Bollettini sulla sicurezza

I seguenti bollettini sulla sicurezza sono relativi ai prodotti Google Cloud.

Utilizza questo feed XML per iscriverti ai bollettini sulla sicurezza per questa pagina. Iscriviti

GCP-2024-041

Pubblicato: 08/07/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-52654
  • CVE-2023-52656

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2024-040

Pubblicato: 01/07/2024

Ultimo aggiornamento: 10/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 10-07-2024:

  • Aggiunto il bollettino sulla sicurezza per Migrate to Virtual Machines.

Aggiornamenti 2024-07-09:

Alcuni clienti dell'ambiente flessibile di App Engine sono potenzialmente interessati da una vulnerabilità in OpenSSH (CVE-2024-6387). In caso di exploit, questo potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire un codice arbitrario come root sulla macchina virtuale di destinazione.

Che cosa devo fare?

Google ha già aggiornato automaticamente i deployment dell'ambiente flessibile, ove possibile. Tuttavia, alcuni clienti che hanno disabilitato l'agente di servizio gestito da Google o apportato modifiche alle API Google Cloud o ad altre configurazioni predefinite, non hanno potuto essere aggiornati e potrebbero essere comunque vulnerabili. Devi eseguire il deployment di una nuova versione dell'app per recuperare l'aggiornamento con la correzione.

Tieni presente che i deployment aggiornati riporteranno la versione ssh OpenSSH_9.6p1. A questa versione è stata applicata una patch con una correzione per CVE-2024-6387.

Quali vulnerabilità vengono affrontate?

La vulnerabilità CVE-2024-6387, che consente a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina di destinazione.

Aggiornamenti dell'8/07/2024:

I cluster Dataproc su Google Compute Engine in esecuzione su immagine versione 2.2 (tutti i sistemi operativi) e 2.1 (solo Debian) sono interessati da una vulnerabilità in OpenSSH (CVE-2024-6387), che in caso di exploit potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina di destinazione.

Non sono interessate le immagini Dataproc su Google Compute Engine versioni 2.0 e 1.5, nonché le immagini Dataproc versione 2.1 non in esecuzione su Debian. I cluster Dataproc con autenticazione personale abilitata non sono interessati. Anche Dataproc Serverless non è interessato.

Che cosa devo fare?

Aggiorna i cluster Dataproc su Google Compute Engine a una delle seguenti versioni:

  • 2.2.24 o versioni successive
  • 2.1.58 o versioni successive

Se non riesci ad aggiornare i cluster Dataproc a una delle versioni precedenti, ti consigliamo di utilizzare l'azione di inizializzazione disponibile in questa posizione: gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

Segui queste istruzioni su come specificare le azioni di inizializzazione per Dataproc. Tieni presente che l'azione di inizializzazione deve essere eseguita su ogni nodo (master e worker) per i cluster preesistenti.

Aggiornamenti 2024/07/03:

  • Versioni patch aggiunte per GKE.
  • Aggiunto il bollettino sulla sicurezza per GDC connesso.

Aggiornamenti 2024/07/02:

  • È stato chiarito che i cluster Autopilot sono interessati e che richiederanno l'azione dell'utente.
  • Sono state aggiunte valutazioni dell'impatto e passaggi di mitigazione per il software GDC per VMware, GKE su AWS e GKE su Azure.
  • È stato corretto il software GDC per il bollettino sulla sicurezza bare metal per chiarire che il software GDC per bare metal non è interessato direttamente e che i clienti devono verificare le patch con i fornitori dei sistemi operativi.

Di recente è stata scoperta una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387 in OpenSSH. La vulnerabilità sfrutta una race condition che può essere utilizzata per ottenere l'accesso a una shell remota, consentendo ai malintenzionati di ottenere l'accesso root. Al momento della pubblicazione, lo sfruttamento è ritenuto difficile e richiede diverse ore per ogni macchina attaccata. Non siamo a conoscenza di tentativi di sfruttamento.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Critico CVE-2024-6387

GCP-2024-039

Pubblicato: 28/06/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26923

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26923

GCP-2024-038

Pubblicato: 26/06/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26924

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26924

GCP-2024-037

Pubblicato: 18/06/2024

Descrizione Gravità Note

VMware ha divulgato in VMSA-2024-0012 diverse vulnerabilità che hanno un impatto sui componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto su Google Cloud VMware Engine

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Google ha già bloccato le porte vulnerabili sul server vCenter, impedendo qualsiasi potenziale exploit di questa vulnerabilità.
  • Inoltre, Google garantisce che tutti i deployment futuri di vCenter non siano esposti a questa vulnerabilità.

Che cosa devo fare?

Al momento non sono richieste ulteriori azioni.

Critico

GCP-2024-036

Pubblicato: 18/06/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi di Container-Optimized OS:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-035

Pubblicato: 12/06/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-034

Pubblicato: 11/06/2024

Ultimo aggiornamento: 10/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 10/07/2024: sono state aggiunte le versioni patch per i nodi Container-Optimized OS che eseguono versioni secondarie 1.26 e 1.27 e versioni patch aggiunte per i nodi Ubuntu.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi di Container-Optimized OS:

  • CVE-2024-26583

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26583

GCP-2024-033

Pubblicato: 10/06/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi di Container-Optimized OS:

  • CVE-2022-23222

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-23222

GCP-2024-032

Pubblicato: 04/06/2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23326: Envoy accetta erroneamente la risposta HTTP 200 per l'attivazione della modalità di upgrade.
  • CVE-2024-32974: arresto anomalo in EnvoyQuicServerStream::OnInitialHeadersComplete().
  • CVE-2024-32975: Crash in QuicheDataReader::PeekVarInt62Length().
  • CVE-2024-32976: ciclo infinito durante la decompressione dei dati Brotli con input aggiuntivo.
  • CVE-2024-34362: arresto anomalo (da usare dopo gratis) in EnvoyQuicServerStream.
  • CVE-2024-34363: arresto anomalo a causa di un'eccezione JSON nlohmann non rilevata.
  • CVE-2024-34364: Vettore OOM di Envoy dal client HTTP asincrono con buffer di risposta illimitato per la risposta di mirroring.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-031

Pubblicato: 24/05/2024

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2024-4323) in Fluent Bit che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit da 2.0.7 a 3.0.3.

GKE, GKE on VMware, GKE on AWS, GKE on Azure e GKE on Bare Metal non utilizzano una versione vulnerabile di Fluent Bit e non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuna CVE-2024-4323

GCP-2024-030

Pubblicato: 15/05/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-52620

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-52620

GCP-2024-029

Pubblicato: 14/05/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26642

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26642

GCP-2024-028

Pubblicato: 13/05/2024

Ultimo aggiornamento: 22/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 22/05/2024: aggiunte versioni patch per Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26581

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26581

GCP-2024-027

Pubblicato: 08/05/2024

Ultimo aggiornamento: 09/05/2024, 15/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 15/05/2024: sono state aggiunte versioni patch per i pool di nodi GKE Ubuntu.

Aggiornamento 09/05/2024: è stata corretta la gravità da media ad alta ed è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26808

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26808

GCP-2024-026

Pubblicato: 07/05/2024

Ultimo aggiornamento: 09/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 09/05/2024: gravità corretta da media ad alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26643

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26643

GCP-2024-025

Pubblicato: 26/04/2024

Descrizione

Descrizione Gravità Note

Looker ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il programma Google e Alphabet Vulnerability Reward Program (VRP), ma non ha trovato prove di sfruttamento. Ora questi problemi sono stati risolti e non è richiesta alcuna azione da parte dell'utente per i clienti ospitati da Looker su Looker (Google Cloud core) e Looker (originale). Si consiglia di eseguire l'aggiornamento all'ultima versione supportata per le istanze Looker ospitate autonomamente.

Che cosa devo fare?

Istanze ospitate da Looker: istanze di Looker (Google Cloud core) e Looker (originale)

Non è necessario alcun intervento da parte del cliente.

Solo istanze Looker ospitate autonomamente

Se l'istanza di Looker è ospitata autonomamente, ti consigliamo di eseguire l'upgrade delle istanze di Looker a una delle seguenti versions:

  • 24.6.12+
  • 24.4.27+
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105+
  • 23.6.163+

Come è stato risolto il problema?

Google ha disattivato l'accesso amministrativo diretto al database interno dall'applicazione Looker, ha rimosso i privilegi elevati che consentivano l'accesso tra tenant e ha ruotato i secret esposti. Inoltre, abbiamo corretto delle vulnerabilità per il path traversal che potrebbero aver esposto le credenziali dell'account di servizio. Stiamo inoltre effettuando un’analisi approfondita del nostro codice e dei nostri sistemi per identificare e risolvere potenziali vulnerabilità simili.

 Critico

GCP-2024-024

Pubblicato: 25/04/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-26585

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26585

GCP-2024-023

Pubblicato: 24/04/2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-27919: HTTP/2: esaurimento della memoria a causa dell’inondazione del frame CONTINUATION.
  • CVE-2024-30255: HTTP/2: esaurimento della CPU a causa dell'inondazione del frame CONTINUATION
  • CVE-2024-32475: terminazione anomala quando si utilizza "auto_sni" con intestazione ":authority" più lunga di 255 caratteri.
  • CVE-2023-45288: È possibile utilizzare frame di CONTINUAZIONE HTTP/2 per attacchi DoS.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-022

Pubblicato: 03/04/2024

Ultimo aggiornamento: 09/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 09/07/2024: aggiunte versioni patch per GKE on Bare Metal

Aggiornamento 24/04/2024: sono state aggiunte versioni patch per GKE.

Di recente è stata scoperta una vulnerabilità DoS (Denial of Service) (CVE-2023-45288) in molteplici implementazioni del protocollo HTTP/2, tra cui il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un DoS del piano di controllo Google Kubernetes Engine (GKE).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-45288

GCP-2024-021

Pubblicato: 03-04-2024

Descrizione

Descrizione Gravità Note

Compute Engine non è interessato da CVE-2024-3094, che interessa le versioni 5.6.0 e 5.6.1 del pacchetto xz-utils nella libreria liblzma, e questo potrebbe compromettere l'utilità OpenSSH.

Per maggiori dettagli, consulta il Bollettino sulla sicurezza di Compute Engine.

 Medio CVE-2024-3094

GCP-2024-020

Pubblicato: 02/04/2024

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità (CVE-2023-48022) in Ray. Ray è uno strumento open source di terze parti per i carichi di lavoro di AI. Poiché Ray non richiede l'autenticazione, gli aggressori possono ottenere l'esecuzione di codice in remoto tramite l'invio di job a istanze esposte pubblicamente. La vulnerabilità è stata contestata da Anyscale, lo sviluppatore di Ray. Ray mantiene le sue funzioni come funzionalità principale del prodotto e la sicurezza deve essere implementata al di fuori di un cluster Ray, poiché qualsiasi esposizione non intenzionale della rete del cluster Ray potrebbe causare compromessi.

In base alla risposta, questo CVE è contestato e potrebbe non essere visualizzato negli scanner di vulnerabilità. In ogni caso, viene sfruttata attivamente in natura e gli utenti dovrebbero configurarne l'utilizzo come suggerito di seguito.

Che cosa devo fare?

Segui le best practice e le linee guida di Ray, inclusa l'esecuzione di codice attendibile su reti attendibili, per proteggere i tuoi carichi di lavoro Ray. Il deployment di ray.io nelle istanze cloud dei clienti rientra nel modello di responsabilità condivisa.

