Los siguientes boletines de seguridad se relacionan con productos de Google Cloud.
Usa este feed XML para suscribirte a los boletines de seguridad de esta página.
GCP-2024-059
Publicado: 16 de octubre de 2024
Descripción | Gravedad | Notas |
---|---|---|
Según el aviso de seguridad de VMware VMSA-2024-0021, se informó de forma privada a VMware una vulnerabilidad de inyección de SQL autenticada en VMware HCX. Aplicamos la mitigación aprobada por VMware para abordar esta vulnerabilidad. Esta corrección aborda una vulnerabilidad de seguridad que se describe en CVE-2024-38814. Las versiones con imágenes que se ejecutan en tu nube privada de VMware Engine no reflejan ningún cambio en este momento para indicar que se aplicaron los cambios. Se instalaron las mitigaciones adecuadas y tu entorno está protegido contra esta vulnerabilidad. ¿Qué debo hacer?Te recomendamos que actualices a la versión 4.9.2 de VMware HCX. |
Alta |
GCP-2024-058
Fecha de publicación: 16/10/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Migrate to Containers para Windows de las versiones 1.1.0 a 1.2.2 creó un ¿Qué debo hacer?Las siguientes versiones de la CLI de Migrate to Containers para Windows se actualizaron con código para solucionar esta vulnerabilidad. Te recomendamos que actualices manualmente la CLI de Migrate to Containers a la siguiente versión o una posterior:
¿Qué vulnerabilidades se abordan?La vulnerabilidad, CVE-2024-9858, permite que un atacante obtenga acceso de administrador a las máquinas de Windows afectadas con el usuario administrador local que crea el software de Migrate to Containers. |
Media | CVE-2024-9858 |
GCP-2024-057
Publicación: 3 de octubre de 2024
Actualizado: 15/10/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 15/10/2024: Se agregaron versiones de parche para GDC (VMware). Se actualizaron los niveles de gravedad de GKE y GDC (VMware). Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media | CVE-2024-45016 |
GCP-2024-056
Fecha de publicación: 27/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una cadena de vulnerabilidades (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176 y CVE-2024-47177) que podría provocar una ejecución de código remoto en el sistema de impresión CUPS que usan algunas distribuciones de Linux. Un atacante puede aprovecharse de esta vulnerabilidad si los servicios de CUPS escuchan en el puerto UDP 631 y pueden conectarse a él. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Ninguno |
GCP-2024-055
Fecha de publicación: 24/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Una vulnerabilidad de contrabando de solicitudes HTTP en Looker permitió que un atacante no autorizado capturara respuestas HTTP destinadas a usuarios legítimos. Existen dos versiones de Looker alojadas en Looker:
Se detectó que las instancias de Looker alojadas por el cliente son vulnerables y se deben actualizar a una de las siguientes versiones. Se aplicó un parche a esta vulnerabilidad en todas las versiones compatibles de Looker alojado por el cliente, que están disponibles en la página de descarga de Looker. ¿Qué debo hacer?
¿Qué vulnerabilidades se abordan?La vulnerabilidad, CVE-2024-8912, permite que un atacante envíe encabezados de solicitud HTTP elaborados a Looker, lo que puede provocar la intercepción de respuestas HTTP destinadas a otros usuarios. Estas respuestas podrían contener información sensible. Esta vulnerabilidad solo se puede aprovechar en ciertas configuraciones específicas. |
Media | CVE-2024-8912 |
GCP-2024-054
Fecha de publicación: 23/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió un problema de seguridad en los clústeres de Kubernetes con Windows
nodos en los que Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media | CVE-2024-5321 |
GCP-2024-053
Publicado: 19 de septiembre de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Cuando se analizan campos desconocidos en las bibliotecas Protobuf Java Full y Lite, un mensaje creado de forma maliciosa puede causar un error de StackOverflow y provocar una falla del programa. ¿Qué debo hacer? Trabajamos con diligencia para abordar este problema y lanzamos una mitigación que ya está disponible. Te recomendamos que uses las versiones más recientes de los siguientes paquetes de software:
¿Qué vulnerabilidades corrige este parche? Esta vulnerabilidad es una posible denegación del servicio. El análisis de grupos anidados como campos desconocidos con el analizador DismissUnknownFieldsParser o Java Protobuf Lite, o bien en campos de mapa de Protobuf, se crean recursiones no delimitadas de las que un atacante puede hacer uso indebido. |
Puntuación de CVSS4.0: 8.7 Alta |
CVE-2024-7254 |
GCP-2024-052
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:
Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh. |
De media a alta |
GCP-2024-051
Fecha de publicación: 18/09/2024
Descripción | Gravedad | Notas |
---|---|---|
VMware divulgó varias vulnerabilidades en VMSA-2024-0019 que afectan a los componentes de vCenter implementados en entornos de clientes. El impacto de VMware Engine
¿Qué debo hacer?No es necesario que realices ninguna otra acción en este momento. |
Crítico |
GCP-2024-050
Publicado: 4 de septiembre de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una nueva vulnerabilidad de ejecución de código remoto (CVE-2024-38063) en Windows. Un atacante podría explotar de forma remota esta vulnerabilidad enviando paquetes IPv6 especialmente diseñados a un host. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Ninguno | CVE-2024-38063 |
GCP-2024-049
Fecha de publicación: 21 de agosto de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-36978 |
GCP-2024-048
Fecha de publicación: 20/08/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-41009 |
GCP-2024-047
Fecha de publicación: 19/08/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-39503 |
GCP-2024-046
Fecha de publicación: 05/08/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
AMD notificó a Google sobre 3 vulnerabilidades de firmware nuevas (2 de riesgo medio y 1 de riesgo alto) que afectan a SEV-SNP en las CPUs AMD EPYC de 3ª (Milan) y 4ª (Genoa) generaciones. Google aplicó correcciones a los recursos afectados, incluido Google Cloud, para garantizar la protección de los clientes. Por el momento, no se encontró ni se informó a Google ninguna evidencia de explotación. ¿Qué debo hacer? Los clientes no deben realizar ninguna acción. Ya se aplicaron correcciones a la flota de servidores de Google. Para obtener más información, consulta la advertencia de seguridad de AMD. AMD-SN-3011 |
Media-alta |
GCP-2024-045
Publicado: 17/07/2024
Última actualización: 19/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 19/09/2024: Se agregaron versiones de parche para Software de GDC para VMware. Actualización del 21/08/2024: Se agregaron versiones de parche para Ubuntu grupos de nodos en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26925 |
GCP-2024-044
Fecha de publicación: 16/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-36972 |
GCP-2024-043
Fecha de publicación: 16/07/2024
Última actualización: 2/10/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 02/10/2024: Se agregaron versiones de parche para los grupos de nodos de Ubuntu en GKE. Actualización del 20/09/2024: Se agregaron versiones de parche para el software de GDC para VMware. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26921 |
GCP-2024-042
Fecha de publicación: 15/07/2024
Actualización: 18/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 18/07/2024: Se aclaró que Autopilot de clústeres en la configuración predeterminada no se ven afectados. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26809 |
GCP-2024-041
Publicado: 2024-07-08
Última actualización: 16/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 16/09/2024: Se agregaron versiones de parche para Software de GDC para VMware. Actualización del 19/07/2024: Se agregaron versiones de parche para los grupos de nodos de Ubuntu en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta |
GCP-2024-040
Fecha de publicación: 1/7/2024
Última actualización: 16/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualizaciones del 16/07/2024: Algunos clientes del Acceso a VPC sin servidores pueden verse afectados por una vulnerabilidad en OpenSSH (CVE-2024-6387). Si se realiza correctamente vulnerabilidades, esto podría permitir que un atacante remoto no autenticado ejecute código arbitrario como raíz en la máquina virtual de destino. La explotación es se cree que son difíciles. Por ejemplo, los clientes no pueden acceder a las VMs y las VMs no tienen IP públicas. No estamos al tanto de cualquier tipo de explotación intentos. ¿Qué debo hacer? Google actualizó automáticamente las implementaciones de Acceso a VPC sin servidores en la medida de lo posible. Sin embargo, debes verificar que el El agente de servicio administrado por Google tiene su rol necesario. De lo contrario, es posible que tu conector de acceso a VPC sin servidores siga siendo vulnerable. Te recomendamos que migres a la salida de VPC directa o que implementes un conector nuevo y borres el anterior para asegurarte de tener la actualización requerida con la corrección. Actualización del 11/07/2024: Se agregaron versiones de parche para el software de GDC para VMware, GKE en AWS y GKE en Azure. Para obtener más detalles, en GKE consulta los siguientes boletines:
Actualización del 10/07/2024:
Actualizaciones del 9/7/2024: Algunos clientes del entorno flexible de App Engine se ven afectados una vulnerabilidad en OpenSSH (CVE-2024-6387). Si se realiza correctamente vulnerabilidades, esto podría permitir que un atacante remoto no autenticado ejecute código arbitrario como raíz en la máquina virtual de destino. ¿Qué debo hacer? Google ya actualizó automáticamente las implementaciones de entornos flexibles en la medida de lo posible. Sin embargo, algunos clientes que inhabilitaron el agente de servicio administrado por Google o realizaron cambios en las APIs de Google Cloud o en otros parámetros de configuración predeterminados no se pudieron actualizar y es posible que aún sean vulnerables. Debes implementar una versión nueva de la app para obtener la actualización con la corrección. Ten en cuenta que las implementaciones actualizadas informarán la versión de SSH ¿Qué vulnerabilidades se abordan? La vulnerabilidad CVE-2024-6387, que permite que un atacante remoto no autenticado ejecute código arbitrario como raíz en la máquina de destino. Actualizaciones del 8/7/2024: Clústeres de Dataproc en Google Compute Engine que se ejecutan en la versión con imágenes 2.2 (todos los sistemas operativos) y 2.1 (solo Debian) se afectado por una vulnerabilidad en OpenSSH (CVE-2024-6387), que, en caso de un exploit exitoso podría permitir que un atacante remoto no autenticado ejecutar un código arbitrario como raíz en la máquina de destino. Las versiones 2.0 y 1.5 de las imágenes de Dataproc en Google Compute Engine, así como las imágenes de Dataproc versión 2.1 que no se ejecutan en Debian, no se ven afectadas. Los clústeres de Dataproc con la autenticación personal habilitada no se verán afectados. Dataproc sin servidores tampoco se ve afectado. ¿Qué debo hacer? Actualiza tus clústeres de Dataproc en Google Compute Engine a una de las siguientes versiones:
En caso de que no puedas actualizar tus clústeres de Dataproc a
una de las versiones anteriores, te recomendamos que uses la acción de inicialización
disponible en esta ubicación:
Sigue estas instrucciones sobre cómo especificar acciones de inicialización para Dataproc. Ten en cuenta que la acción de inicialización debe ejecutarse en cada nodo (principales y trabajadores) para los clústeres preexistentes. Actualizaciones del 3/7/2024:
Actualizaciones del 2/7/2024:
Una vulnerabilidad de ejecución de código remota, CVE-2024-6387 se descubrió recientemente en OpenSSH. La vulnerabilidad se aprovecha de una condición de carrera que se puede usar para obtener acceso a un shell remoto, lo que permite a los atacantes obtener acceso al directorio raíz. En el momento de la publicación, se cree que la explotación podría ser difícil y tardar varias horas por cada máquina que está siendo atacada. No tenemos conocimiento de ningún intento de explotación. Para obtener instrucciones y más detalles, consulta los siguientes boletines:
