Bollettini sulla sicurezza

I seguenti bollettini sulla sicurezza sono relativi ai prodotti Google Cloud.

Utilizza questo feed XML per iscriverti ai bollettini sulla sicurezza per questa pagina. Iscriviti

GCP-2024-060

Pubblicato il: 17/10/2024

Descrizione Gravità Note

In base all'avviso sulla sicurezza VMware VMSA-2024-0020, diverse vulnerabilità in VMware NSX sono state segnalate in modo responsabile a VMware.

La versione NSX-T in esecuzione nell'ambiente VMware Engine non è interessata da CVE-2024-38815, CVE-2024-38818 o CVE-2024-38817.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Media

GCP-2024-059

Pubblicato il: 16/10/2024

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2024-0021, una vulnerabilità SQL injection autenticata in VMware HCX è stata segnalata privatamente a VMware.

Abbiamo applicato la mitigazione approvata da VMware per risolvere questa vulnerabilità. Questa correzione risolve una vulnerabilità di sicurezza descritta in CVE-2024-38814. Al momento le versioni dell'immagine in esecuzione nel cloud privato VMware Engine non riflettono alcuna modifica per indicare le modifiche applicate. Sono state installate misure di mitigazione appropriate e il tuo ambiente è protetto da questa vulnerabilità.

Che cosa devo fare?

Consigliamo di eseguire l'upgrade a VMware HCX versione 4.9.2.

Alta

GCP-2024-058

Pubblicato: 16/10/2024

Descrizione

Descrizione Gravità Note

La migrazione a Containers per Windows nelle versioni da 1.1.0 a 1.2.2 ha creato un m2cuser locale con privilegi di amministratore. Ciò rappresentava un rischio per la sicurezza se i comandi analyze o generate venivano interrotti dall'utente o a causa di un errore interno che causava il salto dell'azione di eliminazione dell'utente locale m2cuser.

Che cosa devo fare?

Le seguenti versioni dell'interfaccia a riga di comando Migrate to Containers per Windows sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire manualmente l'upgrade di Migrate to Containers Interfaccia a riga di comando alla versione seguente o successiva:

Quali vulnerabilità vengono affrontate?

La vulnerabilità, CVE-2024-9858, consente a un aggressore di ottenere l'accesso amministrativo ai computer Windows interessati utilizzando un utente amministratore creato da Migrate to Containers software.

 Media CVE-2024-9858

GCP-2024-057

Pubblicato il: 03/10/2024

Ultimo aggiornamento: 15/10/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 15/10/2024: sono state aggiunte le versioni delle patch per GDC (VMware). Livelli di gravità aggiornati per GKE e GDC (VMware).

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-45016

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2024-45016

GCP-2024-056

Pubblicato: 27/09/2024

Descrizione

Descrizione Gravità Note

Nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux è stata scoperta una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto. Un utente malintenzionato può sfruttare questa vulnerabilità se I servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi a questa porta.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno

GCP-2024-055

Pubblicato il: 24/09/2024

Descrizione

Descrizione Gravità Note

Una vulnerabilità di contrabbando di richieste HTTP in Looker ha consentito a un malintenzionato non autorizzato di acquisire le risposte HTTP destinate a utenti legittimi.

Esistono due versioni di Looker ospitate da Looker:

  • Looker (Google Cloud core) è stato ritenuto vulnerabile. Questo problema è già stato mitigato e le nostre indagini non hanno evidenziato alcuno sfruttamento.
  • Looker (originale) non era vulnerabile a questo problema.

Le istanze Looker ospitate dal cliente sono state ritenute vulnerabili e richiedono l'upgrade a una delle versioni seguenti.

A questa vulnerabilità è stata applicata una patch in tutte le versioni supportate di Looker ospitate dal cliente, disponibili nella pagina di download di Looker.

Che cosa devo fare?

  • Per tutte le istanze ospitate da Looker, incluse le istanze di Looker (Google Cloud core), non è richiesta alcuna azione da parte tua.
  • Per le istanze di Looker ospitate dal cliente, esegui l'aggiornamento alla versione più recente di Looker supportata il prima possibile. Le versioni seguenti sono state aggiornate per proteggere da questa vulnerabilità. Puoi scaricare queste versioni dalla pagina di download di Looker:
    • 23.12 -> 23.12.123+
    • 23.18 -> 23.18.117 e versioni successive
    • 24,0 -> 24.0.92+
    • 24.6 -> 24.6.77+
    • 24,8 -> 24.8.66+
    • 24.10 -> 24.10.78+
    • 24.12 -> 24.12.56+
    • 24.14 -> 24.14.37 e versioni successive

Quali vulnerabilità vengono affrontate?

La vulnerabilità CVE-2024-8912 consente a un malintenzionato di inviare a Looker intestazioni di richieste HTTP create appositamente, con possibile intercettazione delle risposte HTTP destinate ad altri utenti.

Queste risposte potrebbero contenere informazioni sensibili.

Questa vulnerabilità è sfruttabile solo in determinate configurazioni specifiche.

Media CVE-2024-8912

GCP-2024-054

Pubblicato: 23/09/2024

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei contenitori e gli utenti NT AUTHORITY\Authenticated potrebbero essere in grado di modificare i log dei contenitori.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2024-5321

GCP-2024-053

Pubblicato il: 19/09/2024

Descrizione

Descrizione Gravità Note

Durante l'analisi dei campi sconosciuti nelle librerie Protobuf Java Full e Lite, un messaggio creato male può causare un errore di StackOverflow e causare l'arresto anomalo del programma.

Che cosa devo fare?

Stiamo lavorando diligentemente per risolvere questo problema e abbiamo reso disponibile una mitigazione ora disponibile. Ti consigliamo di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • protobuf-java (3.25.5, 4.27.5, 4.28.2)
  • protobuf-javalite (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin-lite (3.25.5, 4.27.5, 4.28.2)
  • com-protobuf [solo gem JRuby] (3.25.5, 4.27.5, 4.28.2)

Quali vulnerabilità vengono affrontate da questa patch?

Questa vulnerabilità è un potenziale Denial of Service.

L'analisi di gruppi nidificati come campi sconosciuti con DiscardUnknownFieldsParser o con il parser Java Protobuf Lite o con i campi della mappa Protobuf crea ricorsioni illimitate che possono essere usate in modo improprio da un malintenzionato.

punteggio CVSS4.0 8,7

Alta

 CVE-2024-7254

GCP-2024-052

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-45807: arresto anomalo di oghttp2 in OnBeginHeadersForStream
  • CVE-2024-45808: Iniezione di log dannosi tramite i log di accesso
  • CVE-2024-45806: potenziale per manipolare le intestazioni "x-envoy" da fonti esterne
  • CVE-2024-45809: arresto anomalo del filtro JWT nella cache della route svuotata con JWK remoti
  • CVE-2024-45810: Envoy si arresta in modo anomalo per LocalReply nel client asincrono HTTP

Per istruzioni e ulteriori dettagli, consulta Bollettino sulla sicurezza di Cloud Service Mesh.

Da medio ad alto

GCP-2024-051

Pubblicato il: 18/09/2024

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità nel documento VMSA-2024-0019 che interessano i componenti di vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di VMware Engine

  • Google ha già disattivato qualsiasi potenziale sfruttamento di questa vulnerabilità. Ad esempio, Google ha bloccato le porte tramite le quali questa vulnerabilità potrebbe essere sfruttata.
  • Inoltre, Google garantisce che tutti i futuri deployment di vCenter non vengano esposte a questa vulnerabilità.

Che cosa devo fare?

Al momento non sono necessarie ulteriori azioni.

Critico

GCP-2024-050

Pubblicato: 04/09/2024

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità di esecuzione di codice remoto (CVE-2024-38063) in Windows. Un aggressore potrebbe sfruttare da remoto questa vulnerabilità inviando pacchetti IPv6 appositamente creati a un host.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2024-38063

GCP-2024-049

Pubblicato: 21/08/2024

Ultimo aggiornamento: 21/10/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 21/10/2024: sono state aggiunte versioni patch e aggiornato la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2024-36978

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-36978

GCP-2024-048

Pubblicato: 20/08/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2024-41009

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-41009

GCP-2024-047

Pubblicato il: 19/08/2024

Ultimo aggiornamento: 21/10/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 21/10/2024: sono state aggiunte versioni patch e aggiornato la gravità per GDC (VMware).

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-39503

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-39503

GCP-2024-046

Pubblicato il: 05/08/2024

Descrizione

Descrizione Gravità Note

AMD ha informato Google di 3 nuovi prodotti (2 a rischio medio, 1 ad alto rischio) vulnerabilità del firmware che interessano SEV-SNP in AMD EPYC 3rd (Milano) e di quarta generazione (Genoa).

Google ha applicato delle correzioni alle risorse interessate, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. I fix sono già stati applicati al parco di server di Google.

Per ulteriori informazioni, consulta l'avviso di sicurezza AMD AMD-SN-3011.

 Medio-alta

CVE-2023-31355

CVE-2024-21978

CVE-2024-21980

GCP-2024-045

Pubblicato: 17/07/2024

Ultimo aggiornamento: 19/09/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/09/2024: sono state aggiunte le versioni delle patch per il software GDC per VMware.

Aggiornamento del 21/08/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26925

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26925

GCP-2024-044

Pubblicato: 16/07/2024

Aggiornamento: 21/10/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 21/10/2024: sono state aggiunte versioni patch e aggiornato la gravità per GDC (VMware).

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-36972

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-36972

GCP-2024-043

Pubblicato il: 16/07/2024

Aggiornamento: 02/10/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 02/10/2024 : sono state aggiunte versioni patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 20/09/2024: sono state aggiunte le versioni con patch per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2024-26921

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26921

GCP-2024-042

Pubblicato il: 15/07/2024

Ultimo aggiornamento: 18/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: è stato chiarito che i cluster Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2024-26809

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26809

GCP-2024-041

Pubblicato: 08/07/2024

Aggiornamento: 16-09-2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/09/2024: sono state aggiunte le versioni delle patch per il software GDC per VMware.

Aggiornamento 19/07/2024: aggiunte le versioni patch per Ubuntu pool di nodi su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2023-52654
  • CVE-2023-52656

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2024-040

Pubblicato il: 01/07/2024

Aggiornamento: 16/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamenti del 16/07/2024:

Alcuni clienti di Accesso VPC serverless potrebbero essere interessati da una vulnerabilità in OpenSSH (CVE-2024-6387). In caso di exploit riuscito, un malintenzionato non autenticato potrebbe eseguire codice arbitrario come utente root sulla macchina virtuale di destinazione. Lo sfruttamento è ritenuto difficile. Ad esempio, i clienti non possono accedere alle VM e le VM non hanno IP pubblici. Non siamo a conoscenza di tentativi di sfruttamento.

Che cosa devo fare?

I deployment di Accesso VPC serverless sono stati aggiornati da Google, ove possibile. Tuttavia, devi verificare che L'agente di servizio gestito da Google ha il ruolo richiesto. In caso contrario, il connettore di accesso VPC serverless potrebbe vulnerabili. Ti consigliamo di eseguire la migrazione al VPC diretto per il traffico di rete in uscita o di implementare un nuovo connettore ed eliminare quello precedente per assicurarti di disporre dell'aggiornamento necessario con la correzione.

Aggiornamento del 11/07/2024: sono state aggiunte le versioni delle patch per il software GDC per VMware, GKE su AWS e GKE su Azure. Per maggiori dettagli, in GKE consulta i seguenti bollettini:

Aggiornamento del 10/07/2024:

  • Aggiunto il bollettino sulla sicurezza per Migrate to Virtual Machines.

Aggiornamenti del 09/07/2024:

Alcuni clienti dell'ambiente flessibile di App Engine potrebbero essere interessati da una vulnerabilità in OpenSSH (CVE-2024-6387). In caso di exploit riuscito, un malintenzionato non autenticato remoto potrebbe eseguire codice arbitrario come utente root sulla macchina virtuale di destinazione.

Che cosa devo fare?

Google ha già aggiornato automaticamente, ove possibile, i deployment in ambienti flessibili. Tuttavia, alcuni clienti che hanno disattivato l'agente di servizio gestito da Google o apportato modifiche alle API Google Cloud o ad altre configurazioni predefinite, non può essere aggiornato e potrebbe essere ancora vulnerabile. Dovresti eseguire il deployment di una nuova versione della tua app per ricevere l'aggiornamento con la correzione.

Tieni presente che i deployment aggiornati segnaleranno la versione ssh OpenSSH_9.6p1. A questa versione è stata applicata una patch con una correzione per CVE-2024-6387.

Quali vulnerabilità vengono affrontate?

La vulnerabilità CVE-2024-6387, che consente un accesso remoto, a eseguire un codice arbitrario come root sulla macchina di destinazione.

Aggiornamenti del 08/07/2024:

di Dataproc su Google Compute Engine in esecuzione versione 2.2 (tutti i sistemi operativi) e 2.1 (solo Debian) colpito da una vulnerabilità in OpenSSH (CVE-2024-6387) che, in caso di exploit riuscito potrebbe consentire a un aggressore remoto e non autenticato di eseguire un codice arbitrario come root sulla macchina di destinazione.

immagine Dataproc su Google Compute Engine versioni 2.0 e 1.5, nonché le immagini Dataproc versione 2.1 non in esecuzione Debian non ne sono colpiti. Cluster Dataproc con L'autenticazione attivata non è interessata. Anche Dataproc Serverless non è interessato.

Che cosa devo fare?

Aggiorna i tuoi cluster Dataproc su Google Compute Engine a una delle seguenti versioni:

  • 2.2.24 o versioni successive
  • 2.1.58 o versioni successive

Se non riesci ad aggiornare i cluster Dataproc in una delle versioni precedenti, consigliamo di utilizzare il metodo di inizializzazione azione disponibile in questa posizione: gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

Segui queste istruzioni su come specificare le azioni di inizializzazione per Dataproc. Tieni presente che l'azione di inizializzazione deve essere eseguita su ogni nodo (master e worker) per i cluster preesistenti.