La sicurezza di Google Kubernetes Engine (GKE) ha pubblicato un blog sulla protezione avanzata di Ray su GKE.

Per ulteriori informazioni su come aggiungere l'autenticazione e l'autorizzazione ai servizi Ray, consulta la documentazione di Identity-Aware Proxy (IAP). Gli utenti GKE possono implementare IAP seguendo queste indicazioni o riproponendo i moduli Terraform collegati nel blog.

Alta CVE-2023-48022

GCP-2024-018

Pubblicato: 12/03/2024

Ultimo aggiornamento: 04/04/2024, 06/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 06/05/2024: sono state aggiunte le versioni patch per i pool di nodi GKE Ubuntu.

Aggiornamento 04/04/2024: sono state corrette le versioni minime per i pool di nodi di GKE Container-Optimized OS.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-1085

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-1085

GCP-2024-017

Pubblicato: 06/03/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-3611

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3611

GCP-2024-016

Pubblicato: 05/03/2024

Descrizione Gravità Note

VMware ha divulgato in VMSA-2024-0006 diverse vulnerabilità che hanno un impatto sui componenti ESXi di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto su Google Cloud VMware Engine

I tuoi cloud privati sono stati aggiornati per risolvere la vulnerabilità di sicurezza.

Che cosa devo fare?

Non è necessario alcun intervento da parte tua.

Critico

GCP-2024-014

Pubblicato: 26/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-3776

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3776

GCP-2024-013

Pubblicato: 27/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-3610

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3610

GCP-2024-012

Pubblicato: 20/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2024-0193

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-0193

GCP-2024-011

Pubblicato: 15/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS:

  • CVE-2023-6932

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6932

GCP-2024-010

Pubblicato: 14/02/2024

Ultimo aggiornamento: 17/04/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/04/2024: sono state aggiunte versioni patch per GKE su VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-6931

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6931

GCP-2024-009

Pubblicato: 13/02/2024

Descrizione

Descrizione Gravità Note

Il 13 febbraio 2024, AMD ha divulgato due vulnerabilità che interessano SEV-SNP su CPU EPYC basate su core Zen di terza generazione "Milan" e "Genoa" di quarta generazione. Le vulnerabilità consentono a utenti malintenzionati con privilegi di accedere a dati inattivi dagli ospiti o causare la perdita dell'integrità dell'ospite.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate prove di sfruttamento a Google.

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente. Le correzioni sono già state applicate al parco di server Google per Google Cloud, incluso Compute Engine.

Per ulteriori informazioni, consulta l'avviso sulla sicurezza di AMD AMD-SN-3007.

 Moderata

GCP-2024-008

Pubblicato: 12/02/2024

Descrizione

Descrizione Gravità Note

CVE-2023-5528 consente a un utente malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5528

GCP-2024-007

Pubblicato: 8/02/2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23322: Envoy si arresta in modo anomalo quando inattivo e il timeout delle richieste per tentativo si verifica entro l'intervallo di backoff.
  • CVE-2024-23323: utilizzo eccessivo della CPU quando il matcher del modello URI viene configurato utilizzando un'espressione regolare.
  • CVE-2024-23324: l'autorizzazione esterna può essere ignorata quando il filtro del protocollo proxy imposta metadati UTF-8 non validi.
  • Envoy si arresta in modo anomalo quando viene utilizzato un tipo di indirizzo non supportato dal sistema operativo.
  • CVE-2024-23327: arresto anomalo nel protocollo proxy quando il tipo di comando è LOCAL.

Per istruzioni e ulteriori dettagli, consulta il bollettino Cloud Service Meshsecurity.

Alta

GCP-2024-006

Pubblicato: 5/02/2024

Descrizione

Descrizione Gravità Note

Quando un proxy di gestione delle API Apigee si connette a un endpoint di destinazione o a un server di destinazione, il proxy non esegue la convalida del nome host per il certificato presentato dall'endpoint o dal server di destinazione per impostazione predefinita. Se la convalida del nome host non viene abilitata utilizzando una delle seguenti opzioni, i proxy Apigee che si connettono a un endpoint o a un server di destinazione potrebbero essere a rischio di attacco man in the middle da parte di un utente autorizzato. Per maggiori informazioni, consulta Configurazione di TLS da perimetro al backend (cloud e cloud privato).

Sono interessati i deployment del proxy Apigee sulle seguenti piattaforme Apigee:

  • Apigee Edge per il cloud pubblico
  • Apigee Edge for Private Cloud

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Apigee.

 Alta

GCP-2024-005

Pubblicato il: 31/01/2024
Ultimo aggiornamento: 02/04/2024 06/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 06/05/2024: sono state aggiunte le versioni delle patch per GKE su AWS e GKE su Azure.

Aggiornamento 02/04/2024: aggiunte versioni patch per GKE on Bare Metal

Aggiornamento 06/03/2024: aggiunte versioni patch per GKE su VMware

Aggiornamento 28/02/2024: aggiunte versioni patch per Ubuntu

Aggiornamento del 15/02/2024: è stato chiarito che le versioni delle patch 1.25 e 1.26 per Ubuntu nell'aggiornamento del 14/02/2024 potrebbero causare nodi non integri.

Aggiornamento 14/02/2024: aggiunte versioni patch per Ubuntu

Aggiornamento 06/02/2024 : sono state aggiunte versioni patch per Container-Optimized OS.

In runc è stata scoperta una vulnerabilità di sicurezza, CVE-2024-21626, in cui un utente con l'autorizzazione per creare pod su nodi Ubuntu e Container-Optimized OS potrebbe essere in grado di ottenere l'accesso completo al file system dei nodi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-21626

GCP-2024-004

Pubblicato il: 24/01/2024
Ultimo aggiornamento: 07/02/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 07/02/2024: sono state aggiunte versioni patch per Ubuntu.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-6817

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6817

GCP-2024-003

Pubblicato il: 19/01/2024
Ultimo aggiornamento: 26/01/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 26/01/2024: è stato chiarito il numero di cluster interessati e le azioni che abbiamo intrapreso per mitigare l'impatto. Per maggiori dettagli, consulta il bollettino sulla sicurezza di GCP-2024-003.

Abbiamo identificato diversi cluster in cui gli utenti hanno concesso privilegi Kubernetes al gruppo system:authenticated, che include tutti gli utenti con un Account Google. Questi tipi di associazioni non sono consigliati perché violano il principio del privilegio minimo e concedono l'accesso a gruppi di utenti molto ampi. Consulta le indicazioni in "Che cosa devo fare" per istruzioni su come trovare questi tipi di associazioni.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Medio

GCP-2024-002

Pubblicato: 17/01/2024

Ultimo aggiornamento: 20/02/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 20/02/2024: sono state aggiunte versioni patch per GKE su VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi di Container-Optimized OS.

  • CVE-2023-6111

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6111

GCP-2024-001

Pubblicato: 09/01/2024

Descrizione

Descrizione Gravità Note

Sono state scoperte diverse vulnerabilità nel firmware UEFI TianoCore EDK II. Questo firmware viene utilizzato nelle VM di Google Compute Engine. Se sfruttate, le vulnerabilità potrebbero consentire un bypass dell'avvio protetto, che fornirebbe misurazioni false nel processo di avvio protetto, anche quando utilizzato nelle Shielded VM.

Che cosa devo fare?

Non è richiesto alcun intervento da parte tua. Google ha corretto questa vulnerabilità in Compute Engine e tutte le VM sono protette da questa vulnerabilità.

Quali vulnerabilità vengono affrontate da questa patch?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 Medio

GCP-2023-051

Pubblicato: 28/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3609

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3609

GCP-2023-050

Pubblicato: 27/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3389

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3389

GCP-2023-049

Pubblicato: 20/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3090

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3090

GCP-2023-048

Pubblicato: 15/12/2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3390

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3390

GCP-2023-047

Pubblicato: 14/12/2023

Descrizione

Descrizione Gravità Note

Un utente malintenzionato che ha compromesso il container di logging di Fluent Bit potrebbe combinare questo accesso con gli alti privilegi richiesti da Cloud Service Mesh (sui cluster in cui è abilitato) per aumentare i privilegi nel cluster.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Medio

GCP-2023-046

Pubblicato il: 22/11/2023
Ultimo aggiornamento: 04/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 04/03/2024: aggiunte le versioni GKE per GKE su VMware.

Aggiornamento 22/01/2024: aggiunte le versioni delle patch di Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-5717

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5717

GCP-2023-045

Pubblicato: 20/11/2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-5197

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5197

GCP-2023-044

Pubblicato: 15/11/2023

Descrizione

Descrizione Gravità Note

Il 14 novembre, AMD ha divulgato diverse vulnerabilità che interessano varie CPU del server AMD. Nello specifico, le vulnerabilità hanno un impatto sulle CPU EPYC Server che sfruttano la generazione di core Zen 2 "Rome", "Milan" di 3a generazione e "Genoa" di 4 generazione.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate prove di sfruttamento a Google.

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente.

Le correzioni sono già state applicate al parco di server Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono affrontate?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

Per ulteriori informazioni, leggi l'avviso di sicurezza di AMD AMD-SN-3005: "AMD INVD Instruction Security Notification", pubblicato anche come CacheWarp, e AMD-SN-3002: "AMD Server Vulnerabilities – Novembre 2023".

 Moderata

GCP-2023-043

Pubblicato: 14/11/2023

Descrizione

Descrizione Gravità Note

Intel ha divulgato una vulnerabilità della CPU in alcuni processori. Google ha adottato misure per ridurre il numero di server a disposizione, tra cui Google Compute Engine per Google Cloud e i dispositivi ChromeOS, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-23583

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente.

La mitigazione fornita da Intel per i processori interessati è stata applicata al parco di server Google, incluso Google Compute Engine per Google Cloud.

Al momento, Google Distributed Cloud Edge richiede un aggiornamento da parte dell'OEM. Google correggerà questo prodotto una volta reso disponibile l'aggiornamento e questo bollettino verrà aggiornato di conseguenza.

I dispositivi ChromeOS con i processori interessati hanno ricevuto la correzione automaticamente nelle release 119, 118 e 114 (LTS).

Quali vulnerabilità vengono affrontate?

CVE-2023-23583. Per maggiori dettagli, vedi Intel Security Advisory INTEL-SA-00950.

 Alta CVE-2023-23583

GCP-2023-042

Pubblicato il: 13/11/2023
Ultimo aggiornamento: 15/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 15/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4147

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4147

GCP-2023-041

Pubblicato: 08/11/2023

Ultimo aggiornamento: 21/11/2023, 05/12/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento 05/12/2023: sono state aggiunte ulteriori versioni GKE per i pool di nodi di Container-Optimized OS.

Aggiornamento 21/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4004

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4004

GCP-2023-040

Pubblicato: 06/11/2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento 21/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4921

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4921

GCP-2023-039

Pubblicato: 06/11/2023

Ultimo aggiornamento: 21/11/2023, 16/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Aggiornamento 16-11-2023: la vulnerabilità associata a questo bollettino sulla sicurezza è CVE-2023-4622. La vulnerabilità CVE-2023-4623 è stata erroneamente indicata come vulnerabilità in una versione precedente del bollettino sulla sicurezza.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4622

GCP-2023-038

Pubblicato: 06/11/2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento 21/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4623

GCP-2023-037

Pubblicato: 06/11/2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento 21/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4015

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4015

GCP-2023-036

Pubblicato: 30/10/2023

Descrizione

Descrizione Gravità Note

Deep Learning VM Images è un insieme di immagini di macchine virtuali predefinite con un framework di deep learning, pronte per essere eseguite da subito. Recentemente, è stata scoperta una vulnerabilità di scrittura oltre i limiti nella funzione "ReadHuffmanCodes()" della libreria "libwebp". Ciò potrebbe influire sulle immagini che utilizzano la raccolta.