|
Crítico | CVE-2024-6387 |
GCP-2024-039
Fecha de publicación: 28/06/2024
Actualización: 25/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 25/09/2024: Se agregaron versiones de parche para el software de GDC para VMware. Actualización del 20/08/2024: Se agregaron versiones de parche para los grupos de nodos de Ubuntu en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26923 |
GCP-2024-038
Fecha de publicación: 26/06/2024
Actualización: 17/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 17/09/2024: Se agregaron versiones de parche para el software de GDC para VMware. Actualización del 06/08/2024: Se agregaron versiones de parche para los grupos de nodos de Ubuntu en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26924 |
GCP-2024-037
Fecha de publicación: 18/06/2024
Descripción | Gravedad | Notas |
---|---|---|
VMware divulgó varias vulnerabilidades en el VMSA-2024-0012 que afectan a los componentes de vCenter implementados en entornos de clientes. Impacto de Google Cloud VMware Engine
¿Qué debo hacer?No es necesario que realices ninguna otra acción en este momento. |
Crítico |
GCP-2024-036
Fecha de publicación: 18/06/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26584 |
GCP-2024-035
Fecha de publicación: 12/06/2024
Última actualización: 18/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 18/07/2024: Se agregaron versiones de parche para los grupos de nodos de Ubuntu en GKE y una versión de parche para la versión 1.27 en los grupos de nodos de Container-Optimized OS. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26584 |
GCP-2024-034
Fecha de publicación: 11/06/2024
Última actualización: 10/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 10/07/2024: Se agregaron versiones de parche para Nodos de Container-Optimized OS que ejecutan las versiones secundarias 1.26 y 1.27 y agregamos versiones de parches para nodos de Ubuntu. Se descubrieron las siguientes vulnerabilidades en el kernel de Linux que pueden provocar a una elevación de privilegios en los nodos de Container-Optimized OS:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26583 |
GCP-2024-033
Fecha de publicación: 10/06/2024
Actualización: 26/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 26/09/2024: Se agregaron versiones de parche para el software de GDC para VMware. Se descubrieron las siguientes vulnerabilidades en el kernel de Linux que pueden provocar a una elevación de privilegios en los nodos de Container-Optimized OS:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2022-23222 |
GCP-2024-032
Fecha de publicación: 4 de junio de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:
Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta |
GCP-2024-031
Fecha de publicación: 24/05/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una nueva vulnerabilidad (CVE-2024-4323) en Fluent Bit que podría provocar la ejecución de código remoto. Versiones de Fluent Bit 2.0.7 hasta el 3.0.3. GKE, GKE en VMware, GKE en AWS, GKE en Azure y GKE en Bare Metal no usan un vulnerable de Fluent Bit y no se ven afectadas. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Ninguno | CVE-2024-4323 |
GCP-2024-030
Fecha de publicación: 15/05/2024
Actualización: 18/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 18/07/2024: Se agregaron versiones de parches para Ubuntu grupos de nodos en GKE Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-52620 |
GCP-2024-029
Fecha de publicación: 14/05/2024
Última actualización: 19/08/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 19/08/2024: Se agregaron versiones de parche para los grupos de nodos de Ubuntu en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26642 |
GCP-2024-028
Fecha de publicación: 13/05/2024
Actualización: 22/05/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 22/05/2024: Se agregaron versiones de parche para Ubuntu. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26581 |
GCP-2024-027
Fecha de publicación: 8 de mayo de 2024
Actualización: 25/09/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 25/09/2024: Se agregaron versiones de parche para Software de GDC para VMware. Actualización del 15/05/2024: Se agregaron versiones de parche para Grupos de nodos de Ubuntu de GKE. Actualización del 09/05/2024: Se corrigió la gravedad de Media a Alta y se aclaró que los clústeres de GKE Autopilot en la configuración predeterminada no se ven afectados. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26808 |
GCP-2024-026
Fecha de publicación: 7 de mayo de 2024
Última actualización: 6/8/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 6/8/2024: Se agregaron versiones de parche para los grupos de nodos de Ubuntu en GKE. Actualización del 09/05/2024: Se corrigió la gravedad de media a alta. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26643 |
GCP-2024-025
Fecha de publicación: 26/04/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Looker corrigió las vulnerabilidades informadas por un investigador externo a través del programa de recompensas por detección de vulnerabilidades (VRP) de Google y Alphabet, pero no se encontró evidencia de explotación. Estos problemas ya se resolvieron y no es necesario que los clientes alojados por Looker en Looker (Google Cloud Core) y Looker (original) realicen ninguna acción. Se recomienda que las instancias autoalojadas de Looker se actualicen a la versión compatible más reciente. ¿Qué debo hacer? Instancias alojadas por Looker: Instancias de Looker (Google Cloud Core) y Looker (original) Los clientes no deben realizar ninguna acción. Solo para instancias de Looker autoalojadas Si tu instancia de Looker es autoalojada, te recomendamos que actualices tus instancias de Looker a una de las siguientes versiones:
¿Cómo se solucionó? Google inhabilitó el acceso de administrador directo a la base de datos interna desde la aplicación de Looker, quitó los privilegios elevados que permitían el acceso entre usuarios y rotó los Secrets expuestos. Además, aplicamos un parche para las vulnerabilidades de salto de directorio que posiblemente expusieron las credenciales de la cuenta de servicio. También estamos revisando nuestro código y los sistemas de manera exhaustiva para identificar y solucionar posibles vulnerabilidades similares. |
Crítico |
GCP-2024-024
Fecha de publicación: 25/04/2024
Actualización: 18/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 18/07/2024: Se agregaron versiones de parches para Ubuntu grupos de nodos en GKE Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-26585 |
GCP-2024-023
Fecha de publicación: 24/04/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:
Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta |
GCP-2024-022
Publicado: 3 de abril de 2024
Actualización: 17/07/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 17/07/2024: Se agregaron versiones de parche para GKE en VMware Actualización del 9/7/2024: Se agregaron versiones de parches para GKE en Bare Metal Actualización del 24/04/2024: Se agregaron versiones de parche para GKE. Hace poco, se descubrió una vulnerabilidad de denegación del servicio (DoS) (CVE-2023-45288) en varias implementaciones del protocolo HTTP/2, incluido el servidor HTTP de Golang que usa Kubernetes. La vulnerabilidad podría provocar un DoS del plano de control de Google Kubernetes Engine (GKE). Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-45288 |
GCP-2024-021
Publicado: 3 de abril de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Compute Engine no se ve afectado por CVE-2024-3094 que afecta a las versiones 5.6.0 y 5.6.1 del paquete xz-utils en la liblzma y podría comprometer la utilidad de OpenSSH. Para obtener más detalles, consulta la Boletín de seguridad de Compute Engine. |
Media | CVE-2024-3094 |
GCP-2024-020
Publicación: 2 de abril de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Los investigadores descubrieron una vulnerabilidad (CVE-2023-48022) en Ray. Ray es una herramienta de código abierto de terceros para cargas de trabajo de IA. Debido a que Ray no requiere autenticación, los actores de amenazas pueden lograr la ejecución de código remoto a través del envío de trabajos a instancias expuestas públicamente. Anyscale, el desarrollador de Ray, cuestionó la vulnerabilidad. Ray mantiene que sus funciones son una función principal y prevista del producto, y que la seguridad debe implementarse fuera de un clúster de Ray, ya que cualquier exposición de red no deseada del clúster de Ray podría provocar un compromiso. Según la respuesta, esta CVE está en disputa y es posible que no aparezca en escáneres de vulnerabilidades. De cualquier manera, se está explotando activamente en y los usuarios deberían configurar su uso como se sugiere a continuación. ¿Qué debo hacer? Sigue las prácticas recomendadas y los lineamientos de Ray, que incluyen la ejecución de código de confianza en redes confiables, para proteger tus cargas de trabajo de Ray. La implementación de ray.io en instancias de nube del cliente está bajo el modelo de responsabilidad compartida. La seguridad de Google Kubernetes Engine (GKE) publicó un blog sobre el endurecimiento de Ray en GKE. Para obtener más información sobre cómo agregar autenticación y autorización a los servicios de Ray, consulta la documentación de Identity-Aware Proxy (IAP). Los usuarios de GKE pueden implementar IAP después de orientación o reutilizando módulos de Terraform vinculados en el blog. |
Alta | CVE-2023-48022 |
GCP-2024-018
Fecha de publicación: 12/03/2024
Última actualización: 4/4/2024, 6/5/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 6/5/2024: Se agregaron versiones de parches para los grupos de nodos de Ubuntu de GKE. Actualización del 04/04/2024: Se corrigieron las versiones mínimas para los grupos de nodos de Container-Optimized OS de GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-1085 |
GCP-2024-017
Fecha de publicación: 6 de marzo de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3611 |
GCP-2024-016
Publicación: 5 de marzo de 2024
Descripción | Gravedad | Notas |
---|---|---|
VMware divulgó varias vulnerabilidades en VMSA-2024-0006 que afectar a los componentes de ESXi implementados en entornos de clientes. Impacto de Google Cloud VMware EngineTus nubes privadas se actualizaron para abordar la vulnerabilidad de seguridad. ¿Qué debo hacer?No es necesario que realices ninguna acción. |
Crítico |
GCP-2024-014
Fecha de publicación: 26/02/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3776 |
GCP-2024-013
Fecha de publicación: 27/02/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3610 |
GCP-2024-012
Publicación: 2024-02-20
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-0193 |
GCP-2024-011
Fecha de publicación: 15/02/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-6932 |
GCP-2024-010
Publicado: 14-02-2024
Última actualización: 17/04/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 17/04/2024: Se agregaron versiones de parches para GKE en VMware. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-6931 |
GCP-2024-009
Fecha de publicación: 13 de febrero de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
El 13 de febrero de 2024, AMD divulgó dos vulnerabilidades que afectan a SEV-SNP en CPU EPYC basadas en “Milan” de tercera generación y Génova, de cuarta generación. Núcleos zen. Las vulnerabilidades permiten que los atacantes con privilegios accedan a datos inactivos de los invitados o provoquen una pérdida de integridad de los invitados. Google aplicó correcciones a los recursos afectados, incluido Google Cloud, para garantizar la protección de los clientes. Por el momento, no se encontró ni informó a Google ninguna evidencia de explotación. ¿Qué debo hacer? Los clientes no deben realizar ninguna acción. Ya se aplicaron correcciones a la flota de servidores de Google para Google Cloud, incluido Compute Engine. Para obtener más información, consulta el aviso de seguridad de AMD AMD-SN-3007. |
Moderado |
GCP-2024-008
Fecha de publicación: 12/02/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
