Sicherheitsbulletins

Auf dieser Seite werden alle Sicherheitsbulletins zu Cloud SQL beschrieben.

Führen Sie einen der folgenden Schritte aus, um die neuesten Sicherheitsbulletins zu erhalten:

Fügen Sie Ihrem Feedreader die URL dieser Seite hinzu.

Fügen Sie die folgende Feed-URL direkt Ihrem Feedreader hinzu:

https://cloud.google.com/feeds/cloud-sql-security-bulletins.xml

GCP-2023-007

Veröffentlicht: 2023-06-02

Beschreibung

Beschreibung Schweregrad Hinweise

Beschreibung	Schweregrad	Hinweise
Ein externer Forscher hat eine Cloud SQL for SQL Server-Sicherheitslücke entdeckt und die Instanz, auf der diese Sicherheitslücke ausgelöst wurde, wurde von Google Cloud automatisch über eine Sicherheitswarnung erkannt. Nach der Erkennung hat Google Cloud den Forscher kontaktiert und der Forscher hat das Problem über das Google Cloud VRP-Programm gemeldet. Google Cloud hat das Problem durch die Behebung der Sicherheitslücke zum Zeitpunkt des 1. März 2023 behoben. Google Cloud hat keine kompromittierten Kundeninstanzen gefunden. Wie gehe ich am besten vor? Für Kunden sind keine weiteren Maßnahmen erforderlich. Cloud SQL for SQL Server wurde aktualisiert, um diese Sicherheitslücke zu schließen. Die Korrektur wurde im März 2023 für alle Instanzen eingeführt. Sie müssen nichts weiter tun. Welche Sicherheitslücken werden behoben? Durch die Sicherheitslücke konnten Kundenadministratorkonten Trigger in der Datenbank `tempdb` erstellen und damit `sysadmin`-Berechtigungen in der Instanz erhalten. Die `sysadmin`-Berechtigungen gewährten dem Angreifer Zugriff auf Systemdatenbanken und einen Teilzugriff auf die Maschine, auf der diese SQL Server-Instanz ausgeführt wurde. Da der Angriff Zugriff auf ein Kundenadministratorkonto erfordert, wurden durch die Sicherheitslücke keine Kundendaten offengelegt, auf die der Angreifer nicht auch zuvor bereits Zugriff hatte. Darüber hinaus hat diese Sicherheitslücke dem Angreifer keinen Zugriff auf andere Cloud SQL for SQL Server-Instanzen ermöglicht. Dieses Problem war kein Sicherheitsvorfall und es wurden keine Daten manipuliert.	Hoch

Ein externer Forscher hat eine Cloud SQL for SQL Server-Sicherheitslücke entdeckt und die Instanz, auf der diese Sicherheitslücke ausgelöst wurde, wurde von Google Cloud automatisch über eine Sicherheitswarnung erkannt. Nach der Erkennung hat Google Cloud den Forscher kontaktiert und der Forscher hat das Problem über das Google Cloud VRP-Programm gemeldet. Google Cloud hat das Problem durch die Behebung der Sicherheitslücke zum Zeitpunkt des 1. März 2023 behoben. Google Cloud hat keine kompromittierten Kundeninstanzen gefunden.

Wie gehe ich am besten vor?

Für Kunden sind keine weiteren Maßnahmen erforderlich.

Cloud SQL for SQL Server wurde aktualisiert, um diese Sicherheitslücke zu schließen. Die Korrektur wurde im März 2023 für alle Instanzen eingeführt. Sie müssen nichts weiter tun.

Welche Sicherheitslücken werden behoben?

Durch die Sicherheitslücke konnten Kundenadministratorkonten Trigger in der Datenbank tempdb erstellen und damit sysadmin-Berechtigungen in der Instanz erhalten. Die sysadmin-Berechtigungen gewährten dem Angreifer Zugriff auf Systemdatenbanken und einen Teilzugriff auf die Maschine, auf der diese SQL Server-Instanz ausgeführt wurde.

Da der Angriff Zugriff auf ein Kundenadministratorkonto erfordert, wurden durch die Sicherheitslücke keine Kundendaten offengelegt, auf die der Angreifer nicht auch zuvor bereits Zugriff hatte. Darüber hinaus hat diese Sicherheitslücke dem Angreifer keinen Zugriff auf andere Cloud SQL for SQL Server-Instanzen ermöglicht.

Dieses Problem war kein Sicherheitsvorfall und es wurden keine Daten manipuliert.

Hoch