Google Cloud esegue una scansione continua delle immagini pubblicate pubblicamente e aggiorna i pacchetti per garantire che le distribuzioni con patch siano incluse nelle ultime release disponibili per l'adozione da parte dei clienti. Le Deep Learning VM Image sono state aggiornate per garantire che le più recenti immagini VM includano le distribuzioni con patch. I clienti che adottano le immagini VM più recenti non sono esposti a questa vulnerabilità.

Che cosa devo fare?

I clienti di Google Cloud che utilizzano immagini VM pubblicate devono assicurarsi di adottare le immagini più recenti e che i loro ambienti siano aggiornati, in base al modello di responsabilità condivisa.

CVE-2023-4863 potrebbe essere sfruttato da un utente malintenzionato per eseguire codice arbitrario. Questa vulnerabilità è stata identificata in Google Chrome prima della versione 116.0.5845.187 e in "libwebp" prima della 1.3.2 ed è elencata in CVE-2023-4863.

 Alta CVE-2023-4863

GCP-2023-035

Pubblicato: 26/10/2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento 21/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128

GCP-2023-034

Pubblicato: 25/10/2023

Ultimo aggiornamento: 27/10/2023

Descrizione

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2023-0023 che hanno un impatto sui componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto dell'assistenza clienti Google Cloud

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Queste porte non sono esposte alla rete internet pubblica.
  • Se le porte vCenter 2012/tcp, 2014/tcp e 2020/tcp non sono accessibili da sistemi non attendibili, non sei esposto a questa vulnerabilità.
  • Google ha già bloccato le porte vulnerabili sul server vCenter, impedendo qualsiasi potenziale exploit di questa vulnerabilità.
  • Inoltre, Google garantirà che tutti i deployment futuri del server vCenter non siano esposti a questa vulnerabilità.
  • Al momento del bollettino, VMware non è a conoscenza di alcuno sfruttamento "in circolazione". Per ulteriori dettagli, consulta la documentazione di VMware.

Che cosa devo fare?

Al momento non sono richieste ulteriori azioni

 Critico CVE-2023-34048,CVE-2023-34056

GCP-2023-033

Pubblicato: 24/10/2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati e non sono interessati i carichi di lavoro di GKE Sandbox.

Aggiornamento 21/11/2023: chiarisci che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS.

  • CVE-2023-3777

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3777

GCP-2023-032

Pubblicato: 13/10/2023

Ultimo aggiornamento: 03/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 03/11/2023: è stato aggiunto problema noto per Apigee Edge per il Private Cloud.

Di recente è stata scoperta una vulnerabilità DoS (Denial of Service) in diverse implementazioni del protocollo HTTP/2 (CVE-2023-44487), tra cui il servizio Apigee Ingress (Cloud Service Mesh) utilizzato da Apigee X e Apigee Hybrid. La vulnerabilità potrebbe causare un DoS della funzionalità di gestione delle API Apigee.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Apigee.

Alta CVE-2023-44487

GCP-2023-031

Pubblicato: 10/10/2023

Descrizione

Descrizione Gravità Note

Un attacco denial of service può interessare il piano dati quando si utilizza il protocollo HTTP/2. Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-44487

GCP-2023-030

Pubblicato: 10/10/2023

Ultimo aggiornamento: 20/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 20/03/2024: sono state aggiunte le versioni delle patch per GKE su AWS e GKE su Azure con le patch più recenti per CVE-2023-44487.

Aggiornamento 14/02/2024: sono state aggiunte versioni patch per GKE su VMware.

Aggiornamento 09/11/2023: è stato aggiunto il CVE-2023-39325. Sono state aggiornate le versioni di GKE con le patch più recenti per CVE-2023-44487 e CVE-2023-39325.

Di recente è stata scoperta una vulnerabilità DoS (Denial of Service) in diverse implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un DoS del piano di controllo Google Kubernetes Engine (GKE). I cluster GKE con reti autorizzate configurate sono protetti limitando l'accesso alla rete, ma sono interessati tutti gli altri cluster.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-44487, CVE-2023-39325

GCP-2023-029

Pubblicato: 03/10/2023

Descrizione

Descrizione Gravità Note

TorchServe viene utilizzato per ospitare i modelli di machine learning PyTorch per la previsione online. Vertex AI fornisce container predefiniti per la gestione dei modelli PyTorch che dipendono da TorchServe. Di recente sono state scoperte delle vulnerabilità in TorchServe che consentirebbero a un utente malintenzionato di assumere il controllo di un deployment TorchServe se la sua API di gestione dei modelli è esposta. I clienti con modelli PyTorch di cui è stato eseguito il deployment nella previsione online di Vertex AI non sono interessati da queste vulnerabilità, poiché Vertex AI non espone l'API di gestione dei modelli di TorchServe. I clienti che utilizzano TorchServe al di fuori di Vertex AI devono prendere precauzioni per garantire che i propri deployment siano configurati in modo sicuro.

Che cosa devo fare?

I clienti di Vertex AI con modelli di cui è stato eseguito il deployment che utilizzano i container di gestione PyTorch predefiniti di Vertex AI non devono fare nulla per risolvere le vulnerabilità, poiché i deployment di Vertex AI non espongono il server di gestione di TorchServe su internet.

I clienti che utilizzano i container PyTorch predefiniti in altri contesti o che utilizzano una distribuzione personalizzata o di terze parti di TorchServe devono fare quanto segue:

  • Assicurati che l'API di gestione dei modelli di TorchServe non sia esposta a internet. L'API di gestione dei modelli può essere limitata all'accesso locale solo assicurando che management_address sia associato a 127.0.0.1.
  • Utilizza l'impostazione allowed_urls per assicurarti che i modelli possano essere caricati solo dalle origini previste.
  • Esegui l'upgrade di TorchServe alla versione 0.8.2, che include le mitigazioni per questo problema, appena possibile. Per precauzione, Vertex AI rilascerà container predefiniti fissi entro il 13/10/2023.

Quali vulnerabilità vengono affrontate?

L'API di gestione di TorchServe è associata a 0.0.0.0 per impostazione predefinita nella maggior parte delle immagini Docker di TorchServe, incluse quelle rilasciate da Vertex AI, rendendola accessibile alle richieste esterne. L'indirizzo IP predefinito per l'API di gestione viene modificato in 127.0.0.1 in TorchServe 0.8.2, riducendo il problema.

CVE-2023-43654 e CVE-2022-1471 consentono a un utente con accesso all'API di gestione di caricare modelli da origini arbitrarie ed eseguire codice da remoto. Le mitigazioni per entrambi questi problemi sono incluse in TorchServe 0.8.2: il percorso di esecuzione del codice remoto viene rimosso e viene emesso un avviso se viene utilizzato il valore predefinito per allowed_urls.

 Alta CVE-2023-43654, CVE-2022-1471

GCP-2023-028

Pubblicato: 19/09/2023

Ultimo aggiornamento: 29/05/2024

Descrizione

Descrizione Gravità Note
Aggiornamento 29/05/2024: i nuovi feed non utilizzano più l'account di servizio condiviso, ma rimane attivo per i feed esistenti per evitare interruzioni del servizio. Le modifiche all'origine nei feed precedenti sono bloccate per impedire l'uso improprio dell'account di servizio condiviso. I clienti possono continuare a utilizzare normalmente i feed precedenti, a condizione che non modifichino l'origine.

I clienti possono configurare Google Security Operations per importare i dati dai bucket Cloud Storage di proprietà del cliente utilizzando un feed di importazione. Fino a poco tempo fa, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione al bucket. Esisteva un'opportunità per configurare l'istanza Google Security Operations di un cliente per importare i dati dal bucket Cloud Storage di un altro cliente. Dopo aver eseguito un’analisi d’impatto, non abbiamo rilevato alcuno sfruttamento attuale o precedente di questa vulnerabilità. La vulnerabilità era presente in tutte le versioni di Google Security Operations prima del 19 settembre 2023.

Che cosa devo fare?

Il 19 settembre 2023, Google Security Operations è stato aggiornato per risolvere questa vulnerabilità. Non è necessario alcun intervento da parte del cliente.

Quali vulnerabilità vengono affrontate?

In precedenza, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione a un bucket. Poiché clienti diversi assegnavano la stessa autorizzazione per l'account di servizio Google Security Operations al proprio bucket, esisteva un vettore di sfruttamento che consentiva al feed di un cliente di accedere al bucket di un cliente diverso quando un feed veniva creato o modificato. Questo vettore di sfruttamento richiedeva la conoscenza dell'URI del bucket. Ora, durante la creazione o la modifica dei feed, Google Security Operations utilizza account di servizio univoci per ogni cliente.

 Alta

GCP-2023-027

Pubblicato: 11/09/2023
Descrizione Gravità Note

Gli aggiornamenti di VMware vCenter Server risolvono più vulnerabilità di corruzione della memoria (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896)

Impatto sull'assistenza clienti

VMware vCenter Server (vCenter Server) e VMware Cloud Foundation (Cloud Foundation).

Che cosa devo fare?

I clienti non sono interessati e non è richiesta alcuna azione da parte tua.

 Medio

GCP-2023-026

Pubblicato: 06/09/2023

Descrizione

Descrizione Gravità Note

In Kubernetes sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) in cui un utente che può creare pod sui nodi Windows potrebbe essere in grado di eseguire l’escalation ai privilegi amministrativi su quei nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e il proxy CSI di Kubernetes.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3676, CVE-2023-3955, CVE-2023-3893

GCP-2023-025

Pubblicato: 08/08/2023
Descrizione Gravità Note

Intel ha recentemente annunciato l'Intel Security Advisory INTEL-SA-00828 che interessa alcune delle proprie famiglie di processori. Ti invitiamo a valutare i rischi in base all'avvertenza.

Impatto su Google Cloud VMware Engine

Il nostro parco risorse utilizza le famiglie di processori interessati. Nel nostro deployment, l'intero server è dedicato a un solo cliente. Pertanto, il nostro modello di deployment non aggiunge ulteriori rischi alla valutazione di questa vulnerabilità.

Stiamo collaborando con i nostri partner per ottenere le patch necessarie e nelle prossime settimane eseguiremo il deployment di queste patch in base alla priorità in tutto il parco risorse utilizzando il processo di upgrade standard.

Che cosa devo fare?

Non è necessario alcun intervento da parte tua. Stiamo lavorando per eseguire l'upgrade di tutti i sistemi interessati.

 Alta

GCP-2023-024

Pubblicato: 08/08/2023

Ultimo aggiornamento: 10/08/2023, 04/06/2024

Descrizione

Descrizione Gravità Note

Aggiornamento 04/06/2024: i seguenti prodotti mancanti sono stati aggiornati per correggere questa vulnerabilità:

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

Aggiornamento 10/08/2023: è stato aggiunto il numero di versione di ChromeOS LTS.