CVE-2023-5528 permite que un atacante cree Pods y volúmenes persistentes en nodos de Windows de forma tal que se permita la elevación de privilegios de administrador en esos nodos. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-5528 |
GCP-2024-007
Fecha de publicación: 8 de febrero de 2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:
Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta |
GCP-2024-006
Fecha de publicación: 5/2/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Cuando un proxy de administración de API de Apigee se conecta a un extremo de destino o servidor de destino, el proxy no valida el nombre de host para el certificado que presenta el extremo o servidor de destino de forma predeterminada. Si la validación del nombre de host no está habilitada a través de una de las siguientes opciones, los proxies de Apigee que se conectan a un extremo o un servidor de destino pueden estar en riesgo de que un usuario autorizado reciba un ataque de intermediario. Para obtener más información, consulta Configura TLS del perímetro al backend (nube y nube privada). Las implementaciones de proxies de Apigee en las siguientes plataformas de Apigee se ven afectadas:
Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Apigee. |
Alta |
GCP-2024-005
Fecha de publicación: 31/01/2024
Última actualización: 2/4/2024, 6/5/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 6/5/2024: Se agregaron versiones de parches para GKE en AWS y GKE en Azure. Actualización del 2/4/2024: Se agregaron versiones de parches para GKE en Bare Metal. Actualización del 06/03/2024: Se agregaron versiones de parche para GKE en VMware. Actualización del 28/02/2024: Se agregaron versiones de parches para Ubuntu. Actualización del 15/02/2024: Se aclaró que las versiones de parches 1.25 y 1.26 de Ubuntu en la actualización del 14/02/2024 podrían causar nodos no saludables. Actualización del 14/2/2024: Se agregaron versiones de parches para Ubuntu. Actualización del 6/2/2024: Se agregaron versiones de parches para Container-Optimized OS. Se detectó una vulnerabilidad de seguridad, CVE-2024-21626, en Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2024-21626 |
GCP-2024-004
Fecha de publicación: 24/1/2024
Última actualización: 7/2/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 07/02/2024: Se agregaron versiones de parche para Ubuntu. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-6817 |
GCP-2024-003
Fecha de publicación: 19/01/2024
Última actualización: 26/01/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 26/01/2024: Se aclaró la cantidad de clústeres afectados y las medidas que tomamos para mitigar el impacto. Para obtener más detalles, consulta el boletín de seguridad GCP-2024-003. Identificamos varios clústeres en los que los usuarios otorgaron
privilegios al grupo Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media |
GCP-2024-002
Fecha de publicación: 17/01/2024
Actualización: 20/02/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 20/02/2024: Se agregaron versiones de parche para GKE en VMware. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-6111 |
GCP-2024-001
Fecha de publicación: 9-1-2024Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrieron varias vulnerabilidades en el firmware UEFI EDK II de TianoCore. Este firmware se usa en las VMs de Google Compute Engine. Si aprovecha las vulnerabilidades, podría permitir una evasión del inicio seguro, lo que proporcionaría mediciones falsas en el proceso de inicio seguro, lo que incluye cuando se usan en VMs protegidas. ¿Qué debo hacer?No es necesario que realices ninguna acción. Google aplicó un parche a esta vulnerabilidad en Compute Engine, y todas las VMs están protegidas contra ella. ¿Qué vulnerabilidades trata este parche?El parche mitigó las siguientes vulnerabilidades:
|
Media |
GCP-2023-051
Publicado: 28-12-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3609 |
GCP-2023-050
Publicado: 27-12-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3389 |
GCP-2023-049
Fecha de publicación: 20/12/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3090 |
GCP-2023-048
Publicado: 15-12-2023
Última actualización: 21/12/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se aclaró que los clústeres de GKE Autopilot con la configuración predeterminada no se ven afectados. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3390 |
GCP-2023-047
Fecha de publicación: 14/12/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Un atacante que comprometió el contenedor de registro de Fluent Bit podría combinar ese acceso con los privilegios altos que requieren Cloud Service Mesh (en clústeres que la habilitaron) para derivar el caso privilegios en el clúster. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media |
GCP-2023-046
Fecha de publicación: 22/11/2023
Fecha de actualización: 04/03/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 04/03/2024: Se agregaron versiones de GKE para GKE en VMware. Actualización del 22/1/2024: Se agregaron versiones de parches de Ubuntu Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-5717 |
GCP-2023-045
Fecha de publicación: 20/11/2023
Última actualización: 21/12/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se aclaró que los clústeres de GKE Autopilot con la configuración predeterminada no se ven afectados. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-5197 |
GCP-2023-044
Fecha de publicación: 15/11/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
El 14 de noviembre, AMD divulgó varias vulnerabilidades que afectan a varias CPUs de servidores AMD. Específicamente, las vulnerabilidades afectan a las CPU del servidor EPYC. con la generación 2 de Zen core, "Roma", "Milan" de la 3a gen. y 4a gen., "Génova". Google aplicó correcciones a los recursos afectados, incluido Google Cloud, para garantizar que los clientes estén protegidos. En este momento, no hay evidencia de explotación que se encontraron o se informaron a Google. ¿Qué debo hacer? Los clientes no deben realizar ninguna acción. Ya se aplicaron correcciones a la flota de servidores de Google para Google Cloud, incluido Google Compute Engine. ¿Qué vulnerabilidades se abordan? Este parche mitiga las siguientes vulnerabilidades:
Para obtener más información, consulte el aviso de seguridad de AMD AMD-SN-3005: “Aviso de seguridad de la instrucción de AMD INVD”. publicado como CacheWarp, y AMD-SN-3002: "AMD Server Vulnerabilities – Release de 2023”. |
Moderado |
GCP-2023-043
Fecha de publicación: 14/11/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Intel divulgó una vulnerabilidad de la CPU en procesadores seleccionados. Google tomó medidas para mitigar su flota de servidores, incluido Google Compute Engine para Google Cloud, y los dispositivos ChromeOS para garantizar la protección de los clientes. Los detalles de la vulnerabilidad son los siguientes:
¿Qué debo hacer? Los clientes no deben realizar ninguna acción. La mitigación que proporcionó Intel para los procesadores afectados se aplicó a la flota de servidores de Google, incluido Google Compute Engine para Google Cloud. En este momento, Google Distributed Cloud Edge requiere una actualización del OEM. Google corregirá este producto una vez que esté disponible la actualización, y este boletín se actualizará según corresponda. Los dispositivos ChromeOS con los procesadores afectados recibieron la corrección automáticamente como parte de las versiones 119, 118 y 114 (LTS). ¿Qué vulnerabilidades se abordan? CVE-2023-23583 Para obtener más detalles, consulta Intel Security Advisory INTEL-SA-00950. |
Alta | CVE-2023-23583 |
GCP-2023-042
Fecha de publicación: 13/11/2023
Última actualización: 15/11/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 15/11/2023: Se aclaró que solo las versiones secundarias enumeradas deben actualizarse a una versión con parche correspondiente para GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-4147 |
GCP-2023-041
Fecha de publicación: 8/11/2023
Última actualización: 21/11/2023, 5/12/2023, 21/12/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada afectadas. Actualización del 05/12/2023: Se agregaron versiones adicionales de GKE para los grupos de nodos de Container-Optimized OS. Actualización del 21/11/2023: Se aclaró que solo las versiones secundarias enumeradas deben actualizarse a una versión con parche correspondiente para GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-4004 |
GCP-2023-040
Publicado: 6 de noviembre de 2023
Última actualización: 21-11-2023, 21-12-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada afectadas. Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-4921 |
GCP-2023-039
Fecha de publicación: 6/11/2023
Última actualización: 21-11-2023, 16-11-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/11/2023: Se aclaró que solo las versiones secundarias enumeradas deben actualizarse a una versión con parche correspondiente para GKE. Actualización del 16/11/2023: La vulnerabilidad asociada con este boletín de seguridad es CVE-2023-4622. CVE-2023-4623 se incluyó incorrectamente como la vulnerabilidad en una versión anterior del boletín de seguridad. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-4622 |
GCP-2023-038
Fecha de publicación: 6/11/2023
Última actualización: 21-11-2023, 21-12-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada afectadas. Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-4623 |
GCP-2023-037
Publicado: 6 de noviembre de 2023
Última actualización: 21-11-2023, 21-12-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada afectadas. Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-4015 |
GCP-2023-036
Publicado: 2023-10-30
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Deep Learning VM Images es un conjunto de imágenes de máquina virtual ya preparadas con un framework de aprendizaje profundo que están listos para ejecutarse. Recientemente, se descubrió una vulnerabilidad de escritura fuera de los límites en la función “ReadHuffmanCodes()”, de la biblioteca “libwebp”. Esto puede afectar las imágenes que usan esta biblioteca. Google Cloud analiza continuamente sus imágenes publicadas de forma pública y actualiza los paquetes para garantizar que se incluyan las distribuciones de parche en las versiones más recientes disponibles para la adopción de los clientes. Se actualizaron las Deep Learning VM Images para garantizar que las imágenes de VM más recientes incluyan las distribuciones con parches. Los clientes que adoptan las imágenes de VM más recientes no están expuestos a esta vulnerabilidad. ¿Qué debo hacer? Los clientes de Google Cloud que usen imágenes de VMs publicadas deben asegurarse de adoptar las imágenes más recientes y que sus entornos estén actualizados, según el modelo de responsabilidad compartida. Un atacante podría aprovechar CVE-2023-4863 para ejecutar código arbitrario. Esta vulnerabilidad se identificó en Google Chrome antes de la 116.0.5845.187 y en "libwebp" antes de la 1.3.2, y se incluye en CVE-2023-4863. |
Alta | CVE-2023-4863 |
GCP-2023-035
Publicado: 26 de octubre de 2023
Última actualización: 21/11/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada afectadas. Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128 |
GCP-2023-034
Fecha de publicación: 25/10/2023
Actualizado: 27/10/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
VMware divulgó varias vulnerabilidades en VMSA-2023-0023 que afectan a los componentes de vCenter implementados en entornos de clientes. Impacto de la Atención al cliente de Cloud
¿Qué debo hacer?No es necesario que realices ninguna otra acción en este momento |
Crítico | CVE-2023-34048,CVE-2023-34056 |
GCP-2023-033
Publicado: 24 de octubre de 2023
Última actualización: 21/11/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21 de diciembre de 2023: Se aclaró que los clústeres de GKE Autopilot con la configuración predeterminada no se ven afectados, al igual que las cargas de trabajo de GKE Sandbox. Actualización del 21/11/2023: Se aclaró que solo las versiones secundarias enumeradas deben actualizarse a una versión con parche correspondiente para GKE. Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.
Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3777 |
GCP-2023-032
Publicado 13 de octubre 2023
Última actualización: 3 de noviembre de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 3 de noviembre de 2023: Se agregó un problema conocido de Apigee Edge para la nube privada. Hace poco tiempo, se descubrió una vulnerabilidad de denegación del servicio (DoS) en varias implementaciones del protocolo HTTP/2 (CVE-2023-44487), incluido el servicio de Ingress de Apigee (Cloud Service Mesh) que usó Apigee X y Apigee hybrid. La vulnerabilidad podría provocar un DoS de la funcionalidad de administración de la API de Apigee. Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Apigee. |
Alta | CVE-2023-44487 |
GCP-2023-031
Publicado: 10 de octubre de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Un ataque de denegación del servicio puede afectar el plano de datos cuando se usa el protocolo HTTP/2. Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta | CVE-2023-44487 |
GCP-2023-030
Fecha de publicación: 10/10/2023
Última actualización: 20/03/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 20/03/2024: Se agregaron versiones de parche para GKE en AWS y GKE en Azure con los parches más recientes para CVE-2023-44487. Actualización del 14/02/2024: Se agregaron versiones de parche para GKE en VMware. Actualización del 9/11/2023: Se agregó CVE-2023-39325. Se actualizaron las versiones de GKE con los parches más recientes para CVE-2023-44487 y CVE-2023-39325. Hace poco tiempo, se descubrió una vulnerabilidad de denegación del servicio (DoS) en varias implementaciones del protocolo HTTP/2 (CVE-2023-44487), incluido el servidor HTTP de Golang que usa Kubernetes. La vulnerabilidad podría provocar un DoS del plano de control de Google Kubernetes Engine (GKE). Los clústeres de GKE con redes autorizadas configuradas se protegen limitando el acceso a la red, pero todos los demás clústeres se ven afectados. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-44487, CVE-2023-39325 |
GCP-2023-029
Publicado 3 de octubre de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
TorchServe se usa para alojar modelos de aprendizaje automático de PyTorch para la predicción en línea. Vertex AI proporciona contenedores de entrega de modelos de PyTorch precompilados que dependen de TorchServe. Recientemente, se descubrieron vulnerabilidades en TorchServe que permitirían a un atacante tomar el control de una implementación de TorchServe si su API de administración de modelos está expuesta. Los clientes que tienen modelos de PyTorch implementados en la predicción en línea de Vertex AI no se ven afectados por estas vulnerabilidades, ya que Vertex AI no expone la API de administración de modelos de TorchServe. Los clientes que usan TorchServe fuera de Vertex AI deben tomar precauciones para garantizar que sus implementaciones se configuren de forma segura. ¿Qué debo hacer? Los clientes de Vertex AI con modelos implementados que usan los contenedores de entrega de PyTorch compilados con anterioridad de Vertex AI no necesitan realizar ninguna acción para abordar las vulnerabilidades, ya que las implementaciones de Vertex AI no exponen el servidor de administración de TorchServe a Internet. Los clientes que usan los contenedores de PyTorch compilados con anterioridad en otros contextos o que usan una distribución de TorchServe personalizada o de terceros deben hacer lo siguiente:
¿Qué vulnerabilidades se abordan? La API de administración de TorchServe está vinculada a CVE-2023-43654 y CVE-2022-1471 permiten que un usuario con acceso a la API de administración cargue modelos desde fuentes arbitrarias y ejecute código de forma remota. Las mitigaciones para ambos problemas se incluyen en TorchServe 0.8.2: se quita la ruta de ejecución de código remota y se emite una advertencia si se usa el valor predeterminado de |
Alta | CVE-2023-43654, CVE-2022-1471 |
GCP-2023-028
Fecha de publicación: 19/09/2023
Última actualización: 29/05/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 29/05/2024: Los nuevos feeds ya no utilizan el
cuenta de servicio compartida, pero permanece activa para que los feeds existentes eviten
interrupciones del servicio. Los cambios en la fuente de feeds anteriores están bloqueados para evitar el uso inadecuado de la cuenta de servicio compartida. Los clientes pueden seguir usando sus feeds anteriores de forma normal, siempre y cuando no cambien la fuente.
Los clientes pueden configurar Google Security Operations para transferir datos de los buckets de Cloud Storage que pertenecen a los clientes mediante un feed de transferencia. Hasta hace poco, Google Security Operations proporcionaba una cuenta de servicio compartida que los clientes usaban para otorgar permisos al bucket. Existía una oportunidad de que la instancia de Google Security Operations de un cliente pudiera configurarse para transferir datos desde el bucket de Cloud Storage de otro cliente. Después de realizar un análisis de impacto, no encontramos ninguna explotación actual ni previa de esta vulnerabilidad. La vulnerabilidad estaba presente en todas las versiones de Google Security Operations antes del 19 de septiembre de 2023. ¿Qué debo hacer? A partir del 19 de septiembre de 2023, se actualizó Google Security Operations para abordar esta vulnerabilidad. Los clientes no deben realizar ninguna acción. ¿Qué vulnerabilidades se abordan? Anteriormente, Google Security Operations proporcionaba una cuenta de servicio compartida que los clientes usaban para otorgar permiso a un bucket. Debido a que diferentes clientes otorgaron el mismo permiso de cuenta de servicio de Operaciones de seguridad de Google a sus buckets, existía un vector de explotación que permitía que el feed de un cliente accediera al bucket de otro cliente cuando se creaba o modificaba un feed. Este vector de explotación requería el conocimiento del URI del bucket. Ahora, durante la creación o modificación de feeds, Google Security Operations utiliza cuentas de servicio únicas para cada cliente. |
Alta |
GCP-2023-027
Fecha de publicación: 11/09/2023Descripción | Gravedad | Notas |
---|---|---|
Las actualizaciones de VMware vCenter Server abordan varias vulnerabilidades de corrupción de memoria (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895 y CVE-2023-20896). Impacto en el servicio al clienteVMware vCenter Server (vCenter Server) y VMware Cloud Foundation (Cloud Foundation). ¿Qué debo hacer?Los clientes no se verán afectados y no se requiere ninguna acción. |
Media |
GCP-2023-026
Fecha de publicación: 6 de septiembre de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrieron tres vulnerabilidades (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) en Kubernetes, en las que un usuario que puede crear Pods en nodos de Windows puede derivar el caso a los privilegios de administrador en esos nodos. Estas vulnerabilidades afectan a las versiones de Windows de Kubelet y al proxy de CSI de Kubernetes. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-3676 CVE-2023-3955 CVE-2023-3893 |
GCP-2023-025
Fecha de publicación: 8 de agosto de 2023Descripción | Gravedad | Notas |
---|---|---|
Recientemente, Intel anunció el Aviso de seguridad INTEL-SA-00828 que afecta a algunas de sus familias de procesadores. Te recomendamos que evalúes tus riesgos en función de la advertencia. Impacto de Google Cloud VMware EngineNuestra flota utiliza las familias de procesadores afectados. En nuestra implementación, todo el servidor está dedicado a un cliente. Por eso, nuestra implementación modelo no agrega ningún riesgo adicional a tu evaluación de esta vulnerabilidad. Estamos trabajando con nuestros socios para obtener los parches necesarios y implementar estos parches con prioridad en toda la flota mediante la el proceso de actualización estándar en las próximas semanas. ¿Qué debo hacer?No es necesario que realices ninguna acción. Estamos trabajando para actualizar todas las los sistemas afectados. |
Alta |
GCP-2023-024
Publicado: 8 de agosto de 2023
Última actualización: 10/08/2023, 4/6/2024
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 4/6/2024: Los siguientes productos faltantes se actualizaron para corregir esta vulnerabilidad:
Actualización del 10/8/2023: Se agregó el número de versión de LTS de ChromeOS. Intel divulgó una vulnerabilidad en procesadores seleccionados (CVE-2022-40982). Google tomó medidas para mitigar su flota de servidores, incluida Google Cloud, para garantizar la protección de los clientes. Detalles de la vulnerabilidad:
¿Qué debo hacer?
Los clientes no deben realizar ninguna acción. Ya se aplicaron todos los parches disponibles al servidor de Google de Google Cloud para Google Cloud, incluido Google Compute Engine. En este momento, los siguientes productos requieren actualizaciones adicionales de socios y proveedores.
Google corregirá estos productos una vez que se implementen estos parches. disponible, y este boletín se actualizará según corresponda. Los clientes de Google Chromebook y ChromeOS Flex recibieron automáticamente las mitigaciones proporcionadas por Intel en las versiones estables (115), LTS (108), beta (116) y LTC (114). Los clientes de Chromebook y ChromeOS Flex fijados en un En las versiones anteriores, se debería considerar dejar de fijar y pasar a un entorno estable o de LTS. para garantizar que reciban esta y otras correcciones de vulnerabilidades. ¿Qué vulnerabilidades se abordan? CVE-2022-40982: para obtener más información, consulta Asesoría de seguridad de Intel INTEL-SA-00828. |
Alta | CVE-2022-40982 |
GCP-2023-023
Publicado: 8 de agosto de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
AMD divulgó una vulnerabilidad en ciertos procesadores (CVE-2023-20569). Google tomó medidas para mitigar su flota de servidores, incluida Google Cloud, para garantizar la protección de los clientes. Detalles de la vulnerabilidad:
¿Qué debo hacer?
Los usuarios de las VMs de Compute Engine deben considerar las mitigaciones proporcionadas por el SO si ejecutan código no confiable dentro de la instancia. Recomendamos a los clientes se comuniquen con sus proveedores de SO para obtener orientación más específica. Ya se aplicaron correcciones a la flota de servidores de Google para Google Cloud, incluido Google Compute Engine. ¿Qué vulnerabilidades se abordan? CVE-2023-20569: para obtener más información, consulta AMD SB-7005 |
Moderado | CVE-2023-20569 |
GCP-2023-022
Fecha de publicación: 3/8/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Google identificó una vulnerabilidad en las implementaciones de C++ de gRPC anteriores a la versión 1.57. Esta era una vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC. que se corrigieron en las versiones 1.53.2, 1.54.3, 1.55.2, 1.56.2 y 1.57. ¿Qué debo hacer? Asegúrate de estar usando las versiones más recientes de los siguientes paquetes de software:
¿Qué vulnerabilidades se abordan? Con estos parches, se mitigan las siguientes vulnerabilidades:
| Alta | CVE-2023-33953 |
GCP-2023-021
Updated:2023-07-26
Fecha de publicación: 25 de julio de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:
Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh. |
Alta |
GCP-2023-020
Actualizado: 26/07/2023
Publicado: 24 de julio de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
AMD lanzó una actualización de microcódigo que aborda un problema de seguridad de hardware vulnerabilidades (CVE-2023-20593). Google aplicó las correcciones necesarias para esta vulnerabilidad a su flota de servidores, incluidos los servidores de la Google Cloud Platform. Las pruebas indican que no hay impacto en el y el rendimiento de los sistemas. ¿Qué debo hacer? No es necesario que los clientes realicen ninguna acción, ya que las correcciones ya se aplicaron a la flota de servidores de Google para Google Cloud Platform. ¿Qué vulnerabilidades se abordan? CVE-2023-20593 soluciona una vulnerabilidad en algunas CPU de AMD. Obtén más información aquí. | Alta | CVE-2023-20593 |
GCP-2023-019
Fecha de publicación: 18/07/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una nueva vulnerabilidad (CVE-2023-35945) en Envoy, en la que una respuesta creada específicamente de un servicio ascendente no confiable puede causar una denegación del servicio a través del agotamiento de la memoria. Esto ocurre
por el códec HTTP/2 de Envoy que puede filtrar un mapa de encabezados y registros
estructuras tras recibir Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh. | Alta | CVE-2023-35945 |
GCP-2023-018