Aggiornamenti 2024/07/03:

  • Sono state aggiunte le versioni delle patch per GKE.
  • Bollettino sulla sicurezza aggiunto per GDC connesso.

Aggiornamenti 2024/07/02:

  • È stato chiarito che i cluster Autopilot sono interessati e richiederanno un'azione da parte dell'utente.
  • Sono state aggiunte valutazioni d'impatto e misure di mitigazione per Software GDC per VMware, GKE su AWS e GKE su Azure.
  • Correzione del software GDC per il bollettino sulla sicurezza bare metal per chiarire che il software GDC per bare metal non è direttamente interessati e che i clienti debbano contattare i fornitori del sistema operativo per verificare le patch.

Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una condizione di gara che può essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli aggressori di ottenere l'accesso root. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina sotto attacco. Non siamo a conoscenza di tentativi di sfruttamento.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Critico CVE-2024-6387

GCP-2024-039

Pubblicato il: 28/06/2024

Aggiornamento: 25-09-2024

Descrizione

Descrizione Gravità Note

Aggiornamento 25/09/2024: sono state aggiunte versioni patch per software GDC per VMware.

Aggiornamento del 20/08/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2024-26923

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26923

GCP-2024-038

Pubblicato il: 26/06/2024

Aggiornamento: 17-09-2024

Descrizione

Descrizione Gravità Note

Aggiornamento 17/09/2024: sono state aggiunte versioni patch per software GDC per VMware.

Aggiornamento 06/08/2024: aggiunte versioni patch per i pool di nodi Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2024-26924

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26924

GCP-2024-037

Pubblicato: 18/06/2024

Descrizione Gravità Note

VMware ha divulgato più vulnerabilità nel documento VMSA-2024-0012 che interessano i componenti di vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di Google Cloud VMware Engine

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Google ha già bloccato le porte vulnerabili sul server vCenter, impedendo così qualsiasi potenziale sfruttamento di questa vulnerabilità.
  • Inoltre, Google garantisce che tutti i futuri implementazioni di vCenter non siano esposte a questa vulnerabilità.

Che cosa devo fare?

Al momento non sono necessarie ulteriori azioni.

Critico

GCP-2024-036

Pubblicato: 18/06/2024

Descrizione

Descrizione Gravità Note

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-035

Pubblicato il: 12/06/2024

Aggiornamento: 18/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE e una versione patch per la versione 1.27 sui pool di nodi Container-Optimized OS.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-034

Pubblicato il: 11/06/2024

Aggiornamento: 10-07-2024

Descrizione

Descrizione Gravità Note

Aggiornamento 10/07/2024: aggiunte versioni patch per Nodi di Container-Optimized OS che eseguono versione secondaria 1.26 e 1.27 e aggiunte versioni patch per i nodi Ubuntu.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-26583

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26583

GCP-2024-033

Pubblicato il: 10/06/2024

Ultimo aggiornamento: 26/09/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 26/09/2024: sono state aggiunte versioni patch per software GDC per VMware.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2022-23222

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-23222

GCP-2024-032

Pubblicato: 04/06/2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23326: Envoy accetta erroneamente la risposta HTTP 200 per l'attivazione della modalità di upgrade.
  • CVE-2024-32974: Arresto anomalo in EnvoyQuicServerStream::OnInitialHeadersComplete().
  • CVE-2024-32975: arresto anomalo in QuicheDataReader::PeekVarInt62Length().
  • CVE-2024-32976: ciclo infinito durante la decompressione dei dati Brotli con input aggiuntivo.
  • CVE-2024-34362: arresto anomalo (uso dopo svuotamento) in EnvoyQuicServerStream.
  • CVE-2024-34363: arresto anomalo a causa di un'eccezione JSON di nlohmann non rilevata.
  • CVE-2024-34364: vettore OOM di Envoy dal client asincrono HTTP con buffer di risposta illimitato per la risposta mirror.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-031

Pubblicato il: 24/05/2024

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2024-4323) in Fluent Bit che potrebbe comportare l'esecuzione remota di codice. Versioni di Fluent Bit 2.0.7 alla versione 3.0.3.

GKE, GKE su VMware, GKE su AWS GKE on Azure e GKE on Bare Metal non utilizzano un vulnerabile di Fluent Bit e non ne sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2024-4323

GCP-2024-030

Pubblicato: 15/05/2024

Ultimo aggiornamento: 18/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-52620

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-52620

GCP-2024-029

Pubblicato il: 14/05/2024

Aggiornamento: 19/08/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 19/08/2024: aggiunte versioni patch per i pool di nodi Ubuntu su GKE.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26642

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26642

GCP-2024-028

Pubblicato il: 13/05/2024

Aggiornamento: 22/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 22/05/2024: aggiunte versioni patch per Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2024-26581

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26581

GCP-2024-027

Pubblicato: 08/05/2024

Aggiornamento: 25-09-2024

Descrizione

Descrizione Gravità Note

Aggiornamento 25/09/2024: sono state aggiunte versioni patch per software GDC per VMware.

Aggiornamento 15/05/2024: aggiunte versioni patch per Pool di nodi GKE Ubuntu.

Aggiornamento 09/05/2024: gravità corretta da Media su Alto e ha chiarito che GKE Autopilot cluster nella configurazione predefinita.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26808

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26808

GCP-2024-026

Pubblicato il: 07/05/2024

Ultimo aggiornamento: 06/08/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 09/05/2024: la gravità è stata corretta da Media ad Alta.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26643

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26643

GCP-2024-025

Pubblicato: 26/04/2024

Descrizione

Descrizione Gravità Note

Looker ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il programma Vulnerability Reward Program (VRP) di Google e Alphabet, ma non sono state trovate prove di sfruttamento. Ora questi problemi sono stati risolti e non è richiesta alcuna azione da parte dell'utente per i clienti ospitati da Looker su Looker (Google Cloud core) e Looker (originale). Per le istanze di Looker auto-hosted è consigliabile eseguire l'aggiornamento alla versione più recente supportata.

Che cosa devo fare?

Istanze ospitate da Looker: istanze di Looker (Google Cloud core) e Looker (originale)

Non è necessario alcun intervento da parte del cliente.

Solo istanze Looker ospitate autonomamente

Se l'istanza di Looker è ospitata autonomamente, ti consigliamo di eseguire l'upgrade delle istanze di Looker a una delle seguenti versioni:

  • 24.6.12+
  • 24.4.27 e versioni successive
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105 e versioni successive
  • 23.6.163+

Come è stato risolto il problema?

Google ha disattivato l'accesso amministrativo diretto al database interno dall'applicazione Looker, ha rimosso i privilegi elevati che consentivano l'accesso tra tenant e ha ruotato i secret esposti. Inoltre, abbiamo corretto delle vulnerabilità per il path traversal che potrebbero aver esposto le credenziali dell'account di servizio. Stiamo inoltre effettuando un’analisi approfondita del nostro codice e dei nostri sistemi per identificare e risolvere potenziali vulnerabilità simili.

 Critico

GCP-2024-024

Pubblicato: 25/04/2024

Ultimo aggiornamento: 18/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26585

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26585

GCP-2024-023

Pubblicato il: 24/04/2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-27919: HTTP/2: esaurimento della memoria a causa dell’inondazione del frame CONTINUATION.
  • CVE-2024-30255: HTTP/2: esaurimento della CPU a causa di un attacco di frame CONTINUATION
  • CVE-2024-32475: interruzione anomala quando si utilizza "auto_sni" con l'intestazione ":authority" più lunga di 255 caratteri.
  • CVE-2023-45288: È possibile utilizzare frame di CONTINUAZIONE HTTP/2 per attacchi DoS.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-022

Pubblicato il: 03/04/2024

Ultimo aggiornamento: 17/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/07/2024: sono state aggiunte le versioni delle patch per GKE su VMware

Aggiornamento del 09/07/2024: sono state aggiunte le versioni delle patch per GKE on Bare Metal

Aggiornamento 24/04/2024: sono state aggiunte versioni patch per GKE.

Di recente è stata scoperta una vulnerabilità DoS (Denial of Service) (CVE-2023-45288) in molteplici implementazioni del protocollo HTTP/2, tra cui il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-45288

GCP-2024-021

Pubblicato: 03-04-2024

Descrizione

Descrizione Gravità Note

Compute Engine non è interessato CVE-2024-3094, che interessa le versioni 5.6.0 e 5.6.1 del pacchetto xz-utils nella libreria liblzma e ciò potrebbe compromettere l'utilità OpenSSH.

Per ulteriori dettagli, consulta il Bollettino sulla sicurezza di Compute Engine.

 Media CVE-2024-3094

GCP-2024-020

Pubblicato: 02/04/2024

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità (CVE-2023-48022) in Ray. Ray è un strumento open source di terze parti per i carichi di lavoro di IA. Poiché Ray non richiede dell'autenticazione, gli attori delle minacce possono ottenere l'esecuzione di codice in remoto tramite l'invio di job alle istanze esposte pubblicamente. La vulnerabilità è stata contestata da Anyscale, lo sviluppatore di Ray. Ray sostiene che le sue funzioni sono una funzionalità di prodotto principale intenzionale e che la sicurezza deve invece essere implementata al di fuori di un cluster Ray, poiché qualsiasi esposizione alla rete non intenzionale del cluster Ray potrebbe comportare un compromesso.

In base alla risposta, questo CVE è contestato e potrebbe non essere visualizzato in scanner di vulnerabilità. In ogni caso viene sfruttata attivamente in gli utenti devono configurare il loro utilizzo come suggerito di seguito.

Che cosa devo fare?

Segui Ray migliore e linee guida, inclusa l'esecuzione di codice attendibile e affidabili, per proteggere i carichi di lavoro Ray. Il deployment di ray.io nelle istanze cloud del cliente rientra nel modello di responsabilità condivisa.

Il team di sicurezza di Google Kubernetes Engine (GKE) ha pubblicato un post del blog sull'hardening di Ray su GKE.

Per ulteriori informazioni su come aggiungere l'autenticazione e l'autorizzazione ai servizi Ray, consulta la documentazione di Identity-Aware Proxy (IAP). Gli utenti di GKE possono implementare IAP seguendo queste indicazioni o riutilizzando i moduli Terraform collegati nel blog.

Alta CVE-2023-48022

GCP-2024-018

Pubblicato il: 12/03/2024

Aggiornato: 04-04-2024, 06-05-2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 06/05/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu GKE.

Aggiornamento 04/04/2024: sono state corrette le versioni minime per i pool di nodi di GKE Container-Optimized OS.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-1085

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-1085

GCP-2024-017

Pubblicato: 06/03/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2023-3611

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3611

GCP-2024-016

Pubblicato: 05/03/2024

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2024-0006 che impatto sui componenti ESXi distribuiti negli ambienti del cliente.

Impatto di Google Cloud VMware Engine

I tuoi cloud privati sono stati aggiornati per risolvere la vulnerabilità di sicurezza.

Che cosa devo fare?

Non è necessario alcun intervento da parte tua.

Critico

GCP-2024-014

Pubblicato il: 26/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu Container-Optimized OS e:

  • CVE-2023-3776

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3776

GCP-2024-013

Pubblicato il: 27/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-3610

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3610

GCP-2024-012

Pubblicato il: 20/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-0193

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-0193

GCP-2024-011

Pubblicato: 15/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-6932

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6932

GCP-2024-010

Pubblicato il: 14/02/2024

Aggiornamento: 17/04/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/04/2024: sono state aggiunte le versioni delle patch per GKE su VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-6931

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6931

GCP-2024-009

Pubblicato: 13/02/2024

Descrizione

Descrizione Gravità Note

Il 13 febbraio 2024, AMD ha divulgato due vulnerabilità che interessano SEV-SNP. su CPU EPYC basate sulla terza generazione "Milan" mentre quella di quarta generazione Nuclei zen. Le vulnerabilità consentono agli utenti malintenzionati con privilegi di accedere ai dati устаревших degli ospiti o di causare una perdita di integrità degli ospiti.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire che i clienti siano protetti. In questo momento, non ci sono prove di sfruttamento che sono stati trovati o segnalati a Google.

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente. Le correzioni sono già state applicate al parco di server Google per Google Cloud, incluso Compute Engine.

Per ulteriori informazioni, consulta l'avviso di sicurezza AMD AMD-SN-3007.

 Moderata

GCP-2024-008

Pubblicato il: 12/02/2024

Descrizione

Descrizione Gravità Note

CVE-2023-5528 consente a un utente malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5528

GCP-2024-007

Pubblicato: 8/02/2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23322: Envoy si arresta in modo anomalo quando è inattivo e si verifica il timeout delle richieste per tentativo nell'intervallo di backoff.
  • CVE-2024-23323: utilizzo eccessivo della CPU quando il matcher del modello URI viene configurato utilizzando un'espressione regolare.
  • CVE-2024-23324: l'autorizzazione esterna può essere ignorata quando il filtro del protocollo proxy imposta metadati UTF-8 non validi.
  • Envoy si arresta in modo anomalo quando viene utilizzato un tipo di indirizzo non supportato dal sistema operativo.
  • CVE-2024-23327: arresto anomalo nel protocollo proxy quando il tipo di comando è LOCAL.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-006

Pubblicato il: 5/02/2024

Descrizione

Descrizione Gravità Note

Quando un proxy di gestione API Apigee si connette a un endpoint di destinazione o a un server di destinazione, per impostazione predefinita il proxy non esegue la convalida del nome host per il certificato presentato dall'endpoint o dal server di destinazione. Se la convalida del nome host non è abilitata utilizzando una delle seguenti opzioni: I proxy Apigee che si connettono a un endpoint o a un server di destinazione potrebbero essere a rischio di attacco man in the middle da parte di un utente autorizzato. Per ulteriori informazioni, consulta Configurare TLS dall'Edge al backend (Cloud e Private Cloud).

Sono interessati i deployment del proxy Apigee sulle seguenti piattaforme Apigee:

  • Apigee Edge for Public Cloud
  • Apigee Edge for Private Cloud

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Apigee.

