. Per eliminare questa vulnerabilità, i clienti di Compute Engine dovranno aggiornare le immagini di sistema operativo delle proprie istanze se utilizzano un sistema operativo Linux. Per le istanze che utilizzano Debian puoi effettuare un aggiornamento eseguendo nell'istanza i seguenti comandi:
Ti consigliamo anche di installare UnattendedUpgrades per le istanze Debian. Per le istanze Red Hat Enterprise Linux:
Continueremo ad aggiornare questo bollettino man mano che altri gestori di sistema operativo pubblicano le patch per questa vulnerabilità e Compute Engine rilascia immagini aggiornate di sistema operativo. |
Alta | CVE-2015-7547 |
Data di pubblicazione: 19-03-2015
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneLa vulnerabilità CVE-2015-1427 riguarda il motore di script Groovy in Elasticsearch (prima della versione 1.3.8 e qualsiasi versione 1.4.x prima della 1.4.3), che consente a utenti malintenzionati remoti di aggirare il meccanismo di protezione sandbox ed eseguire comandi di shell arbitrari. Per ulteriori dettagli, consulta il National Vulnerability Database (NVD) o il database delle vulnerabilità ed esposizioni comuni (CVE). Impatto di Compute EngineSe esegui Elasticsearch sulle istanze Compute Engine, ti conviene eseguire l'upgrade a Elasticsearch versione 1.4.3 o successiva. Se hai già eseguito l'upgrade del software Elasticsearch, il tuo sistema è protetto da questa vulnerabilità. Se non hai effettuato l'upgrade a Elasticsearch 1.4.3 o versioni successive, puoi eseguire un upgrade in sequenza. Se hai eseguito il deployment di Elasticsearch mediante la funzionalità Click-to-deploy della console di Google Cloud Platform, puoi eliminare il deployment per rimuovere le istanze che eseguono Elasticsearch. Il team di Google Cloud Platform sta cercando una soluzione per eseguire il deployment di una versione aggiornata di Elasticsearch. Tuttavia, non è ancora disponibile una soluzione per la funzionalità Click-to-deploy della console di GCP. |
Alta | CVE-2015-1427 |
Data di pubblicazione: 29-01-2015
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneLa vulnerabilità CVE-2015-0235 (Ghost) riguarda la libreria glibc. I clienti di App Engine, Cloud Storage, BigQuery e CloudSQL non devono effettuare alcuna azione. I server di Google sono stati aggiornati e sono protetti da questa vulnerabilità. I clienti di Compute Engine potrebbero dover aggiornare le proprie immagini di sistema operativo. Impatto di Compute EngineLa distribuzione Linux potrebbe essere vulnerabile. Per eliminare questa vulnerabilità, i clienti di Compute Engine dovranno aggiornare le immagini di sistema operativo delle proprie istanze se eseguono Debian 7, backport di Debian 7, Ubuntu 12.04 LTS, Red Hat Enterprise Linux, CentOS o SUSE Linux Enterprise Server 11 SP3. Questa vulnerabilità non interessa Ubuntu 14.04 LTS, Ubuntu 14.10 o SUSE Linux Enterprise Server 12. Ti consigliamo di eseguire l'upgrade delle tue distribuzioni Linux. Per le istanze che utilizzano Debian 7, backport di Debian 7 o Ubuntu 12.04 LTS, puoi effettuare un aggiornamento eseguendo nell'istanza i seguenti comandi:
Per le istanze Red Hat Enterprise Linux o CentOS:
Per le istanze SUSE Linux Enterprise Server 11 SP3:
In alternativa all'esecuzione dei comandi di aggiornamento manuale riportati in precedenza, adesso gli utenti possono ricreare le istanze con le nuove immagini seguenti:
Impatto sulle VM gestite di GoogleGli utenti delle VM gestite che utilizzano |
Alta | CVE-2015-0235 |
Data di pubblicazione: 15-10-2014
Ultimo aggiornamento: 17-10-2014