Fecha de publicación: 27/06/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una nueva vulnerabilidad (CVE-2023-2235) en el kernel de Linux que puede llevar a una elevación de privilegios en el nodo. Los clústeres de Autopilot de GKE se ven afectados porque los nodos de Autopilot de GKE siempre usan imágenes de nodo de Container-Optimized OS. Los clústeres de GKE Standard con versiones 1.25 o posteriores que ejecutan imágenes de nodo de Container-Optimized OS se ven afectados. Los clústeres de GKE no se ven afectados si solo ejecutan imágenes de nodos de Ubuntu, versiones anteriores a la 1.25 o GKE Sandbox. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-2235 |
GCP-2023-017
Fecha de publicación: 26/06/2023
Última actualización: 11-07-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 11/07/2023: Versiones nuevas de GKE para incluir las últimas versiones de Ubuntu que aplican parches CVE-2023-31436: Se descubrió una nueva vulnerabilidad (CVE-2023-31436) en el kernel de Linux que puede llevar a una elevación de privilegios en el nodo. Los clústeres de GKE, incluidos los de Autopilot, se ven afectados. Los clústeres de GKE que usan GKE Sandbox no se ven afectados. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-31436 |
GCP-2023-016
Fecha de publicación: 26/06/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrieron varias vulnerabilidades en Envoy, que se usa en Cloud Service Mesh, que permiten que un atacante malicioso cause una denegación del servicio o haga que Envoy falle. Se informaron por separado como GCP-2023-002. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-27496 CVE-2023-27488 CVE-2023-27493 CVE-2023-27492 CVE-2023-27491 CVE-2023-27487 |
GCP-2023-015
Fecha de publicación: 20/06/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una nueva vulnerabilidad, CVE-2023-0468, en el kernel de Linux que podría permitir que un usuario sin privilegios eleve privilegios a raíz cuando io_poll_get_ownership siga aumentando req->poll_refs en cada io_poll_wake y luego se desbordará a 0, lo que fput req->file dos veces y causará un error de referencia del archivo de struct. Se ven afectados los clústeres de GKE, incluidos los de Autopilot, con Container-Optimized OS que usa la versión 5.15 del kernel de Linux. Los clústeres de GKE que usan imágenes de Ubuntu o GKE Sandbox no se ven afectados. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media | CVE-CVE-2023-0468 |
GCP-2023-014
Última actualización: 11/08/2023
Fecha de publicación: 15/06/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 11/08/2023: Se agregaron versiones de parches para GKE en VMware, GKE en AWS, GKE en Azure y Google Distributed Cloud Virtual para Bare Metal. Se descubrieron dos problemas de seguridad nuevos en Kubernetes, en los que los usuarios podrían iniciar contenedores que eludan las restricciones de políticas cuando usan contenedores efímeros, y ya sea ImagePolicyWebhook (CVE-2023-2727) o el complemento de admisión ServiceAccount (CVE-2023-2728). Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media | CVE-2023-2727, CVE-2023-2728 |
GCP-2023-013
Fecha de publicación: 8 de junio de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Cuando habilitas la API de Cloud Build en un proyecto,
Cloud Build crea automáticamente una cuenta de servicio predeterminada
para ejecutar compilaciones en tu nombre. Esta cuenta de servicio de Cloud
Build tenía anteriormente el permiso de IAM Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Build. |
Low (Baja) |
GCP-2023-010
Fecha de publicación: 7 de junio de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Google identificó tres vulnerabilidades nuevas en la implementación de C++ de gRPC. Estos se publicarán pronto como CVE-2023-1428, CVE-2023-32731 y CVE-2023-32732. En abril, identificamos dos vulnerabilidades en las versiones 1.53 y 1.54. Una era una vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC y la otra era una vulnerabilidad de robo de datos remoto. Estas vulnerabilidades se corrigieron en las versiones 1.53.1, 1.54.2 y posteriores. Anteriormente, en marzo, nuestros equipos internos descubrieron una vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC mientras realizaban actividades de fuzzing de rutina. Se descubrió en la versión 1.52 de gRPC y se corrigió en las versiones 1.52.2 y 1.53. ¿Qué debo hacer?Asegúrate de estar usando las versiones más recientes de los siguientes paquetes de software:
¿Qué vulnerabilidades tratan estos parches?Con estos parches, se mitigan las siguientes vulnerabilidades:
Te recomendamos actualizar a las versiones más recientes de los siguientes paquetes de software, tal como se indica más arriba. |
Alta (CVE-2023-1428, CVE-2023-32731). Media (CVE-2023-32732) | CVE-2023-1428, CVE-2023-32731, CVE-023-32732 |
GCP-2023-009
Fecha de publicación: 6 de junio de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una nueva vulnerabilidad (CVE-2023-2878) en secrets-store-csi-driver, en la que un actor con acceso a los registros del controlador podría observar tokens de cuenta de servicio. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Ninguno | CVE-2023-2878 |
GCP-2023-008
Fecha de publicación: 5 de junio de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una nueva vulnerabilidad (CVE-2023-1872) en el kernel de Linux que puede llevar a una elevación de privilegios para establecer la raíz en el nodo. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-1872 |
GCP-2023-007
Fecha de publicación: 2 de junio de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Recientemente, se descubrió una vulnerabilidad en Cloud SQL para SQL Server que
permitió que las cuentas de administrador del cliente crearan activadores
Google Cloud resolvió el problema mediante el parche de vulnerabilidad de seguridad para el 1 de marzo de 2023. Google Cloud no encontró ninguna instancia cliente comprometida. Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud SQL. |
Alta |
GCP-2023-005
Fecha de publicación: 18/05/2023
Actualizado: 06/06/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 06/06/2023: Se actualizaron las nuevas versiones de GKE para incluir las versiones más recientes de Ubuntu que aplican parches a CVE-2023-1281 y CVE-2023-1829. Se descubrieron dos vulnerabilidades nuevas (CVE-2023-1281 y CVE-2023-1829) en el kernel de Linux, que pueden llevar a una elevación de privilegios para establecer la raíz en el nodo. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-1281 CVE-2023-1829 |
GCP-2023-004
Publicado: 26 de abril de 2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrieron dos vulnerabilidades (CVE-2023-1017 y CVE-2023-1018) en el módulo de plataforma de confianza (TPM) 2.0. Las vulnerabilidades podrían haber permitido que un atacante sofisticado de 2 bytes fuera de los límites de lectura y escritura en determinados VMs. Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Compute Engine. |
Media |
GCP-2023-003
Fecha de publicación: 11/04/2023
Última actualización: 21-12-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se aclaró que los clústeres de GKE Autopilot con la configuración predeterminada no se ven afectados. Se descubrieron dos vulnerabilidades nuevas, CVE-2023-0240 y CVE-2023-23586, en el kernel de Linux que podrían permitir que un usuario sin privilegios escale privilegios. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2023-0240, CVE-2023-23586 |
GCP-2023-002
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Los siguientes CVEs exponen Cloud Service Mesh a vulnerabilidades aprovechables:
Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta |
GCP-2023-001
Fecha de publicación: 1/3/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se aclaró que los clústeres de GKE Autopilot con la configuración predeterminada no se ven afectados. Se descubrió una nueva vulnerabilidad (CVE-2022-4696) en el kernel de Linux que puede generar una elevación de privilegios en el nodo. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2022-4696 |
GCP-2022-026
Publicado: 11/01/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrieron dos vulnerabilidades nuevas (CVE-2022-3786 y CVE-2022-3602) en OpenSSL v3.0.6 que pueden provocar una falla. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media |
GCP-2022-025
Fecha de publicación: 21/12/2022
Última actualización: 19/01/2023, 21/12/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada afectadas. Actualización del 19-01-2023: Se agregó información que La versión 1.21.14-gke.14100 de GKE está disponible. Se detectaron dos nuevas vulnerabilidades (CVE-2022-3786 y CVE-2022-3602) en OpenSSL v3.0.6 que podrían causar fallas. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Media |
GCP-2022-024
Fecha de publicación: 9-11-2022
Actualizado: 19/01/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 19/01/2023: Se agregó información sobre la disponibilidad de la versión 1.21.14-gke.14100 de GKE. Actualización del 16/12/2022: Se agregaron versiones de parche para GKE y GKE en VMware. Se descubrieron dos vulnerabilidades nuevas (CVE-2022-2585 y CVE-2022-2588) en el kernel de Linux que pueden provocar una ruptura completa del contenedor para obtener la raíz en el nodo. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Alta |
GCP-2022-023
Fecha de publicación: 4 de noviembre de 2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una vulnerabilidad de seguridad, CVE-2022-39278, Istio, que se usa en Cloud Service Mesh y permite que una solicitud que el atacante choque el plano de control. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2022-39278 |
GCP-2022-022
Fecha de publicación: 28 de octubre de 2022
Última actualización: 14/12/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 14/12/2022: Se agregaron versiones de parche para GKE y GKE en VMware. Se descubrió una nueva vulnerabilidad en los sistemas kernel que podría permitir que un usuario sin privilegios derive al sistema de ejecución. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2022-20409 |
GCP-2022-021
Publicado: 27 de octubre de 2022
Última actualización: 19-01-2023, 21-12-2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada afectadas. Actualización del 19/01/2023: Se agregó información sobre la disponibilidad de la versión 1.21.14-gke.14100 de GKE. Actualización del 15-12-2022: Se actualizó la información de esa versión La versión 1.21.14-gke.9400 de Google Kubernetes Engine está pendiente de lanzamiento y es posible que se sustituido por un número de versión más alto. Actualización del 22/11/2022: Se agregaron versiones de parche para GKE en VMware, GKE en AWS y GKE en Azure. Se descubrió una nueva vulnerabilidad en el kernel de Linux, CVE-2022-3176, que puede provocar a la elevación de privilegios local. Esta vulnerabilidad permite que un usuario sin privilegios logre un desglose completo de los contenedores hasta la raíz en el nodo. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta | CVE-2022-3176 |
GCP-2022-020
Fecha de publicación: 5 de octubre de 2022
Última actualización: 12/10/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
El plano de control de Istio Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta | CVE-2022-39278 |
GCP-2022-019
Publicación: 22 de septiembre de 2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Una vulnerabilidad de análisis de mensajes y administración de memoria en Las implementaciones de C++ y Python de ProtocolBuffer pueden activar una salida de memoria (OOM) cuando se procesa un mensaje especialmente elaborado. Esta podría dar lugar a una denegación del servicio (DoS) en los servicios con el bibliotecas. ¿Qué debo hacer?Asegúrate de estar usando las versiones más recientes de los siguientes paquetes de software:
¿Qué vulnerabilidades trata este parche?Este parche mitiga la siguiente vulnerabilidad:
Un mensaje pequeño especialmente construido que provoca que el servicio en ejecución
para asignar grandes cantidades de RAM. El tamaño pequeño de la solicitud implica
que es fácil aprovechar la vulnerabilidad y el agotamiento
de Google Cloud. Los sistemas C++ y Python que consumen protobufs no confiables serían vulnerables a ataques DoS si contienen un objeto |
Media | CVE-2022-1941 |
GCP-2022-018
Fecha de publicación: 1 de agosto de 2022
Última actualización: 14/09/2022, 21/12/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 21/12/2023: Se aclaró que los clústeres de GKE Autopilot con la configuración predeterminada no se ven afectados. Actualización del 14/09/2022: Se agregaron versiones de parche para GKE en VMware, GKE en AWS y GKE en Azure. Se descubrió una nueva vulnerabilidad (CVE-2022-2327) en el kernel de Linux que puede provocar una elevación de privilegios local. Esta vulnerabilidad permite que un usuario sin privilegios logre un desglose completo de los contenedores hasta la raíz en el nodo. Para obtener instrucciones y más detalles, consulta los siguientes boletines: | Alta | CVE-2022-2327 |
GCP-2022-017
Fecha de publicación: 29/06/2022