 Alta

GCP-2024-005

Pubblicato il: 31/01/2024
Aggiornamento: 02/04/2024, 06/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 06/05/2024: sono state aggiunte le versioni delle patch per GKE su AWS e GKE su Azure.

Aggiornamento del 02/04/2024: sono state aggiunte le versioni delle patch per GKE on Bare Metal

Aggiornamento del 06/03/2024: sono state aggiunte le versioni delle patch per GKE su VMware

Aggiornamento 28/02/2024: aggiunte versioni patch per Ubuntu

Aggiornamento del 15/02/2024: è stato chiarito che le versioni delle patch Ubuntu 1.25 e 1.26 nell'aggiornamento del 14/02/2024 potrebbero causare nodi non validi.

Aggiornamento del 14/02/2024: sono state aggiunte le versioni con patch per Ubuntu

Aggiornamento del 06/02/2024: sono state aggiunte le versioni delle patch per Container-Optimized OS.

In runc è stata scoperta una vulnerabilità di sicurezza, CVE-2024-21626, un utente con l'autorizzazione per creare pod su Container-Optimized OS e nodi Ubuntu potrebbe essere in grado di ottenere l'accesso completo al file system del nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-21626

GCP-2024-004

Pubblicato il: 24/01/2024
Aggiornamento: 07/02/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 07/02/2024: sono state aggiunte le versioni con patch per Ubuntu.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-6817

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6817

GCP-2024-003

Pubblicato: 19/01/2024
Ultimo aggiornamento: 26/01/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/01/2024: è stato chiarito il numero di cluster interessati e le azioni intraprese per contribuire ad attenuare l'impatto. Per maggiori dettagli, consulta il bollettino sulla sicurezza di GCP-2024-003.

Abbiamo identificato diversi cluster in cui gli utenti hanno concesso i privilegi Kubernetes al gruppo system:authenticated, che include tutti gli utenti con un Account Google. Questi tipi di associazioni non sono consigliati, in quanto violano il principio del privilegio minimo e concedono l'accesso a gruppi di utenti molto grandi. Consulta le indicazioni riportate nella sezione "Cosa devo fare" per istruzioni su come trovare questi tipi di associazioni.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2024-002

Pubblicato: 17/01/2024

Aggiornamento: 20/02/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 20/02/2024: sono state aggiunte versioni patch per GKE su VMware.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS.

  • CVE-2023-6111

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6111

GCP-2024-001

Pubblicato: 09/01/2024

Descrizione

Descrizione Gravità Note

Sono state scoperte diverse vulnerabilità nel firmware UEFI EDK II di TianoCore. Questo firmware viene utilizzato nelle VM Google Compute Engine. Se sfruttate, le vulnerabilità potrebbero consentire di bypassare l'avvio protetto, fornisce misurazioni false nel processo di avvio protetto, tra cui quando utilizzato nelle Shielded VM.

Che cosa devo fare?

Non è richiesta alcuna azione da parte tua. Google ha applicato la patch a questa vulnerabilità su Compute Engine e tutte le VM sono protette da questa vulnerabilità.

Quali vulnerabilità vengono affrontate da questa patch?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 Media

GCP-2023-051

Pubblicato: 28/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3609

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3609

GCP-2023-050

Pubblicato il: 27/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3389

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3389

GCP-2023-049

Pubblicato: 20/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3090

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3090

GCP-2023-048

Pubblicato il: 15/12/2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3390

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3390

GCP-2023-047

Pubblicato: 14/12/2023

Descrizione

Descrizione Gravità Note

Un aggressore che ha compromesso il container di logging di Fluent Bit puoi combinare questo accesso con gli alti privilegi richiesti Cloud Service Mesh (sui cluster in cui è abilitato) per riassegnare i privilegi nel cluster.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2023-046

Pubblicato il 22/11/2023
Ultimo aggiornamento: 04/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 04/03/2024: sono state aggiunte le versioni GKE per GKE su VMware.

Aggiornamento del 22/01/2024: sono state aggiunte le versioni con patch di Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-5717

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5717

GCP-2023-045

Pubblicato il: 20/11/2023

Aggiornamento: 21-12-2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-5197

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5197

GCP-2023-044

Pubblicato: 15/11/2023

Descrizione

Descrizione Gravità Note

Il 14 novembre AMD ha divulgato più vulnerabilità che interessano varie CPU AMD per server. Nello specifico, le vulnerabilità influiscono sulle CPU del server EPYC sfruttando la Zen Core Generation 2 "Rome", generazione 3 "Milano", e la generazione 4 "Genova".

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire i clienti sono protetti. In questo momento, non sono state trovate prove di sfruttamento trovati o segnalati a Google.

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente.

Le correzioni sono già state applicate al parco di server Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono affrontate?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

Per ulteriori informazioni, vedi l'avviso di sicurezza di AMD AMD-SN-3005: "AMD INVD Instruction Security Notification", pubblicato come CacheWarp e AMD-SN-3002: "Vulnerabilità del server AMD - Novembre 2023".

 Moderata

GCP-2023-043

Pubblicato il: 14/11/2023

Descrizione

Descrizione Gravità Note

Intel ha divulgato una vulnerabilità della CPU in alcuni processori. Google ha adottato misure per mitigare il proprio parco di server, tra cui Google Compute Engine per Google Cloud, e i dispositivi ChromeOS per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-23583

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente.

La mitigazione fornita da Intel per i processori interessati è stata applicata al parco di server Google, incluso Google Compute Engine per Google Cloud.

Al momento, Google Distributed Cloud Edge richiede un aggiornamento dall'OEM. Google correggerà il problema relativo a questo prodotto non appena l'aggiornamento sarà disponibile e questo bollettino verrà aggiornato di conseguenza.

I dispositivi Chrome OS con i processori interessati hanno ricevuto la correzione automaticamente nell'ambito delle release 119, 118 e 114 (LTS).

Quali vulnerabilità vengono affrontate?

CVE-2023-23583. Per maggiori dettagli, vedi Intel Security Advisory INTEL-SA-00950.

 Alta CVE-2023-23583

GCP-2023-042

Pubblicato il 13/11/2023
Ultimo aggiornamento: 15/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 15/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4147

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4147

GCP-2023-041

Pubblicato il: 08/11/2023

Aggiornamento: 21/11/2023, 05/12/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento 05/12/2023: sono state aggiunte ulteriori versioni GKE per i pool di nodi di Container-Optimized OS.

Aggiornamento 21/11/2023: chiarisci che solo gli elementi elencati le versioni secondarie devono eseguire l'upgrade a una versione con patch corrispondente con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4004

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4004

GCP-2023-040

Pubblicato: 06/11/2023

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4921

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4921

GCP-2023-039

Pubblicato il: 06/11/2023

Ultimo aggiornamento: 21/11/2023, 16/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/11/2023: chiarisci che solo gli elementi elencati le versioni secondarie devono eseguire l'upgrade a una versione con patch corrispondente con GKE.

Aggiornamento 16-11-2023: la vulnerabilità associata a questo bollettino sulla sicurezza è CVE-2023-4622. La vulnerabilità CVE-2023-4623 è stata erroneamente indicata come vulnerabilità in una versione precedente del bollettino sulla sicurezza.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4622

GCP-2023-038

Pubblicato: 06/11/2023

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4623

GCP-2023-037

Pubblicato: 06/11/2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4015

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4015

GCP-2023-036

Pubblicato il: 30/10/2023

Descrizione

Descrizione Gravità Note

Deep Learning VM Images è un insieme di immagini di macchine virtuali predefinite con un framework di deep learning, pronte per essere eseguite da subito. Recentemente, è stata scoperta una vulnerabilità di scrittura oltre i limiti nella funzione "ReadHuffmanCodes()" della libreria "libwebp". Ciò potrebbe influire sulle immagini che utilizzano questa libreria.

Google Cloud analizza continuamente le immagini pubblicate pubblicamente e aggiorna i pacchetti per garantire che le distribuzioni con patch siano incluse nelle ultime release disponibili per l'adozione da parte dei clienti. Le immagini VM di deep learning sono state aggiornate per garantire che le immagini VM più recenti includano le distribuzioni con patch. I clienti che adottano le immagini VM più recenti non sono esposti a questa vulnerabilità.

Che cosa devo fare?

I clienti Google Cloud che utilizzano immagini VM pubblicate devono assicurarsi di adottare le immagini più recenti e che i loro ambienti siano aggiornati in base al modello di responsabilità condivisa.

CVE-2023-4863 potrebbe essere sfruttato da un utente malintenzionato per eseguire codice arbitrario. Questa vulnerabilità è stata identificata in Google Chrome prima della versione 116.0.5845.187 e in "libwebp" prima della 1.3.2 ed è elencata in CVE-2023-4863.

 Alta CVE-2023-4863

GCP-2023-035

Pubblicato il: 26/10/2023

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128

GCP-2023-034

Pubblicato: 25/10/2023

Aggiornamento: 27/10/2023

Descrizione

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2023-0023 che incidono sui componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto dell'assistenza clienti Google Cloud

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Queste porte non sono esposte alla rete internet pubblica.
  • Se le porte vCenter 2012/TCP, 2014/TCP e 2020/TCP non sono accessibile da sistemi non attendibili, non sei esposto a questo vulnerabilità.
  • Google ha già bloccato le porte vulnerabili sul server vCenter, impedendo qualsiasi potenziale sfruttamento di questa vulnerabilità.
  • Inoltre, Google garantirà che tutti i futuri deployment del vCenter server non siano esposti a questa vulnerabilità.
  • Al momento della pubblicazione del bollettino, VMware non è a conoscenza di alcun exploit "in the wild". Per ulteriori dettagli, consulta la documentazione di VMware.

Che cosa devo fare?

Al momento non sono necessarie ulteriori azioni

 Critico CVE-2023-34048, CVE-2023-34056

GCP-2023-033

Pubblicato: 24/10/2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati e che i carichi di lavoro GKE Sandbox non sono interessati.

Aggiornamento 21/11/2023: chiarisci che solo gli elementi elencati le versioni secondarie devono eseguire l'upgrade a una versione con patch corrispondente con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono generare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3777

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3777

GCP-2023-032

Pubblicato: 13/10/2023

Aggiornamento: 03/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 03/11/2023: aggiunto problema noto di Apigee Edge per il cloud privato.

Di recente è stata scoperta una vulnerabilità di tipo denial of service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il servizio Apigee Ingress (Cloud Service Mesh) utilizzato da Apigee X e Apigee Hybrid. La vulnerabilità potrebbe portare a un DoS della funzionalità di gestione delle API Apigee.

Per istruzioni e ulteriori dettagli, consulta Bollettino sulla sicurezza di Apigee.

Alta CVE-2023-44487

GCP-2023-031

Pubblicato il: 10/10/2023

Descrizione

Descrizione Gravità Note

Un attacco denial of service può interessare il piano dati quando si utilizza HTTP/2. Per istruzioni e ulteriori dettagli, consulta Bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-44487

GCP-2023-030

Pubblicato: 10/10/2023

Aggiornamento: 20/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/03/2024: sono state aggiunte le versioni delle patch per GKE su AWS e GKE su Azure con le patch più recenti per CVE-2023-44487.

Aggiornamento 14/02/2024: sono state aggiunte versioni patch per GKE su VMware.

Aggiornamento del 09/11/2023: è stata aggiunta CVE-2023-39325. Versioni GKE aggiornate con le patch più recenti per CVE-2023-44487 e CVE-2023-39325.

Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE). I cluster GKE con reti autorizzate configurate sono protetti limitando l'accesso alla rete, ma tutti gli altri cluster sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-44487, CVE-2023-39325

GCP-2023-029

Pubblicato il: 03/10/2023

Descrizione

Descrizione Gravità Note

TorchServe viene utilizzato per ospitare modelli di machine learning PyTorch per la previsione online. Vertex AI fornisce container di pubblicazione di modelli PyTorch predefiniti che dipendono da TorchServe. Di recente sono state scoperte vulnerabilità in TorchServe che potrebbero consentire a un malintenzionato di assumere il controllo di un deployment di TorchServe se la relativa API di gestione dei modelli è esposta. I clienti con modelli PyTorch di cui è stato eseguito il deployment per le previsioni online di Vertex AI non sono interessati da queste vulnerabilità, poiché Vertex AI non espone l'API di gestione dei modelli di TorchServe. I clienti che utilizzano TorchServe al di fuori di Vertex AI devono prendere precauzioni per garantire che i propri deployment siano configurati in modo sicuro.

Che cosa devo fare?

I clienti di Vertex AI con modelli di cui è stato eseguito il deployment utilizzando i container di servizio PyTorch predefiniti di Vertex AI non devono intraprendere alcuna azione per risolvere le vulnerabilità, poiché i deployment di Vertex AI non espongono il server di gestione di TorchServe a internet.

I clienti che utilizzano i container PyTorch predefiniti in altri contesti o che utilizzano una distribuzione di TorchServe personalizzata o di terze parti devono eseguire le seguenti operazioni:

  • Assicurati che l'API di gestione dei modelli di TorchServe non sia esposta a internet. L'API di gestione dei modelli può essere limitata all'accesso locale solo assicurando che management_address sia associato a 127.0.0.1.
  • Utilizza l'impostazione allowed_urls per assicurarti che i modelli possano essere caricati solo dalle origini previste.
  • Esegui l'upgrade a TorchServe alla versione 0.8.2, che include le mitigazioni per questo problema, il prima possibile. Per precauzione, Vertex AI rilascerà container predefiniti fissi entro il 13/10/2023.

Quali vulnerabilità vengono affrontate?

L'API di gestione di TorchServe è associata a 0.0.0.0 per impostazione predefinita nella maggior parte delle immagini Docker di TorchServe, incluse quelle rilasciate da Vertex AI, rendendola accessibile alle richieste esterne. L'indirizzo IP predefinito per l'API di gestione viene modificato in 127.0.0.1 in TorchServe 0.8.2, riducendo il problema.