Intel ha divulgato una vulnerabilità in processori selezionati (CVE-2022-40982). Google ha adottato misure per mitigare il parco di server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2022-40982 (Intel IPU 2023.3, "GDS" noto anche come "downfall")

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente.

Tutte le patch disponibili sono già state applicate al parco di server Google per Google Cloud, incluso Google Compute Engine.

Al momento, i seguenti prodotti richiedono aggiornamenti aggiuntivi da parte di partner e fornitori.

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Soluzione Google Cloud Bare Metal
  • Core pacchetto evoluto

Google correggerà questi prodotti una volta rese disponibili queste patch e questo bollettino verrà aggiornato di conseguenza.

I clienti di Google Chromebook e ChromeOS Flex hanno ricevuto automaticamente le mitigazioni fornite da Intel nelle versioni stabile (115), LTS (108), beta (116) e LTC (114). I clienti di Chromebook e ChromeOS Flex bloccati a una release precedente dovrebbero prendere in considerazione lo sblocco e il passaggio alle release stabili o LTS per garantire che ricevano questa e altre correzioni di vulnerabilità.

Quali vulnerabilità vengono affrontate?

CVE-2022-40982 - Per maggiori informazioni, consulta Intel Security Advisory INTEL-SA-00828.

Alta CVE-2022-40982

GCP-2023-023

Pubblicato: 08/08/2023

Descrizione

Descrizione Gravità Note

AMD ha divulgato una vulnerabilità in processori selezionati (CVE-2023-20569). Google ha adottato misure per mitigare il parco di server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-20569 (AMD SB-7005 noto anche come "Inception")

Che cosa devo fare?

Gli utenti delle VM di Compute Engine devono prendere in considerazione le mitigazioni fornite dal sistema operativo se utilizzano l'esecuzione di codice non attendibile intra-istanza. Consigliamo ai clienti di contattare i fornitori dei loro sistemi operativi per indicazioni più specifiche.

Le correzioni sono già state applicate al parco di server Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono affrontate?

CVE-2023-20569 - Per maggiori informazioni, vedi AMD SB-7005.

Moderata CVE-2023-20569

GCP-2023-022

Pubblicato: 03/08/2023

Descrizione

Descrizione Gravità Note

Google ha identificato una vulnerabilità nelle implementazioni C++ di gRPC prima della release 1.57. Si trattava di una vulnerabilità Denial of Service all'interno dell'implementazione C++ di gRPC. Questi problemi sono stati risolti nelle release 1.53.2, 1.54.3, 1.55.2, 1.56.2 e 1.57.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • Le versioni 1.53, 1.54, 1.55 e 1.56 di gRPC (C++, Python, Ruby) devono eseguire l'upgrade alle seguenti release di patch:
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • Le versioni 1.52 e precedenti di gRPC (C++, Python, Ruby) devono eseguire l'upgrade a una delle release di patch approvate. Ad esempio, 1.53.2, 1.54.3, 1.53.4 e così via.

Quali vulnerabilità vengono affrontate?

Queste patch mitigano le seguenti vulnerabilità:

  • Vulnerabilità denial of service nelle implementazioni C++ di gRPC: le richieste appositamente realizzate possono causare l'interruzione della connessione tra un proxy e un backend.
Alta CVE-2023-33953

GCP-2023-021

Updated:2023-07-26

Published:2023-07-25

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-35941: un client dannoso è in grado di creare credenziali con validità permanente in alcuni scenari specifici. Ad esempio, la combinazione di host e ora di scadenza nel payload HMAC può essere sempre valida nel controllo HMAC del filtro OAuth2.
  • CVE-2023-35942: i logger di accesso gRPC che utilizzano l'ambito globale del listener possono causare un arresto anomalo dopo l'utilizzo durante lo svuotamento del listener. Questo può essere attivato da un aggiornamento LDS con la stessa configurazione del log di accesso gRPC.
  • CVE-2023-35943: se l'intestazione origin è configurata per essere rimossa con request_headers_to_remove: origin, il filtro CORS eseguirà segfault e comporterà l'arresto anomalo di Envoy.
  • CVE-2023-35944: gli aggressori possono inviare richieste di schemi misti per aggirare i controlli degli schemi in Envoy. Ad esempio, se una richiesta con HTTP con schema misto viene inviata al filtro OAuth2, non supererà i controlli con corrispondenza esatta per HTTP e comunicherà all'endpoint remoto che lo schema è HTTPS, bypassando potenzialmente i controlli OAuth2 specifici per le richieste HTTP.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2023-020

Updated:2023-07-26

Pubblicato: 24/07/2023

Descrizione

Descrizione Gravità Note

AMD ha rilasciato un aggiornamento del microcodice che risolve una vulnerabilità di sicurezza hardware (CVE-2023-20593). Google ha applicato le correzioni necessarie di questa vulnerabilità al proprio parco di server, inclusi i server per Google Cloud Platform. I test indicano che non c'è alcun impatto sulle prestazioni dei sistemi.

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente, poiché le correzioni sono già state applicate al parco di server Google per Google Cloud Platform.

Quali vulnerabilità vengono affrontate?

CVE-2023-20593 risolve una vulnerabilità in alcune CPU AMD. Ulteriori informazioni sono disponibili qui.

Alta CVE-2023-20593

GCP-2023-019

Published:2023-07-18

Descrizione

Descrizione Gravità Note

In Envoy è stata scoperta una nuova vulnerabilità (CVE-2023-35945) per cui una risposta creata appositamente da un servizio upstream non attendibile può causare un denial of service tramite l'esaurimento della memoria. Questo è causato dal codec HTTP/2 di Envoy che potrebbe far trapelare una mappa di intestazione e strutture di gestione alla ricezione di RST_STREAM immediatamente seguito dai frame GOAWAY da un server upstream.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-35945

GCP-2023-018

Pubblicato: 27/06/2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-2235) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo. I cluster GKE Autopilot sono interessati perché i nodi GKE Autopilot utilizzano sempre le immagini dei nodi di Container-Optimized OS. Sono interessati i cluster GKE Standard con versione 1.25 o successive che eseguono immagini dei nodi Container-Optimized OS.

I cluster GKE non sono interessati se eseguono solo immagini dei nodi Ubuntu, eseguono versioni precedenti alla 1.25 o utilizzano GKE Sandbox.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-2235

GCP-2023-017

Pubblicato: 26/06/2023

Ultimo aggiornamento: 11/07/2023

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/07/2023: le nuove versioni di GKE sono state aggiornate per includere le ultime versioni di Ubuntu che applicano le patch CVE-2023-31436.

È stata scoperta una nuova vulnerabilità (CVE-2023-31436) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo. Sono interessati i cluster GKE, inclusi i cluster Autopilot. I cluster GKE che utilizzano GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-31436

GCP-2023-016

Pubblicato: 26/06/2023

Descrizione

Descrizione Gravità Note

Sono state scoperte alcune vulnerabilità in Envoy, che viene utilizzato in Cloud Service Mesh per consentire a un utente malintenzionato di causare un denial of service o un arresto anomalo di Envoy. Questi eventi sono stati segnalati separatamente come GCP-2023-002.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487

GCP-2023-015

Pubblicato: 20/06/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux è stata scoperta una nuova vulnerabilità, CVE-2023-0468, che potrebbe consentire a un utente senza privilegi di aumentare i privilegi per ottenere il root quando io_poll_get_ownership continuerà ad aumentare req->poll_refs su ogni io_poll_wake e poi overflow a 0, il che affronterà i file req->due volte e causerà un problema di refcount del file struct. Sono interessati i cluster GKE, inclusi i cluster Autopilot, con Container-Optimized OS che utilizza il kernel Linux versione 5.15. I cluster GKE che utilizzano immagini Ubuntu o che utilizzano GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Medio CVE-CVE-2023-0468

GCP-2023-014

Ultimo aggiornamento: 11/08/2023
Data di pubblicazione: 15/06/2023

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/08/2023 : aggiunte le versioni patch per GKE on VMware, GKE on AWS, GKE on Azure e Google Distributed Cloud Virtual for Bare Metal.

In Kubernetes sono stati scoperti due nuovi problemi di sicurezza in cui gli utenti potrebbero essere in grado di avviare container che aggirano le limitazioni dei criteri quando utilizzano container temporanei e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Medio CVE-2023-2727, CVE-2023-2728

GCP-2023-013

Pubblicato: 08/06/2023

Descrizione

Descrizione Gravità Note

Quando abiliti l'API Cloud Build in un progetto, Cloud Build crea automaticamente un account di servizio predefinito per eseguire build per tuo conto. Questo account di servizio Cloud Build aveva in precedenza l'autorizzazione IAM logging.privateLogEntries.list, che consentiva alle build di accedere per elencare i log privati per impostazione predefinita. Questa autorizzazione è stata revocata dall'account di servizio Cloud Build per ottemperare al principio di sicurezza del privilegio minimo.

Per istruzioni e maggiori dettagli, consulta il Bollettino sulla sicurezza di Cloud Build.

 Basso

GCP-2023-010

Pubblicato: 07/06/2023

Descrizione

Descrizione Gravità Note

Google ha identificato tre nuove vulnerabilità nell'implementazione di gRPC C ++. Questi verranno pubblicati a breve come CVE-2023-1428, CVE-2023-32731 e CVE-2023-32732.

Ad aprile, abbiamo identificato due vulnerabilità nelle release 1.53 e 1.54. Una era una vulnerabilità Denial of Service all'interno dell'implementazione C++ di gRPC, mentre l'altra era una vulnerabilità di esfiltrazione di dati remoti. Questi problemi sono stati risolti nelle versioni 1.53.1, 1.54.2 e successive.

In precedenza, a marzo, i nostri team interni hanno individuato una vulnerabilità denial of service all'interno dell'implementazione C++ di gRPC durante l'esecuzione delle attività di routine di fuzzing. È stato trovato nella release gRPC 1.52 ed è stato corretto nelle release 1.52.2 e 1.53.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • grpc (C++, Python, Ruby) versione 1.52, 1.53 e 1.54 deve eseguire l'aggiornamento alle seguenti release di patch;
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • Le versioni 1.51 e precedenti di grpc (C++, Python, Ruby) non sono interessate, perciò gli utenti con queste versioni non possono eseguire alcuna azione

Quali vulnerabilità vengono affrontate da queste patch?

Queste patch mitigano le seguenti vulnerabilità:

  • Le versioni 1.53.1, 1.54.2 e successive risolvono quanto segue: Vulnerabilità denial of service nell'implementazione di gRPC C++. Le richieste appositamente create possono causare l'interruzione della connessione tra un proxy e un backend. Vulnerabilità di esfiltrazione di dati remota: la desincronizzazione nella tabella HPACK dovuta alle limitazioni delle dimensioni dell'intestazione può portare alla fuga di dati di intestazione dai backend del proxy da altri client connessi a un proxy.
  • Le versioni 1.52.2, 1.53 e successive risolvono quanto segue: vulnerabilità denial of service all'interno dell'implementazione C++ di gRPC. L'analisi di alcune richieste create in modo specifico può causare un arresto anomalo che interessa un server.

Ti consigliamo di eseguire l'upgrade alle versioni più recenti dei seguenti pacchetti software elencati sopra.