Última actualización: 22/11/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 22/11/2022: Las cargas de trabajo que usan GKE Sandbox no se ven afectadas por estas vulnerabilidades. Actualización del 21/07/2022: Se agregó información adicional sobre GKE en VMware. Se descubrió una vulnerabilidad nueva (CVE-2022-1786) en las versiones 5.10 y 5.11 del kernel de Linux. Esta vulnerabilidad permite que un usuario sin privilegios con acceso local al clúster logre un desglose completo de los contenedores hasta la raíz en el nodo. Solo los clústeres que ejecutan Container-Optimized OS se ven afectados. Las versiones de GKE Ubuntu usan la versión 5.4 o 5.15 del kernel y no se ven afectadas. Para obtener instrucciones y más detalles, consulta lo siguiente: |
Alta | CVE-2022-1786 |
GCP-2022-016
Fecha de publicación: 23/06/2022
Última actualización: 22/11/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 22/11/2022: Los clústeres de Autopilot no se ven afectados por CVE-2022-29581, pero son vulnerables a CVE-2022-29582 y CVE-2022-1116. Tres nuevas vulnerabilidades de corrupción de memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116) se descubrieron en el kernel de Linux. Estas vulnerabilidades permiten que un usuario sin privilegios con acceso local al clúster logre un desglose completo de los contenedores hasta la raíz en el nodo. Todos los clústeres de Linux (Container-Optimized OS y Ubuntu) se ven afectadas. Para obtener instrucciones y más detalles, consulta los siguientes boletines: |
Alta |
GCP-2022-015
Fecha de publicación: 09/06/2022
Última actualización: 10/06/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 10/06/2022: Las versiones de Cloud Service Mesh se se actualicen. Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh. Los siguientes CVE de Envoy y Istio exponen Cloud Service Mesh y Istio on GKE a vulnerabilidades explotables de forma remota:
Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Crítico |
GCP-2022-014
Fecha de publicación: 26 de abril de 2022
Última actualización: 22/11/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 22/11/2022: Los clústeres de GKE Autopilot y las cargas de trabajo que se ejecutan en GKE Sandbox no se ven afectados. Actualización del 12-05-2022: GKE en AWS y Se actualizaron las versiones de GKE en Azure. Para y más detalles, consulta lo siguiente:
Dos vulnerabilidades de seguridad: CVE-2022-1055 y CVE-2022-27666 se descubrieron en el kernel de Linux. Cada uno puede provocar que un atacante local pueda realizar un desglose de contenedores, elevación de privilegios en el host o ambos. Estas vulnerabilidades afectan a todos los sistemas operativos de los nodos de GKE (Container-Optimized OS y Ubuntu). Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Alta |
CVE-2022-1055 CVE-2022-27666 |
GCP-2022-013
Fecha de publicación: 11/04/2022
Última actualización: 22/04/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una vulnerabilidad de seguridad, CVE-2022-23648, en el control de containerd del recorrido de ruta en la especificación del volumen de imágenes de OCI. Los contenedores que se lanzan mediante la implementación de CRI de containerd con una configuración de imagen creada especialmente podrían obtener acceso completo de lectura a directorios y archivos arbitrarios en el host. Esta vulnerabilidad puede omitir cualquier aplicación basada en políticas en la configuración de contenedores (incluida una política de seguridad de Pods de Kubernetes). Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Media | CVE-2022-23648 |
GCP-2022-012
Fecha de publicación: 7/04/2022
Última actualización: 22/11/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 22/11/2022: En los clústeres de GKE en ambos modos, Standard y Autopilot, las cargas de trabajo que usan GKE Sandbox no se ven afectadas. Se descubrió una vulnerabilidad de seguridad, CVE-2022-0847, en la versión de kernel 5.8 de Linux y versiones posteriores que pueden aumentar los privilegios del contenedor a raíz. Esta vulnerabilidad afecta a los siguientes productos:
Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Alta | CVE-2022-0847 |
GCP-2022-011
Fecha de publicación: 22 de marzo de 2022
Última actualización: 11-08-2022
Descripción
Descripción | Gravedad |
---|---|
Actualización del 11/08/2022: Se agregó más información sobre la configuración de varios subprocesos simultáneos (SMT). Se pretendía que SMT se inhabilitara, pero se habilitó en las versiones que se indican. Si seleccionas manualmente SMT habilitado para un grupo de nodos de zona de pruebas, SMT permanecerá habilitado de forma manual a pesar de este problema. Hay una configuración incorrecta con los multisubprocesos simultáneos (SMT) simultáneos, también conocido como hipersubprocesos, en imágenes de GKE Sandbox. La configuración incorrecta deja a los nodos potencialmente expuestos a ataques de canal lateral, como el muestreo de datos de microarquitectura (MDS) (para obtener más contexto, consulta la documentación de GKE Sandbox). No recomendamos usar las siguientes versiones afectadas:
Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE. |
Media |
GCP-2022-010
Descripción
Descripción | Gravedad | Notas |
---|---|---|
El siguiente CVE de Istio expone a Cloud Service Mesh a una vulnerabilidad que se puede explotar de forma remota:
Para obtener instrucciones y más detalles, consulta el siguiente boletín de seguridad: |
Alta |
GCP-2022-009
Fecha de publicación: 1 de marzo de 2022Descripción
Descripción | Gravedad |
---|---|
Algunas rutas inesperadas para acceder a la VM del nodo en los clústeres de GKE Autopilot podrían haberse usado a fin de escalar privilegios en el clúster. Estos problemas se solucionaron y no se requiere ninguna otra acción. Las correcciones abordan problemas informados a través de nuestro Programa de recompensas por detección de vulnerabilidades. Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE. |
Low (Baja) |
GCP-2022-008
Fecha de publicación: 23/02/2022
Actualización: 28/04/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 28/04/2022: Se agregaron versiones de GKE en VMware que corrigen estas fallas. vulnerabilidades. Para obtener más información, consulta la Boletín de seguridad de GKE en VMware. Recientemente, el proyecto Envoy descubrió un conjunto de vulnerabilidades. Todas los problemas que se indican a continuación se corrigieron en la versión 1.21.1 de Envoy.
¿Qué debo hacer? Los usuarios de Envoy que administran sus propios Envoy deben asegurarse de usar la versión 1.21.1 de Envoy. Los usuarios de Envoy que administran sus propios Envoys compilan los objetos binarios desde una fuente como GitHub y los implementan. Los usuarios que ejecutan Envoys administrado no deben realizar ninguna acción (Google Cloud proporciona los objetos binarios de Envoy), para los cuales los productos de Google Cloud cambiarán a la versión 1.21.1. |
Alta |
CVE-2022-23606 CVE-2022-21655 CVE-2021-43826 CVE-2021-43825 CVE-2021-43824 CVE-2022-21654 CVE-2022-21657 CVE-2022-21656 |
GCP-2022-007
Fecha de publicación: 22/02/2022Descripción
Descripción | Gravedad | Notas |
---|---|---|
Los siguientes CVE de Envoy y Istio exponen Cloud Service Mesh y Istio en GKE a vulnerabilidades explotables de forma remota:
Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Alta |
GCP-2022-006
Fecha de publicación: 14/02/2022Última actualización: 16/05/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 16/05/2022: Se agregó la versión 1.19.16-gke.7800 o posterior de GKE a la lista de versiones que tienen código para corregir esta vulnerabilidad. Para obtener más información, consulta el boletín de seguridad de GKE. Actualización del 12/05/2022: Se actualizaron las versiones de GKE, GKE en VMware, GKE en AWS y GKE en Azure. Para y más detalles, consulta lo siguiente:
Se detectó una vulnerabilidad de seguridad, CVE-2022-0492, en la función |
Low (Baja) |
Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
GCP-2022-005
Fecha de publicación: 11 de febrero de 2022Última actualización: 15-02-2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se detectó una vulnerabilidad de seguridad, CVE-2021-43527, en cualquier objeto binario que se vincula con las versiones vulnerables de libnss3 que se encuentran en las versiones de NSS (Servicios de Seguridad de Red) anteriores a la versión 3.73 o 3.68.1. Las aplicaciones que usan NSS para validación de certificados u otra función de CRL, OCSP TLS o X.509 pueden verse afectadas, según cómo se use o configure NSS. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Media | CVE-2021-43527 |
GCP-2022-004
Publicado: 4 de febrero de 2022Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se detectó una vulnerabilidad de seguridad, CVE-2021-4034, en pkexec, un componente del paquete del kit de políticas de Linux (polkit) que permite que un usuario autenticado realice un ataque de elevación de privilegios. Por lo general, PolicyKit solo se usa en sistemas de escritorio Linux para permitir que los usuarios no raíz realicen acciones, como reiniciar el sistema, instalar paquetes, reiniciar servicios, etc., según lo que estipule una política. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Ninguno | CVE-2021-4034 |
GCP-2022-002
Fecha de publicación: 1 de febrero de 2022Última actualización: 25/02/2022
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 25-02-2022: El servicio de GKE versiones actualizadas. Para y más detalles, consulta lo siguiente: Actualización del 23-02-2022: Las instancias de GKE y Se actualizaron las versiones de GKE alojadas en VMware. Para y más detalles, consulta lo siguiente: Actualización del 04-02-2022: La fecha de inicio del lanzamiento de las versiones de parche de GKE fue el 2 de febrero. Tres vulnerabilidades de seguridad, CVE-2021-4154, CVE-2021-22600 y CVE-2022-0185, se descubrieron en el kernel de Linux, cada una de las cuales puede generar una fuga del contenedor, la elevación de privilegios en el host o ambas. Estas vulnerabilidades afectan a todos los sistemas operativos de los nodos (COS y Ubuntu) en GKE, GKE en VMware, GKE en AWS (generación actual y anterior) y GKE en Azure. Los Pods que usan GKE Sandbox no son vulnerables a estas vulnerabilidades. Consulta las notas de la versión de COS para obtener más información. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Alta |
GCP-2022-001
Fecha de publicación: 6 de enero de 2022Descripción
Descripción | Gravedad | Notas |
---|---|---|
Un posible problema de denegación del servicio en ¿Qué debo hacer? Asegúrate de usar las versiones más recientes del siguiente software paquetes:
Los usuarios de "javalite" de Protobuf (por lo general, Android) no se ven afectados. ¿Qué vulnerabilidades corrige este parche? Este parche mitiga la siguiente vulnerabilidad: Una debilidad de implementación en la forma en que se analizan los campos desconocidos en Java. Una carga útil maliciosa pequeña (~800 KB) puede ocupar el analizador durante varios minutos, ya que crea una gran cantidad de objetos de corta duración que causan pausas frecuentes y repetidas de recolección de elementos no utilizados. |
Alta | CVE-2021-22569 |
GCP-2021-024
Publicada: 21-10-2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió un problema de seguridad en el SDK ingress-nginx, CVE-2021-25742 Los fragmentos personalizados de Ingress-nginx permiten la recuperación de ingress-nginx tokens y Secrets de la cuenta de servicio en todos los espacios de nombres. Para obtener instrucciones y más detalles, consulta los siguientes documentos: | Ninguno | CVE-2021-25742 |
GCP-2021-019
Publicada: 29-09-2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Hay un problema conocido en el que la actualización de un recurso Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE. |
Baja |
GCP-2021-022
Publicada: 22-09-2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una vulnerabilidad en el módulo LDAP de GKE Identity Service (AIS) de GKE Enterprise en VMware 1.8 y 1.8.1, donde una clave inicial para generar claves es predecible. Con esta vulnerabilidad, un usuario autenticado podría agregar reclamaciones arbitrarias y escalar privilegios de forma indefinida. Para obtener instrucciones y más detalles, consulta GKE en VMware boletín de seguridad. |
Alta |
GCP-2021-021
Publicada: 22-09-2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se detectó una vulnerabilidad de seguridad, CVE-2020-8561, en Kubernetes, en la que se pueden realizar determinados webhooks para redireccionar las solicitudes kube-apisever a las redes privadas de ese servidor de la API. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Media | CVE-2020-8561 |
GCP-2021-023
Fecha de publicación: 21 de septiembre de 2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