CVE-2023-43654 e CVE-2022-1471 consentono a un utente con accesso all'API di gestione di caricare modelli da origini arbitrarie ed eseguire codice da remoto. Le mitigazioni per entrambi questi problemi sono incluse in TorchServe 0.8.2: il percorso di esecuzione del codice remoto viene rimosso e viene emesso un avviso se viene utilizzato il valore predefinito per allowed_urls.

 Alta CVE-2023-43654, CVE-2022-1471

GCP-2023-028

Pubblicato: 19/09/2023

Aggiornamento: 29-05-2024

Descrizione

Descrizione Gravità Note
Aggiornamento del 29 maggio 2024: i nuovi feed non utilizzano più l'account di servizio condiviso, che rimane attivo per i feed esistenti per evitare interruzioni del servizio. Le modifiche all'origine nei feed precedenti sono bloccate per impedire l'uso improprio dell'account di servizio condiviso. I clienti possono continuare a utilizzare normalmente i propri vecchi feed, a condizione che non cambino l'origine.

I clienti possono configurare Google Security Operations per importare i dati dai bucket Cloud Storage di proprietà del cliente utilizzando un feed di importazione. Fino a poco tempo fa, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione al bucket. Esisteva un'opportunità per cui l'istanza Google Security Operations di un cliente poteva essere configurata per importare i dati dal bucket Cloud Storage di un altro cliente. Dopo aver eseguito un'analisi dell'impatto, non abbiamo rilevato sfruttamenti attuali o precedenti di questa vulnerabilità. La vulnerabilità era presente in tutte le versioni di Google Security Operations prima del 19 settembre 2023.

Che cosa devo fare?

Il 19 settembre 2023, Google Security Operations è stato aggiornato per risolvere questa vulnerabilità. Non è richiesta alcuna azione da parte del cliente.

Quali vulnerabilità vengono affrontate?

In precedenza, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione a un bucket. Poiché clienti diversi hanno assegnato la stessa autorizzazione all'account di servizio Google Security Operations al proprio bucket, esisteva un vettore di sfruttamento che consentiva al feed di un cliente di accedere al bucket di un altro cliente durante la creazione o la modifica di un feed. Questo vettore di sfruttamento richiedeva la conoscenza dell'URI del bucket. Ora, durante la creazione o la modifica dei feed, Google Security Operations utilizza account di servizio univoci per ogni cliente.

 Alta

GCP-2023-027

Pubblicato il: 11/09/2023
Descrizione Gravità Note

Gli aggiornamenti di VMware vCenter Server risolvono più vulnerabilità di corruzione della memoria (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896)

Impatto sull'assistenza clienti

VMware vCenter Server (vCenter Server) e VMware Cloud Foundation (Cloud Foundation).

Che cosa devo fare?

I clienti non sono interessati e non è richiesta alcuna azione.

 Media

GCP-2023-026

Pubblicato: 06/09/2023

Descrizione

Descrizione Gravità Note

In Kubernetes sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) che consentono a un utente che può creare pod su nodi Windows di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e il proxy CSI di Kubernetes.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3676, CVE-2023-3955, CVE-2023-3893

GCP-2023-025

Pubblicato il: 08/08/2023
Descrizione Gravità Note

Di recente Intel ha annunciato l'Intel Security Advisory INTEL-SA-00828 che interessa alcune delle sue famiglie di processori. Ti invitiamo a valutare i rischi in base all'avviso.

Impatto di Google Cloud VMware Engine

Il nostro parco risorse utilizza le famiglie di processori interessati. Nel nostro deployment, l'intero server è dedicato a un cliente. Pertanto, il nostro modello di deployment non aggiunge alcun rischio aggiuntivo alla valutazione di questa vulnerabilità.

Stiamo collaborando con i nostri partner per ottenere le patch necessarie e le implementeremo con priorità nell'intero parco utilizzando la procedura di upgrade standard nelle prossime settimane.

Che cosa devo fare?

Non è richiesta alcuna azione da parte tua. Stiamo lavorando all'upgrade di tutti i sistemi interessati.

 Alta

GCP-2023-024

Pubblicato: 08/08/2023

Aggiornamento: 10-08-2023, 04-06-2024

Descrizione

Descrizione Gravità Note

Aggiornamento 04-06-2024: i seguenti prodotti mancanti sono stati aggiornati per correggere questa vulnerabilità:

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

Aggiornamento 10/08/2023: è stato aggiunto il numero di versione di ChromeOS LTS.

Intel ha divulgato una vulnerabilità in processori selezionati (CVE-2022-40982). Google ha adottato misure per mitigare il proprio parco di server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2022-40982 (Intel IPU 2023.3, "GDS" noto anche come "downfall")

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente.

Tutte le patch disponibili sono già state applicate al server Google parco risorse per Google Cloud, compreso Google Compute Engine.

Al momento, i seguenti prodotti richiedono ulteriori aggiornamenti da partner e fornitori.

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Soluzione Google Cloud Bare Metal
  • Core pacchetto evoluto

Google correggerà questi prodotti una volta apportate queste patch e questo bollettino verrà aggiornato di conseguenza.

I clienti di Google Chromebook e ChromeOS Flex hanno ricevuto automaticamente le mitigazioni fornite da Intel nelle versioni stabili (115), LTS (108), beta (116) e LTC (114). I clienti di Chromebook e ChromeOS Flex sono bloccati la release meno recente dovrebbe prendere in considerazione lo sblocco e il passaggio al canale stabile o LTS per garantire che ricevano questa e altre correzioni di vulnerabilità.

Quali vulnerabilità vengono affrontate?

CVE-2022-40982 - Per ulteriori informazioni, vedi Avviso sulla sicurezza Intel INTEL-SA-00828.

Alta CVE-2022-40982

GCP-2023-023

Pubblicato il: 08/08/2023

Descrizione

Descrizione Gravità Note

AMD ha divulgato una vulnerabilità in processori selezionati (CVE-2023-20569). Google ha adottato misure per mitigare il proprio parco di server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-20569 (AMD SB-7005 noto anche come "Inception")

Che cosa devo fare?

Gli utenti delle VM di Compute Engine devono prendere in considerazione le mitigazioni fornite dal sistema operativo se mediante l'esecuzione di codice non attendibile intra-istanza. Consigliamo ai clienti di contattare i propri fornitori di sistemi operativi per indicazioni più specifiche.

Le correzioni sono già state applicate al parco di server Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono affrontate?

CVE-2023-20569 - Per ulteriori informazioni, vedi AMD SB-7005.

Moderata CVE-2023-20569

GCP-2023-022

Pubblicato: 03/08/2023

Descrizione

Descrizione Gravità Note

Google ha identificato una vulnerabilità nelle implementazioni C++ di gRPC precedenti alla release 1.57. Si trattava di una vulnerabilità Denial of Service nell'implementazione C++ di gRPC. Questi problemi sono stati risolti nelle release 1.53.2, 1.54.3, 1.55.2, 1.56.2 e 1.57.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • Le versioni 1.53, 1.54, 1.55 e 1.56 di gRPC (C++, Python, Ruby) devono essere aggiornate alle seguenti release di patch:
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • Le versioni 1.52 e precedenti di gRPC (C++, Python, Ruby) devono eseguire l'upgrade a una delle release delle patch approvate. Ad esempio, 1.53.2, 1.54.3, 1.53.4 e così via.

Quali vulnerabilità vengono affrontate?

Queste patch attenuano le seguenti vulnerabilità:

  • Vulnerabilità di Denial-of-Service nelle implementazioni di gRPC C++: richieste appositamente create possono causare l'interruzione della connessione tra un proxy e un backend.
Alta CVE-2023-33953

GCP-2023-021

Aggiornamento: 26/07/2023

Pubblicato il: 25/07/2023

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-35941: un client malintenzionato è in grado di creare credenziali con validità permanente in alcuni scenari specifici. Ad esempio, la combinazione di host e ora di scadenza nel Il payload HMAC può essere sempre valido nel controllo HMAC del filtro OAuth2.
  • CVE-2023-35942: i logger di accesso gRPC che utilizzano l'ambito globale del gestore possono causare un arresto anomalo di tipo use-after-free quando il gestore viene svuotato. Può essere attivato da un aggiornamento LDS con lo stesso Configurazione del log di accesso gRPC.
  • CVE-2023-35943: se l'intestazione origin è configurata per essere rimossa con request_headers_to_remove: origin, il filtro CORS segfault e arresta in modo anomalo Envoy.
  • CVE-2023-35944: gli attaccanti possono inviare richieste di schema misti per aggirare i controlli dello schema in Envoy. Ad esempio, se al filtro OAuth2 viene inviata una richiesta con schema HTTP misto, i controlli di corrispondenza esatta per HTTP non andranno a buon fine e l'endpoint remoto verrà informato che lo schema è HTTPS, bypassando così potenzialmente i controlli OAuth2 specifici per le richieste HTTP.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2023-020

Aggiornamento: 26/07/2023

Pubblicato il: 24/07/2023

Descrizione

Descrizione Gravità Note

AMD ha rilasciato un aggiornamento del microcodice che risolve una questione di sicurezza hardware (CVE-2023-20593). Google ha applicato le correzioni necessarie vulnerabilità al suo parco server, inclusi i server per per Google Cloud Platform. I test indicano che non c'è alcun impatto delle prestazioni dei sistemi.

Che cosa devo fare?

Non è richiesta alcuna azione da parte dei clienti, poiché le correzioni sono già state applicate al parco di server Google per la piattaforma Google Cloud.

Quali vulnerabilità vengono affrontate?

CVE-2023-20593 risolve una vulnerabilità in alcune CPU AMD. Altro disponibili qui.

Alta CVE-2023-20593

GCP-2023-019

Pubblicato il: 18/07/2023

Descrizione

Descrizione Gravità Note

In Envoy è stata scoperta una nuova vulnerabilità (CVE-2023-35945) in cui una risposta creata appositamente da un servizio upstream non attendibile può causare un attacco di tipo denial of service tramite esaurimento della memoria. Questo è dovuto dal codec HTTP/2 di Envoy che potrebbe far trapelare una mappa di intestazione e dati strutture dopo aver ricevuto RST_STREAM seguito immediatamente dai frame GOAWAY di un server upstream.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-35945

GCP-2023-018

Pubblicato: 27/06/2023

Descrizione

Descrizione Gravità Note

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-2235) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE Autopilot sono interessati perché i nodi GKE Autopilot utilizzano sempre immagini dei nodi Container-Optimized OS. Sono interessati i cluster GKE Standard con versione 1.25 o successive che eseguono immagini dei nodi Container-Optimized OS.

I cluster GKE non sono interessati se eseguono solo immagini dei nodi Ubuntu, eseguono versioni precedenti alla 1.25 o utilizzano GKE Sandbox.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-2235

GCP-2023-017

Pubblicato: 26/06/2023

Ultimo aggiornamento: 11/07/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 11/07/2023: le nuove versioni di GKE sono state aggiornate per includere le ultime versioni di Ubuntu con patch per CVE-2023-31436.

È stata scoperta una nuova vulnerabilità (CVE-2023-31436) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo. Sono interessati i cluster GKE, inclusi i cluster Autopilot. I cluster GKE che utilizzano GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-31436

GCP-2023-016

Pubblicato il: 26/06/2023

Descrizione

Descrizione Gravità Note

In Envoy, utilizzato in Cloud Service Mesh, sono state scoperte diverse vulnerabilità che consentono a un malintenzionato di causare un denial of service o un arresto anomalo di Envoy. Questi problemi sono stati segnalati separatamente come GCP-2023-002.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487

GCP-2023-015

Pubblicato il: 20/06/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux è stata scoperta una nuova vulnerabilità, CVE-2023-0468, che potrebbe consentire a un utente senza privilegi di aumentare i privilegi per ottenere il root quando io_poll_get_ownership continuerà ad aumentare req->poll_refs su ogni io_poll_wake e poi overflow a 0, il che affronterà i file req->due volte e causerà un problema di refcount del file struct. Sono interessati i cluster GKE, inclusi i cluster Autopilot, con sistema operativo ottimizzato per i container che utilizza la versione 5.15 del kernel Linux. I cluster GKE che utilizzano immagini Ubuntu o che utilizzano GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-CVE-2023-0468

GCP-2023-014

Aggiornamento: 11/08/2023
Pubblicato il: 15/06/2023

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/08/2023 : aggiunte le versioni patch per GKE on VMware, GKE on AWS, GKE on Azure e Google Distributed Cloud Virtual for Bare Metal.

In Kubernetes sono stati scoperti due nuovi problemi di sicurezza che potrebbero consentire agli utenti di lanciare contenitori che aggirino le limitazioni dei criteri quando utilizzano contenitori effimeri e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2023-2727, CVE-2023-2728

GCP-2023-013

Pubblicato: 08/06/2023

Descrizione

Descrizione Gravità Note

Quando attivi l'API Cloud Build in un progetto, Cloud Build crea automaticamente un account di servizio predefinito per eseguire le build per tuo conto. In precedenza, questo account di servizio Cloud Build disponeva dell'autorizzazione IAM logging.privateLogEntries.list, che consentiva alle build di accedere all'elenco dei log privati per impostazione predefinita. Questa autorizzazione è stata revocata dall'account di servizio Cloud Build per rispettare il principio di sicurezza del privilegio minimo.

Per istruzioni e ulteriori dettagli, consulta Bollettino sulla sicurezza di Cloud Build.

 Bassa

GCP-2023-010

Pubblicato: 07/06/2023

Descrizione

Descrizione Gravità Note

Google ha identificato tre nuove vulnerabilità nell'implementazione di gRPC C++. Queste verranno presto pubblicate pubblicamente come CVE-2023-1428, CVE-2023-32731 e CVE-2023-32732.

Ad aprile, abbiamo identificato due vulnerabilità nelle release 1.53 e 1.54. Una era una vulnerabilità Denial of Service all'interno dell'implementazione C++ di gRPC, mentre l'altra era una vulnerabilità di esfiltrazione di dati remota. Questi problemi sono stati risolti nelle versioni 1.53.1, 1.54.2 e successive.