 Alto (CVE-2023-1428, CVE-2023-32731). Medio (CVE-2023-32732) CVE-2023-1428, CVE-2023-32731, CVE-023-32732

GCP-2023-009

Pubblicato: 06/06/2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) in secrets-store-csi-driver dove un utente con accesso ai log del driver potrebbe osservare i token account di servizio.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuna CVE-2023-2878

GCP-2023-008

Pubblicato: 05/06/2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-1872) nel kernel Linux che può portare a escalation dei privilegi per root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1872

GCP-2023-007

Pubblicato: 02/06/2023

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità in Cloud SQL per SQL Server che consentiva agli account amministratore del cliente di creare trigger nel database tempdb e utilizzarli per ottenere i privilegi sysadmin nell'istanza. I privilegi sysadmin darebbero all'utente malintenzionato l'accesso ai database di sistema e l'accesso parziale alla macchina che esegue l'istanza SQL Server.

Google Cloud ha risolto il problema applicando la patch alla vulnerabilità di sicurezza entro il 1° marzo 2023. Google Cloud non ha trovato alcuna istanza compromessa del cliente.

Per istruzioni e maggiori dettagli, consulta il Bollettino sulla sicurezza di Cloud SQL.

 Alta

GCP-2023-005

Pubblicato: 18/05/2023

Ultimo aggiornamento: 06/06/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 06/06/2023: le nuove versioni di GKE sono state aggiornate per includere le ultime versioni di Ubuntu che applicano le patch a CVE-2023-1281 e CVE-2023-1829.

Nel kernel Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a escalation dei privilegi per root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1281 CVE-2023-1829

GCP-2023-004

Pubblicato: 26/04/2023

Descrizione

Descrizione Gravità Note

Nel Trusted Platform Module (TPM) 2.0 sono state scoperte due vulnerabilità (CVE-2023-1017 e CVE-2023-1018).

Le vulnerabilità potrebbero aver consentito a un utente malintenzionato sofisticato di sfruttare una lettura/scrittura di 2 byte oltre i limiti su alcune VM di Compute Engine.

Per istruzioni e maggiori dettagli, consulta il Bollettino sulla sicurezza di Compute Engine.

 Medio

GCP-2023-003

Pubblicato: 11/04/2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel di Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di aumentare i privilegi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-0240, CVE-2023-23586

GCP-2023-002

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-27496: se Envoy è in esecuzione con il filtro OAuth abilitato e esposto, un utente malintenzionato potrebbe creare una richiesta che causerebbe il denial of service causando l'arresto anomalo di Envoy.
  • CVE-2023-27488: l’utente malintenzionato può utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz.
  • CVE-2023-27493: la configurazione di Envoy deve includere anche un'opzione per aggiungere intestazioni delle richieste che siano state generate utilizzando gli input della richiesta, come la SAN del certificato peer.
  • CVE-2023-27492: gli aggressori possono inviare corpi di richieste di grandi dimensioni per le route con il filtro Lua abilitato e innescare arresti anomali.
  • CVE-2023-27491: gli aggressori possono inviare richieste HTTP/2 o HTTP/3 create appositamente per attivare errori di analisi sul servizio upstream HTTP/1.
  • CVE-2023-27487: l'intestazione "x-envoy-original-path" dovrebbe essere un'intestazione interna, ma Envoy non la rimuove dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2023-001

Pubblicato: 21/03/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-4696) che può portare a un'escalation dei privilegi sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-4696

GCP-2022-026

Pubblicato: 11/01/2023

Descrizione

Descrizione Gravità Note

In OpenSSL v3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che potrebbero causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Medio

GCP-2022-025

Pubblicato il: 21/12/2022
Ultimo aggiornamento: 19/01/2023 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento 19/01/2023: sono state aggiunte informazioni sulla disponibilità di GKE versione 1.21.14-gke.14100.

In OpenSSL v3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che potrebbero causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Medio

GCP-2022-024

Pubblicato: 09/11/2022

Ultimo aggiornamento: 19/01/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 19/01/2023: sono state aggiunte informazioni sulla disponibilità di GKE versione 1.21.14-gke.14100.

Aggiornamento 16/12/2022: sono state aggiunte versioni patch per GKE e GKE on VMware.

Nel kernel Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare alla separazione di un container completo sul nodo.

Per istruzioni e ulteriori dettagli, consulta:

Alta

GCP-2022-023

Pubblicato: 04/11/2022

Descrizione

Descrizione Gravità Note

In Istio è stata scoperta una vulnerabilità di sicurezza, CVE-2022-39278, utilizzato in Cloud Service Mesh, che consente a un utente malintenzionato malintenzionato di arrestare il piano di controllo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-39278

GCP-2022-022

Pubblicato: 28/10/2022

Ultimo aggiornamento: 14/12/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 14/12/2022: sono state aggiunte versioni patch per GKE e GKE on VMware.

Nel kernel Linux è stata scoperta una nuova vulnerabilità, CVE-2022-20409, che potrebbe consentire a un utente senza privilegi di eseguire l'escalation del privilegio di esecuzione del sistema.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-20409

GCP-2022-021

Pubblicato: 27/10/2022

Ultimo aggiornamento: 19/01/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento 19/01/2023: sono state aggiunte informazioni sulla disponibilità di GKE versione 1.21.14-gke.14100.

Aggiornamento del 15/12/2022: è stata aggiornata l'informazione che la versione 1.21.14-gke.9400 di Google Kubernetes Engine è in attesa di implementazione e potrebbe essere sostituita da un numero di versione successivo.

Aggiornamento 22/11/2022: sono state aggiunte le versioni delle patch per GKE su VMware, GKE su AWS e GKE su Azure.

Nel kernel Linux è stata scoperta una nuova vulnerabilità, CVE-2022-3176, che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di ottenere una suddivisione completa dei container per eseguire il rooting sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-3176

GCP-2022-020

Pubblicato: 05/10/2022

Ultimo aggiornamento: 12/10/2022

Descrizione

Descrizione Gravità Note

Il piano di controllo Istio istiod è vulnerabile a un errore di elaborazione delle richieste, consentendo a un utente malintenzionato che invia un messaggio creato appositamente, che determina l'arresto anomalo del piano di controllo quando il webhook di convalida per un cluster viene esposto pubblicamente. Questo endpoint viene gestito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'utente malintenzionato.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2022-39278

GCP-2022-019

Pubblicato: 22/09/2022

Descrizione

Descrizione Gravità Note

Una vulnerabilità dell'analisi dei messaggi e della gestione della memoria nelle implementazioni C++ e Python di ProtocolBuffer può attivare un errore di esaurimento della memoria durante l'elaborazione di un messaggio creato appositamente. Ciò potrebbe causare un denial of service (DoS) sui servizi che utilizzano le librerie.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • protobuf-cpp (3.18.3, 3.19.5, 3.20.2, 3.21.6)
  • protobuf-python (3.18.3, 3.19.5, 3.20.2, 4.21.6)

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

Un piccolo messaggio creato appositamente che fa sì che il servizio in esecuzione alloca grandi quantità di RAM. Le dimensioni ridotte della richiesta consentono di sfruttare facilmente la vulnerabilità e di esaurire le risorse. I sistemi C++ e Python che utilizzano protobuf non attendibili sarebbero vulnerabili agli attacchi DoS se contengono un oggetto MessageSet nella richiesta RPC.

Medio CVE-2022-1941

GCP-2022-018

Pubblicato: 01/08/2022

Ultimo aggiornamento: 14/09/2022, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 14/09/2022: sono state aggiunte le versioni delle patch per GKE su VMware, GKE su AWS e GKE su Azure.

È stata scoperta una nuova vulnerabilità (CVE-2022-2327) nel kernel Linux che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di ottenere una suddivisione dei container completa per eseguire il rooting sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-2327

GCP-2022-017

Pubblicato il: 29/06/2022
Ultimo aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 22/11/2022: i carichi di lavoro che utilizzano GKE Sandbox non sono interessati da queste vulnerabilità.

Aggiornamento 21/07/2022: informazioni aggiuntive su GKE su VMware.

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni 5.10 e 5.11 del kernel Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di ottenere una suddivisione completa dei container per ottenere il root sul nodo. Sono interessati solo i cluster che eseguono Container-Optimized OS. Le versioni GKE Ubuntu utilizzano la versione 5.4 o 5.15 del kernel e non sono interessate.

Per istruzioni e ulteriori dettagli, consulta:

 Alta CVE-2022-1786

GCP-2022-016

Pubblicato il: 23/06/2022
Ultimo aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 22/11/2022: i cluster Autopilot non sono interessati da CVE-2022-29581, ma sono vulnerabili a CVE-2022-29582 e CVE-2022-1116.

Nel kernel di Linux sono state scoperte tre nuove vulnerabilità di corruzione della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di ottenere una suddivisione completa dei container per eseguire il rooting sul nodo. Sono interessati tutti i cluster Linux (Container-Optimized OS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2022-015

Pubblicato il: 09/06/2022
Ultimo aggiornamento: 10/06/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/06/2022: le versioni di Cloud Service Mesh sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

I seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2022-31045: il piano dati Istio può accedere alla memoria in modo potenzialmente non sicuro quando sono abilitate le estensioni Metadata Exchange e Insights.
  • CVE-2022-29225: i dati possono superare i limiti di buffer intermedi se un aggressore passa un piccolo payload altamente compresso (attacco zip bomb).
  • CVE-2021-29224: potenziale dereferenza di puntatore null in GrpcHealthCheckerImpl.
  • CVE-2021-29226: il filtro OAuth consente di ignorare facilmente.
  • CVE-2022-29228: il filtro OAuth può danneggiare la memoria (versioni precedenti) o attivare un'istruzione ASSERT() (versioni successive).
  • CVE-2022-29227: arresto anomalo dei reindirizzamenti interni per richieste con carrozzeria o trailer.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Critico

GCP-2022-014

Pubblicato il: 26/04/2022
Ultimo aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 22/11/2022: i cluster e i carichi di lavoro GKE Autopilot in esecuzione in GKE Sandbox non sono interessati.

Aggiornamento 12/05/2022: le versioni GKE su AWS e GKE su Azure sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Nel kernel di Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuno di essi può portare un utente malintenzionato locale a eseguire una container breakout, escalation dei privilegi sull’host o entrambi. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-1055
CVE-2022-27666

GCP-2022-013

Pubblicato il: 11/04/2022
Ultimo aggiornamento: 22/04/2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del path traversal da parte di containerd nella specifica del volume di immagini OCI. I container lanciati tramite l'implementazione CRI di containerd con una configurazione di immagine appositamente creata potrebbero ottenere l'accesso completo in lettura a file e directory arbitrari sull'host. Questa vulnerabilità può bypassare qualsiasi applicazione basata su criteri nella configurazione dei container (incluso un criterio di sicurezza dei pod di Kubernetes).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Medio CVE-2022-23648

GCP-2022-012

Pubblicato il: 07/04/2022
Ultimo aggiornamento: 22/11/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 22/11/2022: per i cluster GKE in entrambe le modalità, Standard e Autopilot, i carichi di lavoro che utilizzano GKE Sandbox non sono interessati.

Nel kernel Linux versione 5.8 e successive è stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, che può potenzialmente aumentare i privilegi del container alla radice. Questa vulnerabilità interessa i seguenti prodotti:

  • Pool di nodi GKE 1.22 e versioni successive che utilizzano immagini di Container-Optimized OS (Container-Optimized OS 93 e versioni successive)
  • GKE on VMware v1.10 per immagini di Container-Optimized OS
  • GKE su AWS v1.21 e GKE su AWS (generazione precedente) v1.19, v1.20, v1.21, che utilizzano Ubuntu
  • Cluster gestiti di GKE su Azure v1.21 che utilizzano Ubuntu

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-0847

GCP-2022-011

Pubblicato il: 22/03/2022
Ultimo aggiornamento: 11/08/2022

Descrizione

Descrizione Gravità

Aggiornamento 11/08/2022: sono state aggiunte ulteriori informazioni sulla configurazione SMT (Simultaneous Multi-Threading). SMT era destinato a essere disabilitato, ma è stato abilitato nelle versioni elencate.