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneLa vulnerabilità CVE-2014-3566 (detta anche POODLE) riguarda la progettazione di SSL versione 3.0. Questa vulnerabilità consente a un utente malintenzionato che opera in rete di calcolare il testo non crittografato delle connessioni sicure. Per i dettagli, consulta il nostro post del blog sulla vulnerabilità. I clienti di App Engine, Cloud Storage, BigQuery e CloudSQL non devono effettuare alcuna azione. I server di Google sono stati aggiornati e sono protetti da questa vulnerabilità. I clienti di Compute Engine devono aggiornare le proprie immagini di sistema operativo. Impatto di Compute EngineAggiornamento (17-10-2014): La vulnerabilità potrebbe riguardarti se utilizzi SSLv3. Per eliminare questa vulnerabilità, i clienti di Compute Engine dovranno aggiornare le immagini di sistema operativo delle proprie istanze. Ti consigliamo di eseguire l'upgrade delle tue distribuzioni Linux. Per le istanze che utilizzano Debian puoi effettuare un aggiornamento eseguendo nell'istanza i seguenti comandi: user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot Per le istanze CentOS: user@my-instance:~$ sudo yum -y upgrade user@my-instance:~$ sudo reboot In alternativa all'esecuzione dei comandi di aggiornamento manuale in alto, adesso gli utenti possono ricreare le istanze con le nuove immagini seguenti:
Aggiorneremo il bollettino per le immagini RHEL e SLES quando avremo a disposizione le immagini. Nel frattempo, gli utenti RHEL possono contattare direttamente Red Hat per ulteriori informazioni. Bollettino originale: Per eliminare questa vulnerabilità, i clienti di Compute Engine dovranno aggiornare le immagini di sistema operativo delle proprie istanze. Aggiorneremo questo bollettino di sicurezza con le istruzioni non appena saranno disponibili nuove immagini di sistema operativo. |
Media | CVE-2014-3566 |
Data di pubblicazione: 24-09-2014
Ultimo aggiornamento: 29-09-2014
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneIn Bash esiste un bug (CVE-2014-6271) che consente l'esecuzione di codice remoto sulla base dell'analisi di qualsiasi variabile di ambiente controllata da un utente malintenzionato. Il vettore più probabile di sfruttamento di questa vulnerabilità è rappresentato da richieste HTTP dannose inviate a script CGI esposti su un server web. Per ulteriori informazioni, consulta la descrizione del bug. I bug di Bash sono stati limitati per i prodotti Google Cloud Platform, ad eccezione delle immagini di sistema operativo guest Compute Engine precedenti al 26-09-2014. Di seguito sono riportati i passaggi per limitare i bug delle immagini di Compute Engine. Impatto di Compute Engine
Questo bug potrebbe interessare praticamente tutti i siti web che utilizzano script CGI. Inoltre, è probabile che interessi quelli che utilizzano PHP, Perl, Python, SSI, Java, C++ e servlet simili che non eseguono mai comandi di shell tramite chiamate come
Aggiornamento (29-09-2014): In alternativa all'esecuzione dei comandi di aggiornamento manuale riportati di seguito, gli utenti adesso possono ricreare le proprie istanze con immagini che mitigano l'impatto di altre vulnerabilità relative al bug sulla sicurezza di Bash, tra cui: CVE-2014-7169, CVE-2014-6277, CVE-2014-6278, CVE-2014-7186 e CVE-2014-7187. Utilizza le nuove immagini seguenti per ricreare le istanze:
Aggiornamento (25-09-2014): Adesso gli utenti possono scegliere di ricreare le proprie istanze invece di eseguire un aggiornamento manuale. Per ricreare le istanze, utilizza le nuove immagini seguenti che contengono le correzioni per questo bug sulla sicurezza:
Per le immagini RHEL e SUSE puoi anche effettuare manualmente gli aggiornamenti eseguendo sulle istanze i comandi seguenti: # RHEL instances user@my-instance:~$ sudo yum -y upgrade # SUSE instances user@my-instance:~$ sudo zypper --non-interactive up Bollettino originale: Ti consigliamo di eseguire l'upgrade delle tue distribuzioni Linux. Per le istanze che utilizzano Debian puoi effettuare un aggiornamento eseguendo nell'istanza i comandi seguenti: user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade Per le istanze CentOS: user@my-instance:~$ sudo yum -y upgrade Per informazioni dettagliate, consulta l'annuncio per la rispettiva distribuzione Linux:
|
Alta | CVE-2014-7169, CVE-2014-6271, CVE-2014-6277, CVE-2014-6278 CVE-2014-7186, CVE-2014-7187 |
Data di pubblicazione: 25-07-2014