A marzo, i nostri team interni hanno scoperto una vulnerabilità di Denial of Service nell'implementazione C++ di gRPC durante l'esecuzione di attività di fuzzing di routine. È stato rilevato nella release gRPC 1.52 ed è stato corretto nelle release 1.52.2 e 1.53.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • È necessario eseguire l'upgrade di grpc (C++, Python, Ruby) 1.52, 1.53 e 1.54 alle seguenti release con patch:
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • Le versioni 1.51 e precedenti di grpc (C++, Python, Ruby) non sono interessate, perciò gli utenti con queste versioni non possono eseguire alcuna azione

Quali vulnerabilità vengono affrontate da queste patch?

Queste patch attenuano le seguenti vulnerabilità:

  • Le versioni 1.53.1, 1.54.2 e successive risolvono quanto segue: Vulnerabilità denial of service nell'implementazione di gRPC C++. Le richieste appositamente realizzate possono causare l'interruzione della connessione tra un proxy e un backend. Vulnerabilità di esfiltrazione di dati remota: la desincronizzazione nella tabella HPACK dovuta a limitazioni delle dimensioni dell'intestazione può portare alla fuga di dati di intestazione dai backend del proxy da altri client connessi a un proxy.
  • Le versioni 1.52.2, 1.53 e successive risolvono quanto segue: vulnerabilità denial of service all'interno dell'implementazione C++ di gRPC. L'analisi di alcune richieste formattate in modo specifico può causare un arresto anomalo che interessa un server.

Ti consigliamo di eseguire l'upgrade alle versioni più recenti dei seguenti pacchetti software elencati sopra.

 Elevata (CVE-2023-1428, CVE-2023-32731). Medio (CVE-2023-32732) CVE-2023-1428, CVE-2023-32731, CVE-023-32732

GCP-2023-009

Pubblicato il: 06/06/2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) in secrets-store-csi-driver dove un utente con accesso ai log del driver potrebbe osservare i token account di servizio.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2023-2878

GCP-2023-008

Pubblicato: 05/06/2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-1872) nel kernel Linux che può portare a escalation dei privilegi per root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1872

GCP-2023-007

Pubblicato: 02/06/2023

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità in Cloud SQL per SQL Server che account amministratore del cliente autorizzati a creare trigger nel tempdb database e usali per ottenere sysadmin dei privilegi nell'istanza. Il privilegio sysadmin concede all'aggressore l'accesso ai database di sistema e l'accesso parziale che esegue l'istanza SQL Server.

Google Cloud ha risolto il problema applicando una patch alla vulnerabilità di sicurezza entro il 1° marzo 2023. Google Cloud non ha trovato istanze dei clienti compromesse.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud SQL.

 Alta

GCP-2023-005

Pubblicato: 18/05/2023

Aggiornamento: 06/06/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 06/06/2023: le nuove versioni di GKE sono state aggiornate per includere le versioni più recenti di Ubuntu che applicano patch a CVE-2023-1281 e CVE-2023-1829.

Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi a root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1281 CVE-2023-1829

GCP-2023-004

Pubblicato il: 26/04/2023

Descrizione

Descrizione Gravità Note

In Trusted Platform Module (TPM) 2.0 sono state scoperte due vulnerabilità (CVE-2023-1017 e CVE-2023-1018).

Le vulnerabilità potrebbero aver permesso a un aggressore sofisticato di sfruttare una lettura/scrittura a 2 byte fuori dai limiti su determinate Compute Engine delle VM in esecuzione.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Compute Engine.

 Media

GCP-2023-003

Pubblicato il: 11/04/2023

Aggiornamento: 21-12-2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel di Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di aumentare i privilegi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-0240, CVE-2023-23586

GCP-2023-002

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-27496: se Envoy è in esecuzione con il filtro OAuth abilitato e esposto, un utente malintenzionato potrebbe creare una richiesta che causerebbe il denial of service causando l'arresto anomalo di Envoy.
  • CVE-2023-27488: l’utente malintenzionato può utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz.
  • CVE-2023-27493: la configurazione di Envoy deve includere anche un'opzione per aggiungere intestazioni di richiesta generate utilizzando gli input della richiesta, ad esempio il SAN del certificato peer.
  • CVE-2023-27492: gli aggressori possono inviare corpi di richieste di grandi dimensioni per le route con il filtro Lua abilitato e innescare arresti anomali.
  • CVE-2023-27491: gli aggressori possono inviare richieste HTTP/2 o HTTP/3 create appositamente per attivare errori di analisi sul servizio upstream HTTP/1.
  • CVE-2023-27487: l'intestazione "x-envoy-original-path" dovrebbe essere un'intestazione interna, ma Envoy non la rimuove dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2023-001

Pubblicato il: 01/03/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

È stata scoperta una nuova vulnerabilità (CVE-2022-4696) nel kernel Linux che può a un'escalation dei privilegi sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-4696

GCP-2022-026

Pubblicato: 11/01/2023

Descrizione

Descrizione Gravità Note

Sono state rilevate due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) rilevato in OpenSSL v3.0.6 che potrebbe causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2022-025

Pubblicato: 21/12/2022
Ultimo aggiornamento: 19/01/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento 19-01-2023: sono state aggiunte informazioni che È disponibile la versione di GKE 1.21.14-gke.14100.

In OpenSSL 3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che possono potenzialmente causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2022-024

Pubblicato: 09/11/2022

Aggiornamento: 19/01/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 19-01-2023: sono state aggiunte informazioni che È disponibile la versione di GKE 1.21.14-gke.14100.

Aggiornamento 16/12/2022: aggiunte versioni patch per GKE e GKE su VMware.

Nel kernel Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare alla separazione di un container completo sul nodo.

Per istruzioni e ulteriori dettagli, consulta:

Alta

GCP-2022-023

Pubblicato il: 04/11/2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-39278, in Istio, utilizzato in Cloud Service Mesh, che consente a un malintenzionato di arrestare in modo anomalo il control plane.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-39278

GCP-2022-022

Pubblicato: 28/10/2022

Aggiornato: 14/12/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 14/12/2022: sono state aggiunte le versioni delle patch per GKE e GKE su VMware.

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-20409) che potrebbe consentire a un utente senza privilegi di eseguire l'escalation al privilegio di esecuzione di sistema.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-20409

GCP-2022-021

Pubblicato: 27/10/2022

Ultimo aggiornamento: 19/01/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento 19-01-2023: sono state aggiunte informazioni che È disponibile la versione di GKE 1.21.14-gke.14100.

Aggiornamento del 15/12/2022: sono state aggiornate le informazioni sulla versione 1.21.14-gke.9400 di Google Kubernetes Engine, che è in attesa di implementazione e potrebbe essere sostituita da un numero di versione superiore.

Aggiornamento 22/11/2022: aggiunte versioni patch per GKE on VMware, GKE su AWS e GKE su Azure.

Nel kernel Linux è stata scoperta una nuova vulnerabilità, CVE-2022-3176, che può e l'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di raggiungere un'implementazione completa del container per eseguire il root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-3176

GCP-2022-020

Pubblicato il: 05/10/2022

Aggiornato: 12/10/2022

Descrizione

Descrizione Gravità Note

Il control plane di Istio istiod è vulnerabile a un errore di elaborazione delle richieste, che consente a un malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida per un cluster è esposto pubblicamente. Questo viene gestito sulla porta TLS 15017, ma non richiede l’autenticazione da parte dell’autore dell’attacco.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2022-39278

GCP-2022-019

Pubblicato: 22/09/2022

Descrizione

Descrizione Gravità Note

Una vulnerabilità nell'analisi dei messaggi e nella gestione della memoria in Le implementazioni C++ e Python di ProtocolBuffer possono attivare di memoria (OOM) durante l'elaborazione di un messaggio appositamente creato. Ciò potrebbe portare a un attacco denial of service (DoS) sui servizi che utilizzano le librerie.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti di software:

  • protobuf-cpp (3.18.3, 3.19.5, 3.20.2, 3.21.6)
  • protobuf-python (3.18.3, 3.19.5, 3.20.2, 4.21.6)

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

Un piccolo messaggio appositamente creato che causa il servizio in esecuzione per allocare grandi quantità di RAM. Le dimensioni ridotte della richiesta indicano che è facile sfruttare la vulnerabilità ed eliminare Google Cloud. Sistemi C++ e Python che utilizzano protobuf non attendibili sarebbero vulnerabili agli attacchi DoS se contengono un MessageSet nella richiesta RPC.

Media CVE-2022-1941

GCP-2022-018

Pubblicato il: 01/08/2022

Aggiornamento: 14-09-2022, 21-12-2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarire che GKE I cluster Autopilot nella configurazione predefinita non interessati.

Aggiornamento del 14/09/2022: sono state aggiunte le versioni delle patch per GKE su VMware, GKE su AWS e GKE su Azure.

È stata scoperta una nuova vulnerabilità (CVE-2022-2327) nel Kernel Linux che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-2327

GCP-2022-017

Pubblicato il: 29/06/2022
Aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: i carichi di lavoro che utilizzano GKE Sandbox non sono interessati da queste vulnerabilità.

Aggiornamento 21/07/2022: informazioni aggiuntive su GKE su VMware.

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni 5.10 e 5.11 del kernel Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Sono interessati solo i cluster che eseguono Container-Optimized OS. Le versioni GKE Ubuntu utilizzano la versione 5.4 o 5.15 del kernel, e non sono interessati.

Per istruzioni e ulteriori dettagli, consulta:

 Alta CVE-2022-1786

GCP-2022-016

Pubblicato il: 23/06/2022
Aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 22/11/2022: i cluster Autopilot non sono interessati da CVE-2022-29581, ma sono vulnerabili a CVE-2022-29582 e CVE-2022-1116.

Tre nuove vulnerabilità di danneggiamento della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116) sono stati scoperti in del kernel Linux. Queste vulnerabilità consentono a un utente senza privilegi l'accesso locale al cluster per ottenere un'implementazione completa del container sul nodo. Sono interessati tutti i cluster Linux (Container-Optimized OS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2022-015

Pubblicato: 09/06/2022
Ultimo aggiornamento: 10/06/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/06/2022: le versioni di Cloud Service Mesh sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta Bollettino sulla sicurezza di Cloud Service Mesh.

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio on GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2022-31045: il piano dati Istio può accedere alla memoria in modo potenzialmente non sicuro quando sono abilitate le estensioni Metadata Exchange e Statistiche.
  • CVE-2022-29225: i dati possono superare i limiti del buffer intermedio se un malintenzionato passa un piccolo payload altamente compresso (attacco di bomba zip).
  • CVE-2021-29224: potenziale dereferenza di puntatore null in GrpcHealthCheckerImpl.
  • CVE-2021-29226: il filtro OAuth consente un bypass banale.
  • CVE-2022-29228: il filtro OAuth può danneggiare la memoria (versioni precedenti) o attivare un'istruzione ASSERT() (versioni successive).
  • CVE-2022-29227: arresto anomalo dei reindirizzamenti interni per richieste con carrozzeria o trailer.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Critico

GCP-2022-014

Pubblicato: 26/04/2022
Ultimo aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: i cluster e i carichi di lavoro GKE Autopilot in esecuzione in GKE Sandbox non sono interessati.

Aggiornamento del 12/05/2022: GKE su AWS e Le versioni di GKE on Azure sono state aggiornate. Per istruzioni e altri dettagli, consulta:

Nel kernel di Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuno può consentire a un malintenzionato locale di eseguire un'estrazione dal contenitore, l'escalation dei privilegi sull'host o entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-1055
CVE-2022-27666

GCP-2022-013

Pubblicato il: 11/04/2022
Aggiornamento: 22/04/2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del traversale del percorso di containerd nella specifica del volume dell'immagine OCI. I container lanciati tramite l'implementazione CRI di containerd con una configurazione di immagine appositamente creata potrebbero ottenere l'accesso completo in lettura a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe aggirare qualsiasi applicazione basata su criteri per la configurazione dei container (incluso un criterio di sicurezza dei pod Kubernetes).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media CVE-2022-23648

GCP-2022-012

Pubblicato: 07/04/2022
Ultimo aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: per i cluster GKE in entrambe le modalità, Standard e Autopilot, i carichi di lavoro che utilizzano GKE Sandbox non sono interessati.

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, nel kernel Linux 5.8 e versioni successive che può potenzialmente eseguire l'escalation dei privilegi del contenitore a root. Questa vulnerabilità interessa i seguenti prodotti:

  • Versioni del pool di nodi GKE 1.22 e successive che utilizzano immagini Container-Optimized OS (Container-Optimized OS 93 e versioni successive)
  • GKE on VMware v1.10 per immagini di Container-Optimized OS
  • GKE su AWS v1.21 e GKE su AWS (generazione precedente) v1.19, v1.20, v1.21, che utilizzano Ubuntu
  • Cluster gestiti di GKE su Azure versione 1.21 che utilizzano Ubuntu

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-0847

GCP-2022-011

Pubblicato: 22/03/2022
Ultimo aggiornamento: 11/08/2022

Descrizione

Descrizione Gravità

Aggiornamento del 11/08/2022: sono state aggiunte ulteriori informazioni sulla configurazione del multi-threading simultaneo (SMT). Lo scopo di SMT era disattivato, ma è stato attivato nelle versioni elencate.

Se hai attivato manualmente SMT per un pool di nodi con limitazione tramite sandbox, SMT rimarrà attivato manualmente nonostante il problema.

Esiste una configurazione errata del multi-threading simultaneo (SMT), noto anche come hyper-threading, nelle immagini GKE Sandbox. L'errata configurazione lascia i nodi potenzialmente esposti Attacchi a canale laterale come Microarchitectural Data Sampling (MDS) (per ulteriori informazioni, consulta la documentazione di GKE Sandbox). Ti sconsigliamo di utilizzare le seguenti versioni interessate:

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE.

 Media

GCP-2022-010

Descrizione

Descrizione Gravità Note

Il seguente CVE Istio espone Cloud Service Mesh a un server vulnerabilità sfruttabile:

  • CVE-2022-24726: il control plane di Istio, "istiod", è vulnerabile a un errore di elaborazione delle richieste, che consente a un malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida per un cluster è esposto pubblicamente. Questo endpoint viene gestito tramite la porta TLS 15017 ma non richiedono l'autenticazione da parte dell'utente malintenzionato.