Se hai abilitato manualmente SMT per un pool di nodi con sandbox, SMT rimarrà abilitato manualmente nonostante il problema.

Nelle immagini GKE Sandbox è presente un errore di configurazione con il multi-Threading simultaneo (SMT), noto anche come hyperthreading. L'errata configurazione lascia i nodi potenzialmente esposti ad attacchi a canale laterale come Microarchitectural Data Sampling (MDS) (per ulteriori informazioni, consulta la documentazione di GKE Sandbox). Sconsigliamo di utilizzare le seguenti versioni interessate:

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE.

 Medio

GCP-2022-010

Descrizione

Descrizione Gravità Note

Il seguente CVE di Istio espone Cloud Service Mesh a una vulnerabilità sfruttabile da remoto:

  • CVE-2022-24726: il piano di controllo Istio, "istiod", è vulnerabile a un errore di elaborazione delle richieste, consentendo a un utente malintenzionato malintenzionato di inviare un messaggio creato appositamente che determina l'arresto anomalo del piano di controllo quando il webhook di convalida per un cluster viene esposto pubblicamente. Questo endpoint viene gestito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'utente malintenzionato.

Per istruzioni e ulteriori dettagli, consulta il seguente bollettino sulla sicurezza:

Alta

GCP-2022-009

Pubblicato: 01/03/2022

Descrizione

Descrizione Gravità

Potrebbero essere stati utilizzati alcuni percorsi imprevisti per accedere alla VM nodo nei cluster GKE Autopilot per riassegnare i privilegi nel cluster. Questi problemi sono stati risolti e non sono necessarie ulteriori azioni. Le correzioni risolvono i problemi segnalati tramite il nostro Vulnerability Reward Program.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE

 Basso

GCP-2022-008

Pubblicato il: 23/02/2022
Ultimo aggiornamento: 28/04/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 28/04/2022: sono state aggiunte versioni di GKE su VMware che risolvono queste vulnerabilità. Per maggiori dettagli, consulta il Bollettino sulla sicurezza di GKE on VMware.

Il progetto Envoy ha recentemente scoperto una serie di vulnerabilità. Tutti i problemi elencati di seguito sono stati risolti nella release 1.21.1 di Envoy.
  • CVE-2022-23606: quando un cluster viene eliminato tramite Cluster Discovery Service (CDS), tutte le connessioni inattive stabilite con gli endpoint nel cluster sono disconnesse. In Envoy versione 1.19 è stata introdotta per errore una ricorsione nella procedura di disconnessione delle connessioni inattive che può portare all'esaurimento dello stack e alla terminazione anomala dei processi quando un cluster ha un elevato numero di connessioni inattive.
  • CVE-2022-21655: il codice di reindirizzamento interno di Envoy presuppone che esista una voce di route. Quando un reindirizzamento interno viene eseguito su una route che ha una voce di risposta diretta e nessuna voce di route, determina il deriferimento di un puntatore nullo e l'arresto anomalo.
  • CVE-2021-43826: quando Envoy è configurato per utilizzare tcp_proxy che utilizza il tunneling upstream (su HTTP) e la terminazione TLS downstream, Envoy ha un arresto anomalo se il client downstream si disconnette durante l'handshake TLS mentre è ancora in corso la connessione dello stream HTTP upstream. La disconnessione downstream può essere avviata dal client o dal server. Il client può disconnettersi per qualsiasi motivo. Il server potrebbe disconnettersi se, ad esempio, non ha crittografie TLS o versioni di protocollo TLS compatibili con il client. L'arresto anomalo potrebbe essere attivato anche in altre configurazioni downstream.
  • CVE-2021-43825: l'invio di una risposta generata localmente deve interrompere l'ulteriore elaborazione dei dati della richiesta o della risposta. Envoy monitora la quantità di dati di richiesta e risposta contenuti nel buffer e interrompe la richiesta se la quantità di dati nel buffer supera il limite inviando 413 o 500 risposte. Tuttavia, quando una risposta generata localmente viene inviata a causa degli overflow del buffer interno mentre la risposta viene elaborata dalla catena di filtri, l'operazione potrebbe non essere interrotta correttamente e determinare l'accesso a un blocco di memoria liberato.
  • CVE-2021-43824: Envoy si arresta in modo anomalo quando utilizza il filtro JWT con una regola di corrispondenza "safe_regex" e una richiesta appositamente creata come "CONNECT host:port HTTP/1.1". Quando raggiungi il filtro JWT, una regola "safe_regex" dovrebbe valutare il percorso dell'URL, ma non ce n'è nessuno qui, e Envoy si arresta in modo anomalo con segfault.
  • CVE-2022-21654: Envoy avrebbe consentito erroneamente la ripresa delle sessioni TLS dopo la riconfigurazione delle impostazioni di convalida mTLS. Se un certificato client era consentito con la vecchia configurazione ma non consentito con la nuova configurazione, il client potrebbe riprendere la sessione TLS precedente anche se la configurazione attuale dovrebbe non consentirla. Le modifiche alle seguenti impostazioni sono interessate:
    • match_subject_alt_names
    • Modifiche ai CRL
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657: Envoy non limita l'insieme di certificati che accetta dal peer, come client TLS o server TLS, solo ai certificati che contengono l'utilizzo esteso necessario (id-kp-serverAuth e id-kp-clientAuth, rispettivamente). Ciò significa che un peer potrebbe presentare un certificato email (ad es. id-kp-emailProtection), come certificato foglia o come CA nella catena, e verrà accettato per TLS. Ciò è particolarmente grave quando viene combinato con CVE-2022-21656 , in quanto consente a una CA web PKI destinata esclusivamente all'utilizzo con S/MIME e quindi esente da controllo o supervisione, di emettere certificati TLS che saranno accettati da Envoy.
  • CVE-2022-21656: l'implementazione dello strumento di convalida utilizzata per implementare le routine di convalida dei certificati predefinite presenta un bug di "confusione" durante l'elaborazione di subjectAltNames. Questa elaborazione consente, ad esempio, di autenticare un nome di dominio rfc822Name o uniformResourceIndicator. Questa confusione consente di bypassare i nameConstraints elaborati dall'implementazione OpenSSL/BoringSSL sottostante, esponendo la possibilità di impersonificazione di server arbitrari.
Per istruzioni dettagliate relative a prodotti specifici, consulta i seguenti bollettini sulla sicurezza:
Che cosa devo fare?
Gli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi di utilizzare la release 1.21.1 di Envoy. Gli utenti Envoy che gestiscono i propri Envoy creano i file binari da un'origine come GitHub e ne eseguono il deployment.

Non è richiesta alcuna azione da parte degli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy), per i quali i prodotti Google Cloud passeranno alla versione 1.21.1. 		Alta CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654CVE-2022-21657CVE-2022-21656

GCP-2022-007

Pubblicato: 22/02/2022

Descrizione

Descrizione Gravità Note

I seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE alle vulnerabilità sfruttabili da remoto:

  • CVE-2022-23635: Istiod si arresta in modo anomalo dopo aver ricevuto richieste con un'intestazione authorization creata appositamente.
  • CVE-2021-43824: potenziale dereferenza del puntatore nullo quando viene utilizzato il filtro JWT per la corrispondenza safe_regex
  • CVE-2021-43825: da usare dopo la zero quando i filtri di risposta aumentano i dati di risposta e superano i limiti del buffer downstream.
  • CVE-2021-43826: Use-after-free quando si effettua il tunneling di TCP su HTTP, se il downstream si disconnette durante la connessione a monte.
  • CVE-2022-21654: una gestione errata della configurazione consente il riutilizzo della sessione mTLS senza riconvalida dopo la modifica delle impostazioni di convalida.
  • CVE-2022-21655: gestione errata dei reindirizzamenti interni verso route con una voce di risposta diretta.
  • CVE-2022-23606: esaurimento dello stack quando un cluster viene eliminato tramite Cluster Discovery Service.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2022-006

Pubblicato il: 14/02/2022
Ultimo aggiornamento: 16/05/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 16/05/2022: è stata aggiunta la versione 1.19.16-gke.7800 o successive di GKE all'elenco delle versioni con codice per correggere questa vulnerabilità. Per maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Aggiornamento 12/05/2022: le versioni GKE, GKE on VMware, GKE on AWS e GKE on Azure sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0492, nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi degli utenti senza privilegi e in determinate circostanze questa vulnerabilità può essere sfruttata per container breakout.

 Basso

Per istruzioni e ulteriori dettagli, consulta:

GCP-2022-005

Pubblicato il: 11/02/2022
Ultimo aggiornamento: 15/02/2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-43527, in tutti i file binari che rimandano alle versioni vulnerabili di libnss3 presenti nelle versioni NSS (Network Security Services) precedenti alla 3.73 o alla 3.68.1. Potrebbero essere interessate le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL, a seconda di come viene utilizzato/configurato NSS.

Per istruzioni e ulteriori dettagli, consulta:

Medio CVE-2021-43527

GCP-2022-004

Pubblicato: 04/02/2022

Descrizione

Descrizione Gravità Note

In pkexec, una parte del pacchetto Linux Policy Kit (polkit), è stata scoperta una vulnerabilità di sicurezza CVE-2021-4034, che consente a un utente autenticato di eseguire un attacco di escalation dei privilegi. PolicyKit viene generalmente utilizzato solo sui sistemi desktop Linux per consentire agli utenti non root di eseguire azioni come riavviare il sistema, installare pacchetti, riavviare servizi e così via, come regolato da un criterio.

Per istruzioni e ulteriori dettagli, consulta:

Nessuna CVE-2021-4034

GCP-2022-002

Pubblicato il: 01/02/2022
Ultimo aggiornamento: 25/02/2022

Descrizione

Descrizione Gravità Note

Aggiornamento 25/02/2022: le versioni GKE sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Aggiornamento 23/02/2022: le versioni GKE e GKE on VMware sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Aggiornamento 04/02/2022: la data di inizio del lancio delle versioni delle patch di GKE era il 2 febbraio.

Nel kernel di Linux sono state scoperte tre vulnerabilità di sicurezza, CVE-2021-4154, CVE-2021-22600 e CVE-2022-0185, ognuna delle quali può portare a una container breakout, un'escalation dei privilegi sull'host o entrambe le cose. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE su VMware, GKE su AWS (generazione attuale e precedente) e GKE su Azure. I pod che utilizzano GKE Sandbox non sono vulnerabili a queste vulnerabilità. Per ulteriori dettagli, consulta le note di rilascio di COS.

Per istruzioni e ulteriori dettagli, consulta:

Alta

GCP-2022-001

Pubblicato: 06/01/2022

Descrizione

Descrizione Gravità Note

È stato rilevato un potenziale problema di denial of service in protobuf-java nella procedura di analisi dei dati binari.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • protobuf-java (3.16.1, 3.18.2, 3.19.2)
  • protobuf-kotlin (3.18.2; 3.19.2)
  • google-protobuf [gemma JRuby] (3.19.2)

Gli utenti Protobuf "javalite" (in genere Android) non sono interessati.