De acuerdo con el aviso de seguridad de VMware VMSA-2021-0020, VMware recibió informes de varias vulnerabilidades en vCenter. VMware hizo actualizaciones disponibles para corregir estas vulnerabilidades en los productos afectados de VMware. Ya aplicamos los parches que proporciona VMware para la pila de vSphere a Google Cloud VMware Engine según el aviso de seguridad de VMware. Esta actualización aborda las vulnerabilidades de seguridad descritas en CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 y CVE-2021-22010. Se abordarán otros problemas de seguridad no críticos en la próxima actualización de la pila de VMware (según la notificación previa que se envió en julio, se proporcionarán más detalles pronto en el cronograma específico de la actualización). El impacto de VMware EngineSegún nuestras investigaciones, no se descubrió que los clientes se vieran afectados. ¿Qué debo hacer?Debido a que los clústeres de VMware Engine no se ven afectados por esta vulnerabilidad, no es necesario que realices ninguna otra acción. |
Crítico |
GCP-2021-020
Publicada: 17-09-2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Ciertos balanceadores de cargas de Google Cloud que enrutan a un servicio de backend habilitado para Identity-Aware Proxy (IAP) podrían haber sido vulnerables a un tercero no confiable en condiciones limitadas. Esto soluciona un problema que se informó a través de nuestro Programa de recompensas por detección de vulnerabilidades. Las condiciones eran que los servidores:
Además, un usuario de tu organización debe haber hecho clic en un vínculo creado de forma específica y enviado por un tercero que no es de confianza. Este problema ya se resolvió. A partir del 17 de septiembre de 2021, IAP se actualizó para emitir cookies solo a hosts autorizados. Un host se considera autorizado si coincide con al menos un nombre alternativo de asunto (SAN) en uno de los certificados instalados en tus balanceadores de cargas. Qué hacer
Es posible que algunos de tus usuarios experimenten una respuesta HTTP 401 no autorizada con un código de error de IAP 52 cuando intenten acceder a apps o servicios. Este código de error significa que el cliente envió un encabezado |
Alto |
GCP-2021-018
Fecha de publicación: 15/09/2021Última actualización: 20/09/2021
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió un problema de seguridad en Kubernetes, CVE-2021-25741, en el que el usuario puede crear un contenedor con activaciones de volumen de ruta secundaria para acceder a archivos y directorios fuera del volumen, incluido en el sistema de archivos del host. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Alta | CVE-2021-25741 |
GCP-2021-017
Fecha de publicación: 01/09/2021Última actualización: 23/09/2023
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización del 23/09/2021: Contenedores que se ejecutan dentro de GKE Sandbox no se ven afectadas por esta vulnerabilidad por ataques que se originan en el contenedor. Se descubrieron dos vulnerabilidades de seguridad, CVE-2021-33909 y CVE-2021-33910, en el kernel de Linux que pueden provocar una falla del SO o una elevación de un usuario sin privilegios a permisos de administrador. Esta vulnerabilidad afecta a todos los sistemas operativos de los nodos de GKE (COS y Ubuntu). Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Alta | CVE-2021-33909, CVE-2021-33910 |
GCP-2021-016
Publicada: 24/08/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Los siguientes CVE de Envoy y Istio exponen Cloud Service Mesh y Istio on GKE a vulnerabilidades explotables de forma remota:
Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Alto |
GCP-2021-015
Fecha de publicación: 13/07/2021Última actualización: 15/07/2021
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se descubrió una vulnerabilidad de seguridad nueva, CVE-2021-22555, en la que un actor malicioso con privilegios de Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Alta | CVE-2021-22555 |
GCP-2021-014
Publicada: 05/07/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Microsoft publicó un boletín de seguridad sobre una vulnerabilidad de ejecución de código remoto (RCE), CVE-2021-34527, que afecta la cola de impresión en los servidores de Windows. El CERT Coordination Center (CERT/CC) publicó una nota de actualización sobre una vulnerabilidad relacionada, denominada "PrintNightmare", que también afecta las colas de impresión de Windows: PrintNightmare, Critical Windows Print Spooler Vulnerability. Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE. |
Alto | CVE-2021-34527 |
GCP-2021-012
Fecha de publicación: 24/06/2021Última actualización: 09/07/2021
Descripción
Descripción | Gravedad | Notas |
---|---|---|
El proyecto Istio recientemente anunciaron una vulnerabilidad de seguridad en la que las credenciales especificadas en el archivo Se puede acceder al campo credentialsName de DestinationRule desde diferentes los espacios de nombres. Para obtener instrucciones específicas de los productos y más detalles, consulta los siguientes artículos:
|
Alta | CVE-2021-34824 |
GCP-2021-011
Fecha de publicación: 04/06/2021Última actualización: 19/10/2021
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualización de 19/10/2021: Para obtener instrucciones y más consulta los siguientes boletines de seguridad:
Hace poco, la comunidad de seguridad divulgó una nueva vulnerabilidad de seguridad (CVE-2021-30465) que se encontró en En el caso de GKE, debido a que aprovechar esta vulnerabilidad requiere la capacidad de crear pods, calificamos la gravedad como MEDIA. Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE. |
Medio | CVE-2021-30465 |
GCP-2021-010
Fecha de publicación: 25 de mayo de 2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Según el aviso de seguridad de VMware VMSA-2021-0010, la ejecución remota de código y las vulnerabilidades de omisión de autenticación en el cliente de vSphere (HTML5) se informaron de forma privada a VMware. VMware hizo actualizaciones disponibles para corregir estas vulnerabilidades en los productos afectados de VMware. Aplicamos los parches proporcionados por VMware para la pila de vSphere. según el aviso de seguridad de VMware. Esta actualización aborda los problemas de seguridad vulnerabilidades descritas en CVE-2021-21985 y CVE-2021-21986. El con versiones de imágenes que se ejecutan en tu VMware Engine privado no reflejan ningún cambio en este momento para indicar que los parches se aplicó. Ten la certeza de que se implementaron los parches adecuados y tu entorno está protegido contra estas vulnerabilidades. El impacto de VMware EngineSegún nuestras investigaciones, no se descubrió que los clientes se vieran afectados. ¿Qué debo hacer?Debido a que los clústeres de VMware Engine no se ven afectados por esto en una vulnerabilidad de seguridad, no es necesario que realices ninguna otra acción. |
Crítico |
GCP-2021-008
Publicada: 17/05/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Istio contiene una vulnerabilidad que se puede aprovechar de forma remota, en la que un cliente externo puede acceder a servicios inesperados en el clúster y, así, omitir las verificaciones de autorización cuando una puerta de enlace se configura con la configuración de enrutamiento Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta |
CVE-2021-31921 |
GCP-2021-007
Publicada: 17/05/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Istio contiene una vulnerabilidad con capacidad de accesibilidad remota en la que una ruta de acceso de HTTP con múltiples barras o caracteres de barra con escape ( Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh. |
Alta |
CVE-2021-31920 |
GCP-2021-006
Publicada: 11/05/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Hace poco, el proyecto Istio divulgó una vulnerabilidad de seguridad nueva (CVE-2021-31920) que afecta a Istio. Istio contiene una vulnerabilidad que se puede exponer de forma remota, en la que una solicitud HTTP con varias barras o caracteres de barra de escape puede omitir la política de autorización de Istio cuando se usan reglas de autorización basadas en rutas. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Alto |
CVE-2021-31920 |
GCP-2021-005
Publicada: 11/05/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Una vulnerabilidad informada demostró que Envoy no decodifica
secuencias de barras ¿Qué debo hacer?
Si los servidores de backend tratan ¿Qué cambios de comportamiento se implementaron?normalize_path de Envoy y combinar barras adyacentes se les permitió abordar otras vulnerabilidades de confusión de rutas comunes en Productos basados en Envoy. |
Alto |
CVE-2021-29492 |
GCP-2021-004
Fecha de publicación: 6 de mayo de 2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Recientemente, los proyectos de Istio y Envoy anunciaron varias vulnerabilidades nuevas de seguridad (CVE-2021-28683, CVE-2021-28682 y CVE-2021-29258), que podrían permitir a un atacante bloquear Envoy. Los clústeres de Google Kubernetes Engine no ejecutan Istio de forma predeterminada y no son vulnerables. Si Istio se instaló en un clúster y se configuró para exponer servicios a Internet, estos pueden ser vulnerables a la denegación del servicio. Google Distributed Cloud Virtual para Bare Metal y GKE en VMware usan Envoy de forma predeterminada para Ingress, por lo que los servicios de Ingress pueden ser vulnerables a la denegación del servicio. Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Media |
GCP-2021-003
Publicada: 19/04/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
El proyecto de Kubernetes anunció recientemente una nueva vulnerabilidad de seguridad, CVE-2021-25735, que podría permitir que las actualizaciones del nodo omitan un webhook de admisión y validación.
En una situación en la que un atacante tiene privilegios suficientes y en la que se implementa un webhook de admisión y validación que usa propiedades del objeto Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Media |
GCP-2021-002
Publicada: 05-03-2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Según el aviso de seguridad VMSA-2021-0002, VMware recibió informes de varias vulnerabilidades en VMware ESXi y el cliente de vSphere (HTML5). VMware hizo actualizaciones disponibles para corregir estas vulnerabilidades en los productos afectados de VMware. Aplicamos las soluciones alternativas que se documentan de forma oficial para la pila de vSphere según el aviso de seguridad de VMware. Esta actualización aborda las vulnerabilidades de seguridad que se describen en CVE-2021-21972, CVE-2021-21973 y CVE-2021-21974. El impacto de VMware EngineSegún nuestras investigaciones, no se descubrió que los clientes se vieran afectados. ¿Qué debo hacer?Debido a que los clústeres de VMware Engine no se ven afectados por esta vulnerabilidad, no es necesario que realices ninguna otra acción. |
Crítico |
GCP-2021-001
Publicada: 28/01/2021Descripción
Descripción | Gravedad | Notas |
---|---|---|
Recientemente, se descubrió una vulnerabilidad en la utilidad La infraestructura subyacente que ejecuta Compute Engine no se ve afectada debido a esta vulnerabilidad. Google Kubernetes Engine (GKE), GKE en VMware, GKE en AWS, y Google Distributed Cloud Virtual para clústeres de Bare Metal no se ven afectados por esta vulnerabilidad. Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad: |
Ninguna | CVE-2021-3156 |
GCP-2020-015
Fecha de publicación: 07/12/2020Fecha de actualización: 22/12/2020
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Actualizado: 22-12-2021 El comando de GKE en la siguiente sección debe usar gcloud container clusters update –no-enable-service-externalips Actualización: 15/12/2021 Para GKE, la siguiente mitigación ahora es disponibles:
Para obtener más información, consulta Endurece la seguridad del clúster. El proyecto de Kubernetes descubrió recientemente una nueva vulnerabilidad de seguridad, CVE-2020-8554, que puede permitir que un atacante que haya obtenido permisos cree un servicio de Kubernetes de tipo LoadBalancer o ClusterIP para interceptar el tráfico de red que se origina desde otros Pods del clúster. Esta vulnerabilidad por sí sola no otorga permisos a un atacante para crear un servicio de Kubernetes. Todos los servicios de Google Kubernetes Engine (GKE), GKE en VMware y Esta vulnerabilidad afecta a los clústeres de GKE en AWS. ¿Qué debo hacer?Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Media |
CVE-2020-8554 |
GCP-2020-014
Fecha de publicación: 20/10/2020Última actualización: 20/10/2020
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Hace poco, el proyecto de Kubernetes descubrió varios problemas que permiten la exposición de datos secretos cuando las opciones de registro detallado están habilitadas. Estos son los problemas:
¿Qué debo hacer?No es necesario que realices ninguna otra acción debido a los niveles de registro detallado predeterminados de GKE. |
Ninguna |
Impacto en Google Cloud
Aquí encontrarás información detallada sobre cada producto.
