安全性公告

以下說明與 Google Migrate to Virtual Machines 5.0 相關的所有安全性公告。

如要接收最新的安全性公告，請執行下列任一操作：

  • 將本頁面的網址加入動態饋給閱讀器。
  • 直接將動態消息網址新增至動態消息閱讀器：https://cloud.google.com/migrate-to-virtual-machines-security-bulletins.xml

GCP-2024-040

發布日期：2024-07-10
說明 嚴重性 附註

Migrate Connector 是用於將 VMware 來源連結至 Migrate to Virtual Machines 的虛擬設備，但它會暴露 OpenSSH Daemon(SSHD) 的安全性漏洞 (CVE-2024-6387)。

該怎麼辦？

為緩解這個問題，我們已發布 Migrate Connector 2.6.2497 版，並正在逐步推出。如要套用這項設定，請前往 Google Cloud 控制台的「Migrate to Virtual Machines」(遷移至虛擬機器) 頁面。來源裝置有可用的更新時，您會看到橫幅，上面顯示「您的來源有可用的更新」。核准更新，以便在 Migrate Connector 上啟動版本更新。 詳情請參閱「修改 Migrate 連接器設定」。

如要立即降低風險，請使用下列任一選項：

  1. 登入 Migrate Connector，然後執行下列指令：
    sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config
     或

    手動編輯 /etc/ssh/sshd_config，取消註解 LoginGraceTime 的項目，並將其值設為 0。
  2. 執行下列指令重新啟動 SSHD：
    sudo systemctl restart ssh

解決了哪些安全漏洞？

我們最近在 OpenSSH 中發現一個遠端程式碼執行漏洞 CVE-2024-6387。這個安全漏洞會利用競爭狀態，取得遠端殼層的存取權，讓攻擊者取得 root 存取權。在本公告發布時，我們認為這項漏洞難以遭到濫用，且每台遭到攻擊的機器都需要花費數小時才能攻破。我們並未發現任何濫用行為。

 重大 CVE-2024-6387