Per istruzioni e ulteriori dettagli, consulta il seguente bollettino sulla sicurezza:

Alta

GCP-2022-009

Pubblicato il: 01/03/2022

Descrizione

Descrizione Gravità

Alcuni percorsi imprevisti per accedere alla VM del nodo sui cluster GKE Autopilot potrebbero essere stati utilizzati per eseguire la riassegnazione dei privilegi nel cluster. Questi problemi sono stati risolti e non sono necessarie ulteriori azioni. Le correzioni risolvono i problemi segnalati tramite il nostro Vulnerability Reward Program.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE.

 Bassa

GCP-2022-008

Pubblicato: 23/02/2022
Ultimo aggiornamento: 28/04/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 28/04/2022: sono state aggiunte versioni di GKE on VMware che risolvono questi problemi le vulnerabilità. Per informazioni dettagliate, consulta il Bollettino sulla sicurezza di GKE on VMware.

Il progetto Envoy ha recentemente scoperto una serie di vulnerabilità. Tutti i problemi elencati di seguito sono stati risolti nella release 1.21.1 di Envoy.
  • CVE-2022-23606: quando un cluster viene eliminato tramite il servizio Cluster Discovery Service (CDS), tutte le connessioni inattive stabilite con gli endpoint del cluster vengono disconnesse. R la ricorsione è stata introdotta per errore nella versione 1.19 di Envoy alla procedura. alla disconnessione delle connessioni inattive che possono portare all'esaurimento dello stack terminazione anomala del processo quando un cluster ha un elevato numero di e connessioni a Internet.
  • CVE-2022-21655: Il codice di reindirizzamento interno di Envoy presuppone che esista una voce di route. Quando il reindirizzamento interno viene eseguito verso una route che ha una voce di risposta diretta e nessuna voce di route, provoca il deriferimento di un puntatore nullo e l'arresto anomalo.
  • CVE-2021-43826: Quando Envoy è configurato per utilizzare tcp_proxy che utilizza il tunneling upstream (tramite HTTP) e la terminazione TLS downstream, Envoy si arresta in modo anomalo se il client downstream si disconnette durante l'handshake TLS mentre lo stream HTTP upstream è ancora in fase di creazione. La disconnessione downstream può essere avviato dal client o dal server. Il cliente può disconnettersi per qualsiasi motivo. Il server potrebbe disconnettersi se, ad esempio, non dispone di crittografi TLS o di versioni del protocollo TLS compatibili con il client. Potrebbe essere possibile attivano questo arresto anomalo anche in altre configurazioni downstream.
  • CVE-2021-43825: L'invio di una risposta generata localmente deve interrompere l'elaborazione successiva i dati delle richieste e delle risposte. Envoy monitora la quantità di dati delle richieste e delle risposte in buffer e interrompe la richiesta se la quantità di dati in buffer supera il limite inviando risposte 413 o 500. Tuttavia, quando viene inviata la risposta generata localmente a causa di overflow del buffer interno durante l'elaborazione della risposta da parte della catena di filtri, l'operazione potrebbe non essere interrotta correttamente e comportare l'accesso a un blocco di memoria liberato.
  • CVE-2021-43824: Envoy si arresta in modo anomalo quando si utilizza il filtro JWT con una regola di corrispondenza "safe_regex" e una richiesta appositamente creata come "CONNECT host:port HTTP/1.1". Quando raggiungendo il filtro JWT, una "safe_regex" deve valutare il percorso dell'URL ma non ce n'è nessuno qui e Envoy si arresta in modo anomalo con errori segreti.
  • CVE-2022-21654: Envoy consentirebbe erroneamente la ripresa delle sessioni TLS dopo la convalida mTLS impostazioni sono state riconfigurate. Se è stato consentito un certificato client con la vecchia configurazione ma non consentita con la nuova, il client potrebbe riprendere la sessione TLS precedente anche se la configurazione attuale non dovrebbe essere consentito. Le modifiche alle seguenti impostazioni sono interessate:
    • match_subject_alt_names
    • Modifiche ai CRL
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657: Envoy non limita l'insieme di certificati che accetta dal peer, come client TLS o server TLS, solo per i certificati che contenere l'utilizzo esteso necessario (id-kp-serverAuth e id-kp-clientAuth). Ciò significa che un collega può presentare certificato email (ad es. id-kp-emailProtection), come foglia o come CA nella catena, e sarà accettato per TLS. Questo è particolarmente grave se combinato con la vulnerabilità CVE-2022-21656, in quanto consente a una CA PKI web destinata esclusivamente all'utilizzo con S/MIME, e quindi esente da controlli o supervisione, di emettere certificati TLS che verranno accettati da Envoy.
  • CVE-2022-21656: L'implementazione dello strumento di convalida utilizzata per implementare il certificato predefinito delle routine di convalida presenta una "confusione sul tipo" bug durante l'elaborazione subjectAltNames Questa elaborazione consente, ad esempio, di autenticare un rfc822Name o uniformResourceIndicator come nome di dominio. Questo consente di aggirare i nameConstraints, così come vengono elaborati l'implementazione di OpenSSL/BoringSSL sottostante, con conseguente possibilità di impersonificazione di server arbitrari.
Per istruzioni dettagliate su prodotti specifici, consulta i seguenti bollettini sulla sicurezza:
di Gemini Advanced. Che cosa devo fare?
Gli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi di utilizzare la versione 1.21.1 di Envoy. Gli utenti Envoy che gestiscono i propri Envoy creano i file binari da un'origine come GitHub e ne eseguono il deployment.

Non è richiesta alcuna azione da parte degli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy), per i quali i prodotti Google Cloud passeranno alla versione 1.21.1. 		Alta CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654
CVE-2022-21657
CVE-2022-21656

GCP-2022-007

Pubblicato il: 22/02/2022

Descrizione

Descrizione Gravità Note

I seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE per le vulnerabilità sfruttabili da remoto:

  • CVE-2022-23635: Istiod si arresta in modo anomalo alla ricezione di richieste con un'intestazione authorization appositamente creata.
  • CVE-2021-43824: potenziale scollegamento di un puntatore nullo quando si utilizza la corrispondenza del filtro JWT safe_regex
  • CVE-2021-43825: uso dopo svuotamento quando i filtri di risposta aumentano i dati di risposta e i dati aumentati superano i limiti del buffer a valle.
  • CVE-2021-43826: uso dopo svuotamento durante il tunneling TCP su HTTP, se la connessione a valle si disconnette durante l'instaurazione della connessione a monte.
  • CVE-2022-21654: la gestione errata della configurazione consente il riutilizzo della sessione mTLS senza nuova convalida dopo la modifica delle impostazioni di convalida.
  • CVE-2022-21655: gestione errata dei reindirizzamenti interni alle route con una voce di risposta diretta.
  • CVE-2022-23606: esaurimento dello stack quando viene eliminato un cluster tramite Cluster Discovery Service.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2022-006

Pubblicato: 14/02/2022
Ultimo aggiornamento: 16/05/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/05/2022: è stata aggiunta la versione GKE 1.19.16-gke.7800 o successiva all'elenco delle versioni con codice per correggere questa vulnerabilità. Per maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Aggiornamento del 12/05/2022: le versioni GKE, GKE su VMware, GKE su AWS e GKE su Azure sono state aggiornate. Per istruzioni e maggiori dettagli, consulta:

Una vulnerabilità di sicurezza, CVE-2022-0492, è stato rilevato nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi utente non privilegiati e, in determinate circostanze, questa vulnerabilità può essere sfruttata per l'estrazione dal contenitore.

 Bassa

Per istruzioni e ulteriori dettagli, consulta:

GCP-2022-005

Pubblicato: 11/02/2022
Ultimo aggiornamento: 15/02/2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-43527, in ogni file binario che si collega le versioni vulnerabili di libnss3 presenti nelle versioni di NSS (Network Security Services) precedenti a 3.73 o 3.68.1. Applicazioni che utilizzano NSS per la convalida dei certificati o altre protocolli TLS, X.509, La funzionalità di OCSP o CRL potrebbe essere influenzata, a seconda di come viene utilizzato/configurato NSS.

Per istruzioni e ulteriori dettagli, consulta:

Media CVE-2021-43527

GCP-2022-004

Pubblicato il: 04/02/2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-4034, in pkexec, parte del pacchetto del kit di criteri di Linux (polkit), che consente a un utente autenticato di eseguire un attacco di escalation dei privilegi. PolicyKit viene generalmente utilizzato solo sui sistemi desktop Linux per consentire agli utenti non root di eseguire azioni come riavviare il sistema, installare pacchetti, riavviare servizi e così via, come regolato da un criterio.

Per istruzioni e ulteriori dettagli, consulta:

Nessuno CVE-2021-4034

GCP-2022-002

Pubblicato: 01/02/2022
Ultimo aggiornamento: 25/02/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/02/2022: le versioni GKE sono state aggiornate. Per istruzioni e maggiori dettagli, consulta:

Aggiornamento 23/02/2022: il cluster GKE e Le versioni di GKE on VMware sono state aggiornate. Per istruzioni e maggiori dettagli, consulta:

Aggiornamento del 04/02/2022: la data di inizio dell'implementazione delle versioni con patch di GKE è stata il 2 febbraio.

Tre vulnerabilità di sicurezza, CVE-2021-4154, CVE-2021-22600, e CVE-2022-0185, nel kernel Linux, ognuno dei quali può portare a una container breakout, a un'escalation dei privilegi sull'host o a entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE su VMware, GKE su AWS (attuale e generazione precedente) e GKE su Azure. I pod che utilizzano GKE Sandbox non sono vulnerabili a queste vulnerabilità. Per ulteriori dettagli, consulta le note di rilascio di COS.

Per istruzioni e ulteriori dettagli, consulta:

Alta

GCP-2022-001

Pubblicato: 06/01/2022

Descrizione

Descrizione Gravità Note

Un potenziale problema di denial of service in protobuf-java è stato rilevato nella procedura di analisi dei dati binari.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti software di spedizione:

  • protobuf-java (3.16.1, 3.18.2, 3.19.2)
  • protobuf-kotlin (3.18.2, 3.19.2)
  • google-protobuf [gem JRuby] (3.19.2)

Gli utenti di Protobuf "javalite" (in genere Android) non sono interessati.

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

Una debolezza dell'implementazione nel modo in cui i campi sconosciuti vengono analizzati in Java. Un caricamento utile malevolo di piccole dimensioni (~800 KB) può occupare il parser per diversi minuti creando un numero elevato di oggetti di breve durata che causano frequenti, ripetute interruzioni della raccolta dei rifiuti.

 Alta CVE-2021-22569

GCP-2021-024

Pubblicato il: 21/10/2021

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza in Kubernetes controller ingress-nginx, CVE-2021-25742. Gli snippet personalizzati Ingress-nginx consentono di recuperare ingress-nginx i token e i secret dell'account di servizio in tutti gli spazi dei nomi.

Per istruzioni e ulteriori dettagli, consulta:

Nessuno CVE-2021-25742

GCP-2021-019

Pubblicato: 29/09/2021

Descrizione

Descrizione Gravità Note

Esiste un problema noto per cui l'aggiornamento di una risorsa BackendConfig utilizzando l'API v1beta1 rimuove un criterio di sicurezza di Google Cloud Armor attivo dal servizio.

Per istruzioni e ulteriori dettagli, consulta la sezione GKE bollettino sulla sicurezza.

 Bassa

GCP-2021-022

Pubblicato il: 22/09/2021

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità nel servizio di identità GKE Enterprise (AIS) Modulo LDAP di GKE on VMware versioni 1.8 e 1.8.1 dove una la chiave seed utilizzata per generare le chiavi è prevedibile. Con questa vulnerabilità, un utente autenticato potrebbe aggiungere rivendicazioni arbitrarie ed eseguire l'escalation dei privilegi a tempo indeterminato.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE su VMware.

 Alta

GCP-2021-021

Pubblicato il: 22/09/2021

Descrizione

Descrizione Gravità Note

In Kubernetes è stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, che consente di creare determinati webhook per reindirizzare le richieste di kube-apiserver alle reti private di quel server API.

Per istruzioni e ulteriori dettagli, consulta:

Media CVE-2020-8561

GCP-2021-023

Pubblicato: 21/09/2021

Descrizione

Descrizione Gravità Note

In base all'avviso sulla sicurezza VMware VMSA-2021-0020, VMware ha ricevuto report di più vulnerabilità in vCenter. VMware ha apportato aggiornamenti disponibili per correggere queste vulnerabilità nella piattaforma VMware interessata prodotti di big data e machine learning.

Abbiamo già applicato le patch fornite da VMware per Stack vSphere verso Google Cloud VMware Engine per la sicurezza VMware avviso. Questo aggiornamento risolve le vulnerabilità di sicurezza descritte in CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 e CVE-2021-22010. Altri problemi di sicurezza non critici verranno risolti nell'imminente upgrade dello stack VMware (in base all'avviso inviato a luglio, a breve verranno forniti ulteriori dettagli sulle tempistiche specifiche dell'upgrade).

Impatto di VMware Engine

Dalle nostre indagini è emerso che nessun cliente è interessati.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-020

Pubblicato: 17/09/2021

Descrizione

Descrizione Gravità Note

Alcuni bilanciatori del carico di Google Cloud che indirizzano a un servizio di backend abilitato per Identity-Aware Proxy (IAP) potrebbero essere stati vulnerabili a una parte non attendibile in condizioni limitate. Questo aggiornamento risolve un problema segnalato tramite il nostro Vulnerability Reward Program.

In base alle condizioni, i server:
  • Erano bilanciatori del carico HTTP(S) e
  • È stato utilizzato un backend predefinito o un backend con una regola di mappatura host con caratteri jolly (ossia host="*")

Inoltre, un utente della tua organizzazione deve aver fatto clic su un link creato appositamente inviato da una terza parte non attendibile.