Producto |
Impacto |
---|---|
Google Kubernetes Engine (GKE) no se ve afectado. |
|
GKE On-Prem no se ve afectado. |
|
GKE en AWS no se ve afectado. |
GCP-2020-013
Publicada: 29/09/2020Descripción
Microsoft divulgó la siguiente vulnerabilidad:
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
CVE-2020-1472 — Una vulnerabilidad en Windows Server permite a los atacantes usar el protocolo remoto de Netlogon para ejecutar una aplicación creada especialmente en un dispositivo en la red. |
Puntuación base de la NVD: 10 (crítica) |
Para obtener más detalles, consulta la divulgación de Microsoft.
Impacto en Google Cloud
Esta vulnerabilidad no afecta a la infraestructura en la que se alojan los productos de Google y Google Cloud. Aquí encontrarás detalles adicionales sobre cada producto.
Producto |
Impacto |
---|---|
Compute Engine |
CVE-2020-1472 |
Google Kubernetes Engine |
CVE-2020-1472 |
Servicio administrado para Microsoft Active Directory |
CVE-2020-1472 |
Google Workspace |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Entorno estándar de App Engine |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Entorno flexible de App Engine |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud Run |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Funciones de Cloud Run |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud Composer |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Dataflow |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Dataproc |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud SQL |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
GCP-2020-012
Fecha de publicación: 14/09/2020Última actualización: 17/09/2020
Descripción
Descripción | Gravedad | Notas |
---|---|---|
Hace poco, se descubrió una vulnerabilidad en el kernel de Linux, descrita en CVE-2020-14386, que puede permitir obtener privilegios raíz en el nodo host mediante el escape del contenedor. Afecta a todos los nodos de GKE. Los Pods que se ejecutan en GKE Sandbox no pueden aprovechar esta vulnerabilidad. Para obtener instrucciones y más detalles, consulta los siguientes documentos:
¿Qué vulnerabilidad corrige este parche? Con este parche, se mitiga la siguiente vulnerabilidad: La vulnerabilidad CVE-2020-14386, que permite contenedores con CAP_NET_RAW para escribir de 1 a 10 bytes de memoria de kernel y, también, escapar del contenedor y obtener privilegios raíz en el nodo host. Esta vulnerabilidad de seguridad tiene una calificación de gravedad alta. |
Alto |
GCP-2020-011
Publicada: 24/07/2020Descripción
Descripción | Gravedad | Notas |
---|---|---|
Se detectó hace poco una vulnerabilidad en las herramientas de redes, CVE-2020-8558, en Kubernetes. A veces, los servicios se comunican con otras aplicaciones que se ejecutan dentro del mismo Pod mediante la interfaz de bucle invertido local (127.0.0.1). Esta vulnerabilidad permite que un atacante con acceso a la red del clúster envíe tráfico a la interfaz de bucle invertido de Pods y nodos adyacentes. Podrían aprovecharse los servicios que dependen de que no se pueda acceder a la interfaz de bucle invertido fuera del Pod. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Baja (GKE y GKE en AWS), |
GCP-2020-010
Publicada: 27/07/2020Descripción
Microsoft divulgó la siguiente vulnerabilidad:
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
CVE-2020-1350: Los servidores de Windows que entregan en una capacidad de servidor DNS se pueden aprovechar para ejecutar un código no confiable mediante la cuenta del sistema local. |
Puntuación base de la NVD: 10.0 (crítica) |
Para obtener más detalles, consulta la divulgación de Microsoft.
Impacto en Google Cloud
Esta vulnerabilidad no afecta a la infraestructura en la que se alojan los productos de Google y Google Cloud. Aquí encontrarás detalles adicionales sobre cada producto.
Producto |
Impacto |
---|---|
Compute Engine |
CVE-2020-1350 |
Google Kubernetes Engine |
CVE-2020-1350 |
Servicio administrado para Microsoft Active Directory |
CVE-2020-1350 |
Google Workspace |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Entorno estándar de App Engine |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Entorno flexible de App Engine |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud Run |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Funciones de Cloud Run |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud Composer |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Dataflow |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Dataproc |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud SQL |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
GCP-2020-009
Fecha de publicación: 15/07/2020Descripción
Descripción | Gravedad | Notas |
---|---|---|
En la actualidad, se descubrió una vulnerabilidad de elevación de privilegios, CVE-2020-8559, en Kubernetes. Esta vulnerabilidad permite que un atacante que ya haya comprometido un nodo pueda ejecutar un comando en cualquier Pod del clúster. Por lo tanto, existe la posibilidad de que el atacante use el nodo ya comprometido para comprometer otros nodos y poder leer información o causar acciones destructivas. Ten en cuenta que, para que un atacante pueda aprovechar esta vulnerabilidad, un nodo del clúster ya debe estar comprometido. Esta vulnerabilidad, por sí sola, no comprometerá ningún nodo del clúster. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Media |
GCP-2020-008
Publicada: 19/06/2020Descripción
Descripción | Gravedad | Notas |
---|---|---|
DescripciónLas VM que tienen el Acceso al SO habilitado pueden ser susceptibles a vulnerabilidades de elevación de privilegios. Estas vulnerabilidades le ofrece a los usuarios a los que se les otorgan permisos de Acceso al SO (pero no a acceso de administrador) la capacidad de escalar el acceso raíz en la VM. Para obtener instrucciones y más detalles, consulta el Boletín de seguridad de Compute Engine.
|
Alto |
GCP-2020-007
Publicada: 01/06/2020Descripción
Descripción | Gravedad | Notas |
---|---|---|
Hace poco tiempo, se descubrió en Kubernetes una vulnerabilidad de falsificación de solicitudes del servidor (SSRF), CVE-2020-8555, que permitía a ciertos usuarios autorizados filtrar hasta 500 bytes de información sensible desde la red de host del plano de control. El plano de control de Google Kubernetes Engine (GKE) usa controladores de Kubernetes y, por lo tanto, se ve afectado por esta vulnerabilidad. Te recomendamos actualizar el plano de control a la versión más reciente del parche. No requiere actualizar los nodos. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Media |
GCP-2020-006
Publicada: 01/06/2020Descripción
Descripción | Gravedad | Notas |
---|---|---|
Kubernetes divulgó una vulnerabilidad que permite que un contenedor con privilegios redireccione el tráfico de nodos a otro contenedor. Debido a este ataque, no se puede leer ni modificar el tráfico de TLS/SSH mutuo, como el que se establece entre el servidor de Kubelet y la API, o el tráfico de aplicaciones que usan mTLS. Todos los nodos de Google Kubernetes Engine (GKE) se ven afectados por esta vulnerabilidad. Te recomendamos que actualices a la última versión del parche. Para obtener instrucciones y más detalles, consulta los siguientes documentos: |
Media |
GCP‑2020‑005
Publicada: 07/05/2020Descripción
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
Hace poco, se descubrió una vulnerabilidad en el kernel de Linux, descrita en CVE-2020-8835, que permite obtener privilegios de administrador en el nodo host mediante un escape de contenedor. Esta vulnerabilidad afecta a los nodos de Ubuntu de Google Kubernetes Engine (GKE) que ejecutan GKE 1.16 o 1.17, y te recomendamos que actualices a la última versión del parche lo antes posible. Consulta el boletín de seguridad de GKE para obtener instrucciones y más detalles. |
Alto |
GCP-2020-004
Fecha de publicación:31/03/2020Última actualización:31/03/2020
Descripción
Kubernetes divulgó las siguientes vulnerabilidades:
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
CVE-2019-11254: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta al servidor de API. |
Medio |
Consulta el boletín de seguridad de GKE alojado en VMware para obtener instrucciones y más detalles.
GCP‑2020‑003
Fecha de publicación:31/03/2020Última actualización:31/03/2020
Descripción
Kubernetes divulgó las siguientes vulnerabilidades:
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
CVE-2019-11254: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta al servidor de API. |
Medio |
Consulta el boletín de seguridad de GKE para obtener instrucciones y más detalles.
GCP‑2020‑002
Fecha de publicación:23/03/2020Fecha de actualización:23/03/2020
Descripción
Kubernetes divulgó las siguientes vulnerabilidades:
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
CVE-2020-8551: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta a kubelet. |
Medio |
|
CVE-2020-8552: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta al servidor de API. |
Medio |
Consulta el boletín de seguridad de GKE para obtener instrucciones y más detalles.
GCP-2020-001
Fecha de publicación:21/01/2020Última actualización:21/01/2020
Descripción
Microsoft divulgó la siguiente vulnerabilidad:
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
CVE‑2020‑0601: Esta vulnerabilidad también se conoce como la vulnerabilidad de falsificación de identidad de la CryptoAPI de Windows. Se puede aprovechar para que archivos ejecutables maliciosos parezcan confiables o para permitir que el atacante realice ataques de intermediario y desencripte información confidencial sobre las conexiones de usuarios al software afectado. |
Puntuación base de la NVD: 8.1 (alta) |
Para obtener más detalles, consulta la divulgación de Microsoft.
Impacto en Google Cloud
Esta vulnerabilidad no afecta a la infraestructura en la que se alojan los productos de Google y Google Cloud. Aquí encontrarás detalles adicionales sobre cada producto.
Producto |
Impacto |
---|---|
Compute Engine |
CVE‑2020‑0601 |
Google Kubernetes Engine |
CVE‑2020‑0601 |
Servicio administrado para Microsoft Active Directory |
CVE‑2020‑0601 |
Google Workspace |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Entorno estándar de App Engine |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Entorno flexible de App Engine |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud Run |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Funciones de Cloud Run |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud Composer |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Dataflow |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Dataproc |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
Cloud SQL |
Los clientes no deben realizar ninguna acción. La vulnerabilidad no afecta a este servicio. |
GCP-2019-001
Fecha de publicación: 12/11/2019Última actualización:12/11/2019
Descripción
Intel divulgó las siguientes vulnerabilidades:
Vulnerabilidad |
Gravedad |
CVE |
---|---|---|
CVE‑2019‑11135: Esta vulnerabilidad, conocida como anulación asíncrona de TSX (TAA), se puede usar para explotar la ejecución especulativa en una transacción TSX. Esta vulnerabilidad permite que se puedan exponer los datos mediante las mismas estructuras de datos de microarquitectura que presenta el muestreo de datos de microarquitectura (MDS). |
Medio |
|
CVE‑2018‑12207: Es una vulnerabilidad de denegación del servicio (DoS) que afecta a los hosts de máquinas virtuales (no a las máquinas huésped). Este problema se conoce como “error de verificación de la máquina en el cambio de tamaño de la página”. |
Medio |
Para obtener más información, consulta las siguientes divulgaciones de Intel:
Impacto en Google Cloud
La infraestructura en la que se alojan Google Cloud y los productos de Google está protegida contra estas vulnerabilidades. Aquí encontrarás detalles adicionales sobre cada producto.
Producto |
Impacto |
---|---|
Compute Engine |
CVE‑2019‑11135 CVE‑2018‑12207 |
Google Kubernetes Engine |
CVE‑2019‑11135 CVE‑2018‑12207 |
Entorno estándar de App Engine |
No se debe realizar ninguna acción adicional. |
Entorno flexible de App Engine |
CVE‑2019‑11135 CVE‑2018‑12207 |
Cloud Run |
No se debe realizar ninguna acción adicional. |
Funciones de Cloud Run |
No se debe realizar ninguna acción adicional. |
Cloud Composer |
No se debe realizar ninguna acción adicional. |
Dataflow |
CVE‑2019‑11135 CVE‑2018‑12207 |
Dataproc |
CVE‑2019‑11135 CVE‑2018‑12207 |
Cloud SQL |
No se debe realizar ninguna acción adicional. |