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

Una debolezza dell'implementazione nel modo in cui i campi sconosciuti vengono analizzati in Java. Un piccolo payload dannoso (~800 kB) può occupare il parser per diversi minuti creando un numero elevato di oggetti di breve durata che causano pause frequenti e ripetute per la garbage collection.

 Alta CVE-2021-22569

GCP-2021-024

Pubblicato: 21/10/2021

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza nel controller ingress-nginx di Kubernetes, CVE-2021-25742. Gli snippet personalizzati Ingress-nginx consentono di recuperare i token e i secret degli account di servizio ingress-nginx in tutti gli spazi dei nomi.

Per istruzioni e ulteriori dettagli, consulta:

Nessuna CVE-2021-25742

GCP-2021-019

Pubblicato: 29/09/2021

Descrizione

Descrizione Gravità Note

Si è verificato un problema noto per cui l'aggiornamento di una risorsa BackendConfig utilizzando l'API v1beta1 rimuove un criterio di sicurezza di Google Cloud Armor attivo dal suo servizio.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE.

 Basso

GCP-2021-022

Pubblicato: 22/09/2021

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità nel modulo LDAP GKE Enterprise Identity Service (AIS) di GKE on VMware versioni 1.8 e 1.8.1 in cui è prevedibile una chiave seed utilizzata per la generazione delle chiavi. Con questa vulnerabilità, un utente autenticato potrebbe aggiungere dichiarazioni arbitrarie e aumentare i privilegi a tempo indeterminato.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE on VMware.

 Alta

GCP-2021-021

Pubblicato: 22/09/2021

Descrizione

Descrizione Gravità Note

In Kubernetes è stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, che consente di creare determinati webhook per reindirizzare le richieste kube-apiserver alle reti private del server API.

Per istruzioni e ulteriori dettagli, consulta:

Medio CVE-2020-8561

GCP-2021-023

Pubblicato: 21/09/2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0020, VMware ha ricevuto report relativi a più vulnerabilità in vCenter. VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo già applicato le patch fornite da VMware per lo stack vSphere a Google Cloud VMware Engine in base all'avviso sulla sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità di sicurezza descritte in CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 e CVE-2021-22010. Altri problemi di sicurezza non critici verranno risolti nel prossimo upgrade dello stack VMware (come da preavviso inviato a luglio, ulteriori dettagli verranno forniti a breve sulla tempistica specifica dell'upgrade).

Impatto di VMware Engine

In base alle nostre indagini, non è stato riscontrato alcun cliente interessato.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-020

Pubblicato: 17/09/2021

Descrizione

Descrizione Gravità Note

Alcuni bilanciatori del carico di Google Cloud che eseguono il routing a un servizio di backend abilitato per Identity-Aware Proxy (IAP) potrebbero essere stati vulnerabili a un soggetto non attendibile in condizioni limitate. In questo modo viene risolto un problema segnalato tramite il nostro Vulnerability Reward Program.

In base alle condizioni, i server:
  • Erano bilanciatori del carico HTTP(S) e
  • È stato utilizzato un backend predefinito o un backend con una regola di mappatura host con caratteri jolly (ossia host="*")

Inoltre, un utente della tua organizzazione deve aver fatto clic su un link creato appositamente e inviato da un soggetto non attendibile.

Il problema è stato risolto. A partire dal 17 settembre 2021, IAP è stato aggiornato in modo da inviare cookie solo agli host autorizzati. Un host è considerato autorizzato se corrisponde ad almeno un Nome alternativo del soggetto (SAN) in uno dei certificati installati sui bilanciatori del carico.

Cosa fare

Alcuni utenti potrebbero riscontrare una risposta HTTP 401 "Autorizzazione non autorizzata" con il codice di errore IAP 52 durante il tentativo di accesso ad app o servizi. Questo codice di errore indica che il client ha inviato un'intestazione Host che non corrisponde ad alcun nome alternativo del soggetto associato ai certificati SSL del bilanciatore del carico. L'amministratore del bilanciatore del carico deve aggiornare il certificato SSL per garantire che l'elenco SAN (Subject Alternative Name) contenga tutti i nomi host attraverso i quali gli utenti accedono alle app o ai servizi protetti da IAP. Scopri di più sui codici di errore IAP.

Alta

GCP-2021-018

Pubblicato il: 15/09/2021
Ultimo aggiornamento: 20/09/2021

Descrizione

Descrizione Gravità Note

In Kubernetes, CVE-2021-25741 è stato rilevato un problema di sicurezza, dove un utente potrebbe essere in grado di creare un container con montaggi di volume di percorsi secondari per accedere a file e directory all'esterno del volume, incluso il file system dell'host.

Per istruzioni e ulteriori dettagli, consulta:

Alta CVE-2021-25741

GCP-2021-017

Pubblicato il: 01/09/2021
Ultimo aggiornamento: 23/09/2021

Descrizione

Descrizione Gravità Note

Aggiornamento del 23/09/2021: i container in esecuzione all'interno di GKE Sandbox non sono interessati da questa vulnerabilità per gli attacchi che hanno origine all'interno del container.

Nel kernel di Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2021-33909 e CVE-2021-33910, che possono causare un arresto anomalo del sistema operativo o un'escalation al rooting da parte di un utente senza privilegi. Questa vulnerabilità interessa tutti i sistemi operativi dei nodi GKE (COS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-33909, CVE-2021-33910

GCP-2021-016

Pubblicato: 24/08/2021

Descrizione

Descrizione Gravità Note

I seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2021-39156: le richieste HTTP con un frammento (una sezione alla fine di un URI che inizia con un carattere #) nel percorso dell'URI potrebbero bypassare i criteri di autorizzazione basati su percorsi dell'URI di Istio.
  • CVE-2021-39155: le richieste HTTP potrebbero potenzialmente ignorare un criterio di autorizzazione Istio quando si utilizzano regole basate su hosts o notHosts.
  • CVE-2021-32781: interessa le estensioni decompressor, json-transcoder o grpc-web di Envoy o le estensioni proprietarie che modificano e aumentano le dimensioni degli corpi di richiesta o risposta. La modifica e l'aumento delle dimensioni del corpo dell'estensione di un Envoy oltre la dimensione del buffer interno potrebbe portare Envoy ad accedere alla memoria dealallocata e a terminarsi in modo anomalo.
  • CVE-2021-32780: un servizio upstream non attendibile potrebbe causare l'interruzione anomala di Envoy inviando il frame GOAWAY seguito dal frame SETTINGS con il parametro SETTINGS_MAX_CONCURRENT_STREAMS impostato su 0. (Non applicabile a Istio su GKE)
  • CVE-2021-32778: un client Envoy che apre e quindi reimposta un numero elevato di richieste HTTP/2 potrebbe portare a un consumo eccessivo della CPU. (Non applicabile a Istio su GKE)
  • CVE-2021-32777: le richieste HTTP con più intestazioni di valore potrebbero eseguire un controllo incompleto dei criteri di autorizzazione quando viene utilizzata l'estensione ext_authz.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2021-015

Pubblicato il: 13/07/2021
Ultimo aggiornamento: 15/07/2021

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità di sicurezza, CVE-2021-22555, in cui un utente malintenzionato con privilegi di CAP_NET_ADMIN può causare il rooting di un container sull'host. Questa vulnerabilità interessa tutti i cluster GKE e GKE on VMware che esegue Linux versione 2.6.19 o successive.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-22555

GCP-2021-014

Pubblicato: 05/07/2021

Descrizione

Descrizione Gravità Note

Microsoft ha pubblicato un bollettino sulla sicurezza su una vulnerabilità RCE (Remote code Execution ), CVE-2021-34527, che interessa lo spooler di stampa nei server Windows. Il CERT Coordination Center (CERT/CC) ha pubblicato una nota di aggiornamento su una vulnerabilità correlata, denominata "PrintNightmare", che interessa anche gli spool di stampa di Windows - PrintNightmare, Vulnerabilità critica dello spooler di stampa di Windows

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di GKE.

Alta CVE-2021-34527

GCP-2021-012

Pubblicato il: 24/06/2021
Ultimo aggiornamento: 09/07/2021

Descrizione

Descrizione Gravità Note

Il progetto Istio ha annunciato recentemente una vulnerabilità di sicurezza in cui è possibile accedere alle credenziali specificate nel campo Gateway e DestinationRule credentialName da diversi spazi dei nomi.

Per le istruzioni specifiche per i prodotti e altri dettagli, consulta:

 Alta CVE-2021-34824

GCP-2021-011

Pubblicato il: 04/06/2021
Ultimo aggiornamento: 19/10/2021

Descrizione

Descrizione Gravità Note

Aggiornamento 19/10/2021:

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

La community per la sicurezza ha recentemente divulgato una nuova vulnerabilità di sicurezza (CVE-2021-30465) rilevata in runc che potrebbe consentire l'accesso completo a un file system dei nodi.

Per GKE, poiché lo sfruttamento di questa vulnerabilità richiede la capacità di creare pod, abbiamo valutato la gravità di questa vulnerabilità come MEDIO.

Per istruzioni e maggiori dettagli, consulta il Bollettino sulla sicurezza di GKE.

Medio CVE-2021-30465

GCP-2021-010

Pubblicato: 25/05/2021

Descrizione

Descrizione Gravità Note

In base all'avviso sulla sicurezza VMware VMSA-2021-0010, le vulnerabilità di esecuzione di codice remoto e bypass dell'autenticazione in vSphere Client (HTML5) sono state segnalate privatamente a VMware. VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le patch fornite da VMware per lo stack vSphere in base all'avviso sulla sicurezza VMware. Questo aggiornamento risolve le vulnerabilità di sicurezza descritte in CVE-2021-21985 e CVE-2021-21986. Al momento le versioni dell'immagine in esecuzione nel cloud privato VMware Engine non riflettono alcuna modifica per indicare le patch applicate. Ti assicuriamo che sono state installate le patch appropriate e che il tuo ambiente è protetto da queste vulnerabilità.

Impatto di VMware Engine

Dalle nostre indagini è emerso che nessun cliente è stato interessato.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-008

Pubblicato: 17/05/2021

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto per cui un client esterno può accedere a servizi imprevisti nel cluster, bypassando i controlli di autorizzazione, quando un gateway è configurato con la configurazione del routing AUTO_PASSTHROUGH.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31921

GCP-2021-007

Pubblicato: 17/05/2021

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto per cui un percorso di richiesta HTTP contenente più barre o barre di escape (%2F o %5C) potrebbe potenzialmente ignorare un criterio di autorizzazione Istio quando vengono utilizzate regole di autorizzazione basate sul percorso.

Per istruzioni e ulteriori dettagli, consulta il Bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31920

GCP-2021-006

Pubblicato: 11/05/2021

Descrizione

Descrizione Gravità Note

Il progetto Istio disclosed di recente una nuova vulnerabilità di sicurezza (CVE-2021-31920) che interessa Istio.

Istio contiene una vulnerabilità sfruttabile da remoto, per cui una richiesta HTTP contenente più barre o barre di escape può ignorare il criterio di autorizzazione Istio quando vengono utilizzate regole di autorizzazione basate su percorsi.