Il problema è stato risolto. A partire dal 17 settembre 2021, IAP è stato aggiornato per emettere cookie solo per gli host autorizzati. Un host è considerato autorizzato se corrisponde ad almeno un Nome alternativo del soggetto (SAN) in uno dei certificati installati sui bilanciatori del carico.

Cosa fare

Alcuni dei tuoi utenti potrebbero riscontrare una risposta HTTP 401 Non autorizzata con il codice di errore IAP 52 durante il tentativo di accedere ad app o servizi. Questo codice di errore indica che il client ha inviato un'intestazione Host che non corrisponde a nessun nome alternativo dell'oggetto associato ai certificati SSL del bilanciatore del carico. L'amministratore del bilanciatore del carico deve aggiornare il certificato SSL per assicurarsi che l'elenco Subject Alternative Name (SAN) contenga tutti i nomi host tramite i quali gli utenti accedono alle app o ai servizi protetti da IAP. Scopri di più sui codici di errore IAP.

Alta

GCP-2021-018

Pubblicato il: 15/09/2021
Ultimo aggiornamento: 20/09/2021

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza in Kubernetes, CVE-2021-25741, in cui un utente potrebbe essere in grado di creare un container con montaggi di volume del percorso secondario accedere a file e all'esterno del volume, incluse le directory host file system in esecuzione.

Per istruzioni e ulteriori dettagli, consulta:

Alta CVE-2021-25741

GCP-2021-017

Pubblicato: 01/09/2021
Ultimo aggiornamento: 23/09/2021

Descrizione

Descrizione Gravità Note

Aggiornamento 23/09/2021: container in esecuzione all'interno di GKE Sandbox non sono interessate da questa vulnerabilità per gli attacchi che hanno origine all'interno del container.

Due vulnerabilità di sicurezza: le CVE-2021-33909 e CVE-2021-33910, sono state rilevati nel kernel Linux che possono causare un arresto anomalo del sistema operativo e riassegnare il problema al root da parte di un utente senza privilegi. Questa vulnerabilità interessa tutti i sistemi operativi con nodi GKE (COS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-33909, CVE-2021-33910

GCP-2021-016

Pubblicato: 24/08/2021

Descrizione

Descrizione Gravità Note

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio on GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2021-39156: le richieste HTTP con un frammento (una sezione alla fine di un URI che inizia con il carattere #) nel percorso dell'URI potrebbero aggirare i criteri di autorizzazione basati sul percorso dell'URI di Istio.
  • CVE-2021-39155: le richieste HTTP potrebbero potenzialmente ignorare un criterio di autorizzazione Istio quando si utilizzano regole basate su hosts o notHosts.
  • CVE-2021-32781: interessa le estensioni decompressor, json-transcoder o grpc-web di Envoy o le estensioni proprietarie che modificano e aumentano le dimensioni degli corpi di richiesta o di risposta. La modifica e l'aumento delle dimensioni del corpo dell'estensione di un Envoy oltre la dimensione del buffer interno potrebbe portare Envoy ad accedere alla memoria dealallocata e a terminarsi in modo anomalo.
  • CVE-2021-32780: un servizio upstream non attendibile potrebbe causare l'interruzione anomala di Envoy inviando il frame GOAWAY seguito dal frame SETTINGS con il parametro SETTINGS_MAX_CONCURRENT_STREAMS impostato su 0. (Non applicabile a Istio on GKE)
  • CVE-2021-32778: un client Envoy che apre e reimposta un numero elevato di richieste HTTP/2 potrebbe causare un consumo eccessivo della CPU. (Non applicabile a Istio su GKE)
  • CVE-2021-32777: le richieste HTTP con più intestazioni di valore potrebbero eseguire un controllo incompleto dei criteri di autorizzazione quando viene utilizzata l'estensione ext_authz.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2021-015

Pubblicato: 13/07/2021
Ultimo aggiornamento:
2021/07/15

Descrizione

Descrizione Gravità Note

Una nuova vulnerabilità di sicurezza, CVE-2021-22555, è stata individuata la posizione in cui un utente malintenzionato con privilegi di CAP_NET_ADMIN può potenzialmente causare il rooting di un container sull'host. Questa vulnerabilità interessa tutti i cluster GKE GKE on VMware con Linux versione 2.6.19 o successiva.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-22555

GCP-2021-014

Pubblicato: 05/07/2021

Descrizione

Descrizione Gravità Note

Microsoft ha pubblicato un bollettino sulla sicurezza relativo a una vulnerabilità di esecuzione di codice remoto (RCE), CVE-2021-34527, che interessa lo spooler di stampa nei server Windows. Il CERT Coordination Center (CERT/CC) ha pubblicato una nota di aggiornamento su una vulnerabilità correlata, denominata "PrintNightmare" che interessa anche gli spooler di stampa Windows - PrintNightmare, Vulnerabilità critica dello spooler di stampa di Windows

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE.

Alta CVE-2021-34527

GCP-2021-012

Pubblicato il: 24/06/2021
Aggiornamento: 09/07/2021

Descrizione

Descrizione Gravità Note

Il progetto Istio di recente annunciato una vulnerabilità di sicurezza in cui le credenziali specificate nel gateway e È possibile accedere al campo credentialName di destinationRule da diverse spazi dei nomi.

Per istruzioni specifiche per il prodotto e ulteriori dettagli, consulta:

 Alta CVE-2021-34824

GCP-2021-011

Pubblicato il: 04/06/2021
Ultimo aggiornamento: 19/10/2021

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/10/2021:

Per istruzioni e maggiori dettagli, consulta i seguenti bollettini sulla sicurezza:

La community di sicurezza ha recentemente divulgato una nuova vulnerabilità di sicurezza (CVE-2021-30465) trovata in runc che potrebbe consentire l'accesso completo al file system di un nodo.

Per GKE, poiché lo sfruttamento di questa vulnerabilità richiede la possibilità di creare pod, abbiamo valutato la gravità di questa vulnerabilità come MEDIA.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE.

Media CVE-2021-30465

GCP-2021-010

Pubblicato: 25/05/2021

Descrizione

Descrizione Gravità Note

In base all'avviso sulla sicurezza VMware VMSA-2021-0010, esecuzione di codice remoto e le vulnerabilità di bypass dell'autenticazione in vSphere Client (HTML5) sono state segnalato privatamente a VMware. VMware ha reso disponibili gli aggiornamenti risolvere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le patch fornite da VMware per lo stack vSphere in base all'avviso sulla sicurezza di VMware. Questo aggiornamento riguarda la sicurezza vulnerabilità descritte in CVE-2021-21985 e CVE-2021-21986. La versioni delle immagini in esecuzione nelle tue VMware Engine cloud non riflettano alcuna modifica in questo momento per indicare le patch applicati. Ti assicuriamo che sono state installate patch appropriate e che il tuo ambiente è protetto da queste vulnerabilità.

Impatto di VMware Engine

Dalle nostre indagini è emerso che nessun cliente è stato interessato.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-008

Pubblicato il: 17/05/2021

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto in cui un client esterno può accedere a servizi imprevisti nel cluster, bypassando i controlli di autorizzazione, quando un gateway è configurato con la configurazione di routing AUTO_PASSTHROUGH.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31921

GCP-2021-007

Pubblicato: 17/05/2021

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto in cui un percorso della richiesta HTTP con più barre o caratteri barra emessi (%2F o %5C) potrebbe potenzialmente aggirare un criterio di autorizzazione Istio quando vengono utilizzate regole di autorizzazione basate sul percorso.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31920

GCP-2021-006

Pubblicato il: 11/05/2021

Descrizione

Descrizione Gravità Note

Di recente il progetto Istio ha divulgato una nuova vulnerabilità di sicurezza (CVE-2021-31920) che interessa Istio.

Istio contiene una vulnerabilità sfruttabile in remoto per cui una richiesta HTTP con più barre o barre con caratteri di escape possono bypassare Istio criterio di autorizzazione quando vengono usate regole di autorizzazione basate sul percorso.

Per istruzioni e ulteriori dettagli, consulta:

Alta

 CVE-2021-31920

GCP-2021-005

Pubblicato il: 11/05/2021

Descrizione

Descrizione Gravità Note

Una vulnerabilità segnalata indica che Envoy non decodifica i caratteri di escape sequenze a barre %2F e %5C nei percorsi degli URL HTTP in Envoy versione 1.18.2 e precedenti. Inoltre, alcuni modelli di archiviazione I prodotti non abilitano controlli di normalizzazione dei percorsi. Un utente malintenzionato remoto potrebbe creare un percorso con barre oblique con codifica (ad esempio /something%2F..%2Fadmin,) per bypassare il controllo dell'accesso (ad esempio un blocco su /admin). Un server di backend potrebbe quindi decodificare le sequenze di barre oblique e normalizzare il percorso per fornire all'utente malintenzionato l'accesso oltre l'ambito previsto dal criterio di controllo dell'accesso.

Che cosa devo fare?

Se i server di backend trattano / e %2F o \ e %5C in modo intercambiabile ed è configurata una corrispondenza basata sul percorso dell'URL, ti consigliamo di riconfigurare il server di backend in modo da non trattare \ e %2F o \ e %5C in modo intercambiabile, se possibile.

Quali modifiche comportamentali sono state introdotte?

Le opzioni normalize_path e merge adjacent slashes di Envoy sono state attivate per risolvere altre vulnerabilità comuni di confusione dei percorsi nei prodotti basati su Envoy.

Alta

 CVE-2021-29492

GCP-2021-004

Pubblicato il: 06/05/2021

Descrizione

Descrizione Gravità Note

I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258), che potrebbero consentire a un malintenzionato di arrestare in modo anomalo Envoy.

I cluster Google Kubernetes Engine non eseguono Istio per impostazione predefinita e non sono vulnerabili. Se Istio è stato installato in un cluster e configurato per l'esposizione internet, questi servizi possono essere soggetti al rifiuto completamente gestito di Google Cloud.

Google Distributed Cloud Virtual for Bare Metal e GKE on VMware utilizzano Envoy tramite predefinita per Ingress, quindi i servizi Ingress potrebbero essere vulnerabili al rifiuto di completamente gestito di Google Cloud.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media

GCP-2021-003

Pubblicato il: 19/04/2021

Descrizione

Descrizione Gravità Note

Di recente il progetto Kubernetes ha annunciato una nuova vulnerabilità di sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di ammissione con convalida.

In uno scenario in cui un aggressore ha abbastanza privilegi e dove è implementato un webhook di convalida di ammissione che utilizza le vecchie proprietà dell'oggetto Node (ad esempio i campi in Node.NodeSpec), l'aggressore potrebbe aggiornare le proprietà di un che potrebbe causare la compromissione del cluster. Nessuna delle norme applicate dai controller di ammissione integrati di GKE e Kubernetes è interessata, ma consigliamo ai clienti di controllare eventuali webhook di ammissione aggiuntivi che hanno installato.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media

CVE-2021-25735

GCP-2021-002

Pubblicato il: 05/03/2021

Descrizione

Descrizione Gravità Note

In base all'avviso sulla sicurezza VMware VMSA-2021-0002, VMware ha ricevuto report di vulnerabilità multiple in VMware ESXi e vSphere Client (HTML5). VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le soluzioni alternative documentate ufficialmente per lo stack vSphere in base all'avviso sulla sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità di sicurezza descritte in CVE-2021-21972, CVE-2021-21973 e CVE-2021-21974.

Impatto di VMware Engine

Dalle nostre indagini è emerso che nessun cliente è stato interessato.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-001

Pubblicato: 28/01/2021

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nell'utilità sudo per Linux, descritta in CVE-2021-3156, che potrebbe consentire a un utente malintenzionato con accesso alla shell locale senza privilegi su un sistema su cui è installato sudo di eseguire l'escalation dei propri privilegi a utente root sul sistema.

L'infrastruttura di base su cui viene eseguito Compute Engine non è interessata da questa vulnerabilità.

Tutti i servizi Google Kubernetes Engine (GKE), GKE on VMware, GKE su AWS, e i cluster Google Distributed Cloud Virtual for Bare Metal non sono interessati da questa vulnerabilità.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Nessuno CVE-2021-3156

GCP-2020-015

Pubblicato il: 07/12/2020
Ultimo aggiornamento: 22/12/2020

Descrizione

Descrizione Gravità Note

Aggiornamento: 22/12/2021 Il comando per GKE nella sezione seguente deve utilizzare gcloud beta anziché il comando gcloud. 

gcloud container clusters update –no-enable-service-externalips
Aggiornamento del 15/12/2021 Per GKE, ora è disponibile la seguente misura di mitigazione:
  1. A partire dalla versione 1.21 di GKE, i servizi con indirizzi IP esterni sono bloccati da un DenyServiceExternalIPs controller di ammissione abilitato per impostazione predefinita per i nuovi cluster.
  2. I clienti che eseguono l'upgrade alla versione 1.21 di GKE possono bloccare i servizi con IPvesterni utilizzando il seguente comando: 
    gcloud container clusters update –no-enable-service-externalips

Per ulteriori informazioni, consulta Rafforzamento della sicurezza del cluster.

Il progetto Kubernetes ha recentemente scoperto una nuova vulnerabilità di sicurezza, CVE-2020-8554, che potrebbe consentire a un utente malintenzionato che ha ottenuto le autorizzazioni per creare un servizio Kubernetes di tipo LoadBalancer o ClusterIP di intercettare il traffico di rete proveniente da altri pod nel cluster. Questa vulnerabilità da sola non concede all'utente malintenzionato le autorizzazioni per creare un servizio Kubernetes.

Tutti i servizi Google Kubernetes Engine (GKE), GKE on VMware e I cluster GKE su AWS sono interessati da questa vulnerabilità.

Che cosa devo fare?