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneElasticsearch Logstash è vulnerabile ad attacchi di tipo command injection sul sistema operativo che possono causare modifiche non autorizzate e divulgazione dei dati. Un utente malintenzionato può inviare eventi generati appositamente a qualsiasi origine dati di Logstash in modo da eseguire comandi con le autorizzazioni del processo Logstash. Impatto di Compute EngineQuesta vulnerabilità influisce su tutte le istanze Compute Engine che eseguono versioni di Elasticsearch Logstash precedenti alla 1.4.2 in cui sono abilitati gli output zabbix o nagios_nsca. Per impedire gli attacchi, puoi:
Consulta il blog di Logstash per ulteriori informazioni. Elasticsearch consiglia anche di utilizzare un firewall per impedire l'accesso remoto da IP non attendibili. |
Alta | CVE-2014-4326 |
Data di pubblicazione: 18-06-2014
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneVogliamo dedicare qualche minuto alla risposta a eventuali dubbi da parte dei clienti circa la sicurezza dei container Docker eseguiti su Google Cloud Platform. Sono inclusi i clienti che utilizzano le nostre estensioni Google App Engine a supporto di container Docker, macchine virtuali ottimizzate per i container o scheduler di Kubernetes open source. Docker ha lavorato egregiamente per risolvere il problema e puoi leggere qui la risposta nel suo blog. Tieni presente che, come viene detto nella risposta, il problema interessa solo Docker 0.11 e una versione precedente di pre-produzione. Mentre il mondo sta pensando alla sicurezza dei container, vorremmo sottolineare che in Google Cloud Platform, le soluzioni basate su container di applicazioni Linux (in particolare i container Docker) funzionano su macchine virtuali complete (Compute Engine). Pur supportando gli sforzi della community Docker per rafforzare la protezione dello stack di container per applicazioni Linux, ci rendiamo conto che si tratta di una tecnologia nuova con una superficie di attacco molto ampia. Siamo convinti che, per ora, gli hypervisor completi (macchine virtuali) hanno una superficie di attacco più compatta e difendibile. Le macchine virtuali sono state progettate sin dall'inizio per isolare i carichi di lavoro dannosi e ridurre al minimo la probabilità e l'impatto di un bug del codice. I nostri clienti possono essere sicuri che esiste la "barriera" tra di un hypervisor completo tra loro e il codice potenzialmente dannoso di terze parti. Se dovessimo giungere alla conclusione che lo stack di container per applicazioni Linux è abbastanza solido da supportare carichi di lavoro multi-tenant, lo faremo sapere alla community. Per ora, i container per applicazioni Linux non sostituiscono le macchine virtuali. È un modo per ottenere molto di più. |
Bassa | Post del blog di Docker |
Data di pubblicazione: 05-06-2014
Ultimo aggiornamento: 09-06-2014
| Descrizione | Gravità | Note |
|---|---|---|
Descrizione
OpenSSL ha un problema per il quale i messaggi Questo problema è identificato come CVE-2014-0224. Il team OpenSSL ha risolto il problema e ha avvisato la community OpenSSL di aggiornare OpenSSL. Impatto di Compute EngineQuesta vulnerabilità interessa tutte le istanze di Compute Engine che utilizzano OpenSSL, inclusi Debian, CentOS, Red Hat Enterprise Linux e SUSE Linux Enterprise Server. Puoi aggiornare le istanze ricreandole con nuove immagini oppure aggiornando manualmente i pacchetti nelle istanze. Aggiornamento (09-06-2014): per aggiornare con nuove immagini le istanze che eseguono SUSE Linux Enterprise Server, ricreale utilizzando le immagini con le versioni indicate di seguito o successive:
Post originale: Per aggiornare le istanze Debian e CentOS mediante nuove immagini, ricreale utilizzando le immagini con le versioni indicate di seguito o successive:
Per aggiornare manualmente OpenSSL sulle istanze, esegui i comandi riportati di seguito per aggiornare i pacchetti appropriati. Per le istanze che utilizzano CentOS e RHEL, puoi aggiornare OpenSSL eseguendo nell'istanza i comandi seguenti: user@my-instance:~$ sudo yum -y update user@my-instance:~$ sudo reboot Per le istanze che utilizzano Debian, puoi aggiornare OpenSSL eseguendo nell'istanza i comandi seguenti: user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot Per le istanze che utilizzano SUSE Linux Enterprise Server, puoi assicurarti che OpenSSL sia aggiornato eseguendo nell'istanza i comandi seguenti: user@my-instance:~$ sudo zypper --non-interactive up user@my-instance:~$ sudo reboot |