Per istruzioni e ulteriori dettagli, consulta:

Media

 CVE-2020-8554

GCP-2020-014

Pubblicato: 20/10/2020
Ultimo aggiornamento: 20/10/2020

Descrizione

Descrizione Gravità Note

Il progetto Kubernetes ha recentemente scoperto diversi problemi che consentono l'esposizione di dati riservati quando sono attivate le opzioni di logging dettagliato. I problemi sono:

  • CVE-2020-8563: fughe di secret nei log per il provider vSphere kube-controller-manager
  • CVE-2020-8564: i secret di configurazione di Docker sono stati divulgati quando il file non è formattato correttamente e il livello di log è >= 4
  • CVE-2020-8565: la correzione incompleta per CVE-2019-11250 in Kubernetes consente la fuga di token nei log quando il livello log è >= 9. Scoperto da GKE Security.
  • CVE-2020-8566: i segreti amministratore Ceph RBD sono esposti nei log quando il livello log è >= 4

Che cosa devo fare?

Non sono necessarie ulteriori azioni a causa dei livelli di logging della verbosità predefiniti di GKE.

Nessuno

Impatto su Google Cloud

I dettagli relativi a ciascun prodotto sono elencati di seguito.

Prodotto

Impatto

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) non è interessato.

GKE On-Prem

GKE On-Prem non è interessato.

GKE su AWS

GKE su AWS non è interessato.

GCP-2020-013

Pubblicato: 29-09-2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1472: una vulnerabilità in Windows Server consente agli utenti malintenzionati di utilizzare il protocollo remoto Netlogon per eseguire un'applicazione creata appositamente su un dispositivo della rete.

Punteggio di base NVD: 10 (critico)

CVE-2020-1472

Per ulteriori informazioni, consulta la divulgazione di Microsoft.

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non subirà modifiche da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1472

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server devono assicurarsi che le loro istanze siano state aggiornate con la patch Windows più recente o utilizzare le immagini di Windows Server pubblicate dopo il 17-08-2020 (v20200813 o superiore).

Google Kubernetes Engine

CVE-2020-1472

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

Tutti i clienti che ospitano controller di dominio nei propri nodi GKE Windows Server devono assicurarsi che sia i nodi sia i carichi di lavoro containerizzati in esecuzione su questi nodi dispongano della versione più recente dell'immagine del nodo Windows, quando è disponibile. Una nuova versione dell'immagine del nodo verrà annunciato nel Note di rilascio di GKE in ottobre.

Managed Service for Microsoft Active Directory

CVE-2020-1472

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

La patch di agosto rilasciata da Microsoft che include correzioni al protocollo NetLogon è stata applicata a tutti i controller di dominio Microsoft Active Directory gestiti. Questa patch fornisce funzionalità per proteggersi da potenziali sfruttamenti. L'applicazione tempestiva delle patch è uno dei principali vantaggi dell'utilizzo di Managed Service for Microsoft Active Directory. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano il servizio gestito di Google Cloud) devono assicurarsi che le loro istanze dispongano della patch Windows più recente o utilizzino le immagini di Windows Server.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente standard di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Funzioni Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Composer

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataproc

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-012

Pubblicato il: 14/09/2020
Aggiornamento: 17/09/2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-14386, che può consentire al container escape di ottenere i privilegi root sul nodo host.

Sono interessati tutti i nodi GKE. I pod in esecuzione in GKE Sandbox non sono in grado di sfruttare questa vulnerabilità.

Per istruzioni e ulteriori dettagli, consulta:


Quale vulnerabilità viene affrontata da questa patch?

La patch attenua la seguente vulnerabilità:

La vulnerabilità CVE-2020-14386, che consente ai container con CAP_NET_RAW
scrivere da 1 a 10 byte di memoria del kernel, e possibilmente eseguire l'escape della container e ottenere i privilegi root sul nodo host. È classificato come Vulnerabilità ad alta gravità.

Alta

CVE-2020-14386

GCP-2020-011

Pubblicato il: 24/07/2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità di rete, CVE-2020-8558, in Kubernetes. A volte i servizi comunicano con altre applicazioni in esecuzione all'interno dello stesso pod utilizzando (127.0.0.1). Questa vulnerabilità consente a un utente malintenzionato con accesso alla rete del cluster di inviare traffico all'interfaccia loopback di pod e nodi adiacenti. Servizi che si basano sul loopback un'interfaccia non accessibile al di fuori del pod potrebbe essere sfruttata.

Per istruzioni e ulteriori dettagli, consulta:

Bassa (GKE e GKE su AWS),
Media (GKE on VMware)

CVE-2020-8558

GCP-2020-010

Pubblicato il: 27/07/2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1350: i server Windows che fungono da server DNS possono essere sfruttati per eseguire codice non attendibile dall'account di sistema locale.

Punteggio base NVD: 10.0 (critico)

CVE-2020-1350

Per ulteriori informazioni, consulta la divulgazione di Microsoft.

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1350

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server in una capacità di server DNS devono assicurarsi che le loro istanze dispongano dell'ultima patch di Windows o utilizzare le immagini di Windows Server fornite dal 14/07/2020.

Google Kubernetes Engine

CVE-2020-1350

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

Clienti che utilizzano GKE con il nodo Windows Server in un La capacità del server DNS deve essere aggiorna i nodi e i carichi di lavoro containerizzati eseguiti su di essi per Versione del server Windows contenente la correzione.

Servizio gestito per Microsoft Active Directory

CVE-2020-1350

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

Tutti i domini Microsoft Active Directory gestiti hanno aggiornato automaticamente con l'immagine con patch. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano Managed Microsoft AD) devono assicurarsi che le loro istanze dispongano della patch Windows più recente o utilizzino le immagini di Windows Server fornite dal 14/07/2020.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente standard di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Funzioni Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Composer

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataproc

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-009

Pubblicato: 15-07-2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta in Kubernetes una vulnerabilità di escalation dei privilegi, CVE-2020-8559. Questa vulnerabilità consente a un malintenzionato che ha già compromesso un nodo di eseguire un comando in qualsiasi pod del cluster. L’aggressore può quindi utilizzare nodo per compromettere altri nodi e potenzialmente leggere informazioni causare azioni distruttive.

Tieni presente che, affinché un utente malintenzionato sfrutti questa vulnerabilità, un nodo nella deve essere già stato compromesso. Questa vulnerabilità, da sola, non comprometterà nessun nodo del cluster.

Per istruzioni e ulteriori dettagli, consulta:

Media

CVE-2020-8559

GCP-2020-008

Pubblicato: 19-06-2020

Descrizione

Descrizione Gravità Note

Descrizione

Le VM con OS Login abilitato potrebbero essere soggette a privilegi vulnerabilità di escalation. Queste vulnerabilità offrono agli utenti la possibilità Le autorizzazioni di OS Login (ma non l'accesso amministrativo) possono riassegnare l'accesso root alla VM.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Compute Engine.

 Alta

GCP-2020-007

Pubblicato il: 01/06/2020

Descrizione

Descrizione Gravità Note

Vulnerabilità Falsificazione richiesta lato server (SSRF, Server Side Request Forgery), CVE-2020-8555, di recente scoperta in Kubernetes, consentendo ad alcune agli utenti di divulgare fino a 500 byte di informazioni sensibili alla rete host del piano di controllo. Il piano di controllo Google Kubernetes Engine (GKE) utilizza i controller di Kubernetes ed è quindi interessato da questa vulnerabilità. Ti consigliamo di eseguire l'upgrade del piano di controllo l'ultima versione della patch. Non è necessario eseguire l'upgrade del nodo.

Per istruzioni e ulteriori dettagli, consulta:

Media

CVE-2020-8555

GCP-2020-006

Pubblicato il: 01/06/2020

Descrizione

Descrizione Gravità Note

Kubernetes ha divulgato vulnerabilità che consente a un container con privilegi di reindirizzare il traffico dei nodi a un altro containerizzato. Il traffico TLS/SSH reciproco, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco. Tutti i nodi di Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione più recente della patch.

Per istruzioni e ulteriori dettagli, consulta:

Media

Problema Kubernetes 91507

GCP-2020-005

Pubblicato: 2020-05-07

Descrizione

Vulnerabilità

Gravità

CVE

Recentemente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-8835, che consente di uscire dai limiti del container per ottenere privilegi di utente root sul nodo host.

I nodi di Google Kubernetes Engine (GKE) Ubuntu che eseguono GKE 1.16 o 1.17 sono interessati da questa vulnerabilità e consigliamo di eseguire l'upgrade alla versione più recente della patch il prima possibile.

Consulta le Bollettino sulla sicurezza di GKE per istruzioni e ulteriori dettagli.

Alta

CVE-2020-8835

GCP-2020-004

Pubblicato il 31/03/2020
Ultimo aggiornamento: 31/03/2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabulità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254: si tratta di una vulnerabilità di tipo Denial of Service (DoS) che interessa il server API.

Media

CVE-2019-11254

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE on VMware.

GCP-2020-003

Pubblicato il 31/03/2020
Ultimo aggiornamento: 31/03/2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabulità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254 – Si tratta di una vulnerabilità DoS (Denial of Service) che influisce sul server API.

Media

CVE-2019-11254

Consulta il bollettino sulla sicurezza di GKE per istruzioni e ulteriori dettagli.

GCP-2020-002

Pubblicato il 23/03/2020
Ultimo aggiornamento: 23/03/2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabulità:

Vulnerabilità

Gravità

CVE

CVE-2020-8551: si tratta di una vulnerabilità di tipo Denial of Service (DoS) che interessa kubelet.

Media

CVE-2020-8551

CVE-2020-8552 – Si tratta di una vulnerabilità DoS (Denial of Service) che influisce sul server API.

Media

CVE-2020-8552

Consulta il bollettino sulla sicurezza di GKE per istruzioni e ulteriori dettagli.

GCP-2020-001

Pubblicato il 21/01/2020
Ultimo aggiornamento: 21/01/2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-0601: questa vulnerabilità è nota anche come vulnerabilità di spoofing dell'API Crypto di Windows. Potrebbe essere sfruttata per creare eseguibili dannosi sembrano attendibili o consentono all’aggressore di effettuare man in the middle e decriptare le informazioni riservate relative alle connessioni degli utenti il software interessato.

Punteggio base NVD: 8,1 (Alta)

CVE-2020-0601

Per ulteriori informazioni, consulta la divulgazione di Microsoft.

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non subirà modifiche da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-0601

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti che utilizzano macchine virtuali Compute Engine con Windows Server devono assicurarsi che le loro istanze dispongano dell'ultima patch di Windows o utilizzare le immagini di Windows Server fornite dal 15/01/2020. Consulta le Bollettino sulla sicurezza di Compute Engine per ulteriori informazioni.

Google Kubernetes Engine

CVE-2020-0601

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

I clienti che utilizzano GKE con nodi Windows Server devono aggiornare sia i nodi sia i carichi di lavoro containerizzati eseguiti su questi nodi alle versioni con patch per mitigare questa vulnerabilità. Consulta il Bollettino sulla sicurezza di GKE per istruzioni e ulteriori dettagli.

Managed Service for Microsoft Active Directory

CVE-2020-0601

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

Tutti i domini Microsoft AD gestiti sono stati aggiornati automaticamente con l'immagine con patch. Qualsiasi cliente eseguire manualmente Microsoft Active Directory (senza utilizzare Managed Microsoft AD) deve garantire che le istanze patch di Windows più recente o utilizzare le immagini Windows Server fornite dal 15/01/2020.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente standard di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Funzioni Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Composer

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataproc

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2019-001

Pubblicato il: 12/11/2019
Ultimo aggiornamento: 12/11/2019

Descrizione

Intel ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11135 — Questa vulnerabilità, indicata come TSX Async Abort (TAA) può essere utilizzata per sfruttare l'esecuzione speculativa in una transazione TSX. Questa vulnerabilità può determinare un'esposizione dei dati attraverso le stesse strutture di dati della microarchitettura esposte dal Microarchitectural Data Sampling (MDS).

Media

CVE-2019-11135

CVE-2018-12207 — Questa è una vulnerabilità di tipo Denial of Service (DoS) che interessa le macchine virtuali host (non ospiti). Questo problema è noto come "Machine Check Error on Page Size Change".

Media

CVE-2018-12207

Per ulteriori informazioni, consulta le divulgazioni di Intel:

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google è protetta da queste vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti N2, C2 o M2 che eseguono codice non attendibile nei propri servizi multi-tenant all'interno delle macchine virtuali Compute Engine devono arrestare e avviare le loro VM per assicurarsi che dispongano delle più recenti misure di mitigazione per la sicurezza.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Google Kubernetes Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

Se utilizzi pool di nodi con nodi N2, M2 o C2, e questi nodi eseguono codice non attendibile nei propri cluster GKE multi-tenant, devi riavviare i nodi. Se vuoi riavviare tutti i nodi del tuo pool di nodi, esegui l'upgrade del pool di nodi interessato.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Ambiente standard di App Engine

Non è necessario alcun intervento aggiuntivo.

Ambiente flessibile di App Engine

CVE-2019-11135

Non è necessario alcun intervento aggiuntivo.

I clienti devono rivedere le best practice di Intel relative alla condivisione a livello di applicazione che può avvenire fra gli hyperthread all'interno di una VM flessibile.

CVE-2018-12207

Non è necessario alcun intervento aggiuntivo.

Cloud Run

Non è necessario alcun intervento aggiuntivo.

Funzioni Cloud Run

Non è necessario alcun intervento aggiuntivo.

Cloud Composer

Non è necessario alcun intervento aggiuntivo.

Dataflow

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Dataflow che eseguono numerosi carichi di lavoro non attendibili su VM N2, C2 o M2 di Compute Engine gestite da Dataflow, e che sono preoccupati di attacchi fra i guest, devono prendere in considerazione il riavvio di tutte le pipeline di gestione dei flussi attualmente in esecuzione. Facoltativamente, le pipeline batch possono essere annullate e rieseguite. Non è necessario alcun intervento sulle pipeline avviate dopo la data odierna.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Dataproc

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Cloud Dataproc che eseguono più carichi di lavoro non attendibili sullo stesso cluster Cloud Dataproc eseguito su VM N2, C2 o M2 di Compute Engine, e che sono preoccupati di attacchi fra i guest, devono rieseguire il deployment dei cluster.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Cloud SQL

Non è necessario alcun intervento aggiuntivo.