Media | CVE-2014-0224 |
Data di pubblicazione: 08-04-2014
| Descrizione | Gravità | Note |
|---|---|---|
Descrizione
Le implementazioni (1) TLS e (2) DTLS in OpenSSL 1.0.1 prima di
1.0.1g non gestiscono correttamente i pacchetti Heartbeat Extension, il che
consente a un utente malintenzionato di ottenere in remoto informazioni sensibili dalla
memoria del processo mediante pacchetti creati appositamente che attivano una sovralettura del buffer,
come dimostrato dalla lettura delle chiavi private, relativamente a
Impatto di Compute EngineQuesta vulnerabilità interessa tutte le istanze Compute Engine Debian, RHEL e CentOS in cui non è installata la versione più aggiornata di OpenSSL. Puoi aggiornare le istanze ricreandole con nuove immagini oppure aggiornando manualmente i pacchetti nelle istanze. Per aggiornare le istanze mediante nuove immagini, ricreale utilizzando le immagini con le versioni indicate di seguito o successive:
Per aggiornare manualmente OpenSSL sulle istanze, esegui i comandi riportati di seguito per aggiornare i pacchetti appropriati. Per le istanze che utilizzano CentOS e RHEL, puoi assicurarti che OpenSSL sia aggiornato eseguendo nell'istanza i comandi seguenti: user@my-instance:~$ sudo yum update user@my-instance:~$ sudo reboot Per le istanze che utilizzano Debian, puoi aggiornare OpenSSL eseguendo nell'istanza i comandi seguenti: user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get upgrade user@my-instance:~$ sudo reboot Le istanze che utilizzano SUSE Linux non sono interessate. Aggiornamento del 14 aprile 2014: alla luce di un nuovo studio sull'estrazione delle chiavi mediante il bug Heartbleed, ai clienti di Compute Engine viene consigliato di creare nuove chiavi per tutti i servizi SSL interessati. |
Media | CVE-2014-0160 |
Data di pubblicazione: 07-06-2013
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneNota: questa vulnerabilità riguarda solo i kernel, che sono stati resi obsoleti e sono stati rimossi a partire dalla versione v1 dell'API.
La vulnerabilità di stringa di formato nella funzione Impatto di Compute Engine
Questa vulnerabilità riguarda tutti i kernel Compute Engine precedenti alla versione Per sapere quale versione kernel è utilizzata dall'istanza:
|
Media | CVE-2013-2852 |
Data di pubblicazione: 07-06-2013
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneNota: questa vulnerabilità riguarda solo i kernel, che sono stati resi obsoleti e sono stati rimossi a partire dalla versione v1 dell'API.
La vulnerabilità di stringa di formato nella funzione register_disk in Impatto di Compute Engine
Questa vulnerabilità riguarda tutti i kernel Compute Engine precedenti alla versione Per sapere quale versione kernel è utilizzata dall'istanza:
|
Media | CVE-2013-2851 |
Data di pubblicazione: 14-05-2013
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneNota: questa vulnerabilità riguarda solo i kernel, che sono stati resi obsoleti e sono stati rimossi a partire dalla versione v1 dell'API.
La funzione perf_swevent_init in Impatto di Compute Engine
Questa vulnerabilità riguarda tutti i kernel Compute Engine precedenti alla versione Per sapere quale versione kernel è utilizzata dall'istanza:
|
Alta | CVE-2013-2094 |
Data di pubblicazione: 18-02-2013
| Descrizione | Gravità | Note |
|---|---|---|
DescrizioneNota: questa vulnerabilità riguarda solo i kernel, che sono stati resi obsoleti e sono stati rimossi a partire dalla versione v1 dell'API.
La race condition nella funzionalità ptrace del kernel Linux prima della versione
3.7.5 consente agli utenti locali di ottenere privilegi mediante una chiamata di sistema Impatto di Compute Engine
Questa vulnerabilità riguarda tutti i kernel Compute Engine
Per sapere quale versione kernel è utilizzata dall'istanza:
|
Media | CVE-2013-0871 |