Per istruzioni e ulteriori dettagli, consulta:

Alta

 CVE-2021-31920

GCP-2021-005

Pubblicato: 11/05/2021

Descrizione

Descrizione Gravità Note

Una vulnerabilità segnalata ha dimostrato che Envoy non decodifica le sequenze di barre con caratteri di escape %2F e %5C nei percorsi URL HTTP nelle versioni 1.18.2 e precedenti di Envoy. Inoltre, alcuni prodotti basati su Envoy non abilitano i controlli di normalizzazione dei percorsi. Un utente malintenzionato remoto potrebbe creare un percorso contenente barre con caratteri di escape (ad esempio, /something%2F..%2Fadmin,) per bypassare controllo dell'accesso dell'accesso (ad esempio, un blocco su /admin). Un server di backend potrebbe quindi decodificare le sequenze di barre e normalizzare il percorso per fornire l'accesso a un utente malintenzionato al di fuori dell'ambito previsto dal criterio di controllo dell'accesso dell'accesso.

Che cosa devo fare?

Se i server di backend trattano / e %2F o \ e %5C in modo intercambiabile e viene configurata una corrispondenza basata su percorsi URL, ti consigliamo di riconfigurare il server di backend in modo da non trattare \ e %2F o \ e %5C in modo intercambiabile, se possibile.

Quali cambiamenti comportamentali sono stati introdotti?

Le opzioni normalize_path e unisci barre adiacenti di Envoy sono state abilitate per risolvere altre vulnerabilità comuni di confusione dei percorsi nei prodotti basati su Envoy.

Alta

 CVE-2021-29492

GCP-2021-004

Pubblicato: 06/05/2021

Descrizione

Descrizione Gravità Note

I progetti Envoy e Istio di recente hanno annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258), che potrebbero consentire a un utente malintenzionato di arrestare Envoy.

I cluster Google Kubernetes Engine non eseguono Istio per impostazione predefinita e non sono vulnerabili. Se Istio è stato installato in un cluster e configurato per esporre i servizi su internet, questi servizi potrebbero essere vulnerabili al denial of service.

Google Distributed Cloud Virtual for Bare Metal e GKE on VMware utilizzano Envoy per impostazione predefinita per Ingress, pertanto i servizi Ingress potrebbero essere vulnerabili al denial of service.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Medio

GCP-2021-003

Pubblicato: 19/04/2021

Descrizione

Descrizione Gravità Note

Il progetto Kubernetes ha recentemente annunciato una nuova vulnerabilità di sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di convalida di ammissione.

In uno scenario in cui un utente malintenzionato ha privilegi sufficienti e viene implementato un webhook di convalida di ammissione che utilizza proprietà dell'oggetto Node precedenti (ad esempio i campi in Node.NodeSpec), l'utente malintenzionato potrebbe aggiornare le proprietà di un nodo che potrebbe compromettere il cluster. Nessuno dei criteri applicati dai controller di ammissione integrati GKE e Kubernetes è interessato, ma consigliamo ai clienti di controllare eventuali altri webhook di ammissione che hanno installato.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Medio

CVE-2021-25735

GCP-2021-002

Pubblicato: 05/03/2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0002, VMware ha ricevuto report di molteplici vulnerabilità in VMware ESXi e vSphere Client (HTML5). VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le soluzioni alternative documentate ufficialmente per lo stack vSphere in base all'avviso sulla sicurezza VMware. Questo aggiornamento risolve le vulnerabilità di sicurezza descritte in CVE-2021-21972, CVE-2021-21973 e CVE-2021-21974.

Impatto di VMware Engine

Dalle nostre indagini è emerso che nessun cliente è stato interessato.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-001

Pubblicato: 28/01/2021

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nell'utilità Linux sudo, descritta in CVE-2021-3156, che potrebbe consentire a un utente malintenzionato con accesso alla shell locale senza privilegi su un sistema con sudo installato di aumentare i privilegi per ottenere il root sul sistema.

L'infrastruttura sottostante che esegue Compute Engine non è interessata da questa vulnerabilità.

Tutti i cluster Google Kubernetes Engine (GKE), GKE on VMware, GKE on AWS e Google Distributed Cloud Virtual for Bare Metal i cluster non sono interessati da questa vulnerabilità.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Nessuna CVE-2021-3156

GCP-2020-015

Pubblicato il: 07/12/2020
Ultimo aggiornamento: 22/12/2020

Descrizione

Descrizione Gravità Note

Aggiornamento: 22/12/2021 Il comando per GKE nella sezione seguente dovrebbe utilizzare gcloud beta anziché il comando gcloud. 

gcloud container clusters update –no-enable-service-externalips

Ultimo aggiornamento: 15/12/2021 Per GKE, è ora disponibile la seguente mitigazione:
  1. A partire dalla versione 1.21 di GKE, i servizi con IP esterni sono bloccati da un controller di ammissione DenyServiceExternalIPs abilitato per impostazione predefinita per i nuovi cluster.
  2. I clienti che eseguono l'upgrade a GKE versione 1.21 possono bloccare i servizi con ExternalIP utilizzando il seguente comando: 
    gcloud container clusters update –no-enable-service-externalips

Per maggiori informazioni, consulta Rafforzamento della sicurezza del cluster.

Il progetto Kubernetes ha recentemente scoperto una nuova vulnerabilità di sicurezza, CVE-2020-8554, che potrebbe consentire a un utente malintenzionato che ha ottenuto le autorizzazioni di creare un servizio Kubernetes di tipo LoadBalancer o ClusterIP di intercettare il traffico di rete proveniente da altri pod nel cluster. Questa vulnerabilità da sola non concede a un utente malintenzionato le autorizzazioni per creare un servizio Kubernetes.

Tutti i cluster Google Kubernetes Engine (GKE), GKE on VMware e GKE on AWS sono interessati da questa vulnerabilità.

Che cosa devo fare?

Per istruzioni e ulteriori dettagli, consulta:

Medio

 CVE-2020-8554

GCP-2020-014

Pubblicato il: 20/10/2020
Ultimo aggiornamento: 20/10/2020

Descrizione

Descrizione Gravità Note

Il progetto Kubernetes ha recentemente rilevato diversi problemi che consentono l'esposizione dei dati secret quando sono abilitate opzioni di logging dettagliato. I problemi sono:

  • CVE-2020-8563: perdite di secret nei log per il provider vSphere kube-controller-manager
  • CVE-2020-8564: divulgazione dei secret della configurazione Docker quando il formato del file non è valido e il livello di log è >= 4
  • CVE-2020-8565: la correzione incompleta per CVE-2019-11250 in Kubernetes consente la perdita di token nei log quando logLevel >= 9. Scoperto dalla sicurezza di GKE.
  • CVE-2020-8566: AdminSecret Ceph RBD esposti nei log quando loglevel >= 4

Che cosa devo fare?

Non sono necessarie ulteriori azioni a causa dei livelli predefiniti di logging delle informazioni dettagliate di GKE.

Nessuna

Impatto su Google Cloud

I dettagli relativi a ciascun prodotto sono elencati di seguito.

Prodotto

Impatto

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) non è interessato.

GKE On-Prem

GKE On-Prem non è interessato.

GKE su AWS

GKE su AWS non è interessato.

GCP-2020-013

Pubblicato: 29-09-2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1472: una vulnerabilità in Windows Server consente agli utenti malintenzionati di utilizzare il protocollo remoto Netlogon per eseguire un'applicazione creata appositamente su un dispositivo della rete.

Punteggio di base NVD: 10 (critico)

CVE-2020-1472

Per ulteriori informazioni, consulta l'informativa di Microsoft.

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1472

Per la maggior parte dei clienti non sono necessarie ulteriori azioni.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server devono assicurarsi che le loro istanze siano state aggiornate con la più recente patch di Windows o utilizzare le immagini Windows Server pubblicate dopo il 17-08-2020 (v20200813 o successive).

Google Kubernetes Engine

CVE-2020-1472

Per la maggior parte dei clienti non sono necessarie ulteriori azioni.

Tutti i clienti che ospitano controller di dominio nei propri nodi GKE Windows Server devono garantire che sia i nodi sia i carichi di lavoro containerizzati in esecuzione su questi nodi dispongano dell'immagine dei nodi Windows più recente, quando disponibile. Una nuova versione dell'immagine dei nodi verrà annunciata nelle note di rilascio di GKE a ottobre.

Servizio gestito per Microsoft Active Directory

CVE-2020-1472

Per la maggior parte dei clienti non sono necessarie ulteriori azioni.

La patch di agosto rilasciata da Microsoft che include correzioni del protocollo NetLogon è stata applicata a tutti i controller di dominio Microsoft AD gestiti. Questa patch offre funzionalità di protezione da potenziali sfruttamento. L'applicazione tempestiva delle patch è uno dei vantaggi principali dell'utilizzo di Managed Service for Microsoft Active Directory. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e che non utilizzano il servizio gestito di Google Cloud) devono assicurarsi che le proprie istanze dispongano della patch di Windows più recente o utilizzare immagini Windows Server.

Google Workspace

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente standard di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Functions

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Composer

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataproc

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-012

Pubblicato il: 14/09/2020
Ultimo aggiornamento: 17/09/2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-14386, che potrebbe consentire a container escape di ottenere privilegi root sul nodo host.

Sono interessati tutti i nodi GKE. I pod in esecuzione in GKE Sandbox non sono in grado di sfruttare questa vulnerabilità.

Per istruzioni e ulteriori dettagli, consulta:


Quale vulnerabilità viene affrontata da questa patch?

La patch mitiga la seguente vulnerabilità:

La vulnerabilità CVE-2020-14386, che consente ai container con CAP_NET_RAW
di scrivere da 1 a 10 byte di memoria del kernel ed eventualmente di eseguire l'escape del container e ottenere privilegi root sul nodo host. Questa è classificata come vulnerabilità di alta gravità.

Alta

CVE-2020-14386

GCP-2020-011

Pubblicato: 24-07-2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità di rete, CVE-2020-8558 in Kubernetes. A volte i servizi comunicano con altre applicazioni in esecuzione all'interno dello stesso pod utilizzando l'interfaccia di loopback locale (127.0.0.1). Questa vulnerabilità consente a un utente malintenzionato con accesso alla rete del cluster di inviare traffico all'interfaccia di loopback di pod e nodi adiacenti. I servizi che si basano sull'interfaccia di loopback non accessibili all'esterno del pod potrebbero essere sfruttati.

Per istruzioni e ulteriori dettagli, consulta:

Bassa (GKE e GKE su AWS),
Medio (GKE on VMware)

CVE-2020-8558

GCP-2020-010

Pubblicato: 27-07-2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1350: i server Windows che operano in una capacità di server DNS possono essere sfruttati per eseguire codice non attendibile dall'account di sistema locale.

Punteggio base NVD: 10.0 (critico)

CVE-2020-1350

Per ulteriori informazioni, consulta l'informativa di Microsoft.

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1350

Per la maggior parte dei clienti non sono necessarie ulteriori azioni.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server in una capacità di server DNS devono assicurarsi che le loro istanze dispongano della patch di Windows più recente o utilizzare immagini Windows Server fornite dal 14/07/2020.

Google Kubernetes Engine

CVE-2020-1350

Per la maggior parte dei clienti non sono necessarie ulteriori azioni.

I clienti che utilizzano GKE con un nodo Windows Server nella capacità del server DNS devono aggiornare manualmente i nodi e i carichi di lavoro containerizzati in esecuzione sui nodi a una versione di Windows Server contenente la correzione.

Servizio gestito per Microsoft Active Directory

CVE-2020-1350

Per la maggior parte dei clienti non sono necessarie ulteriori azioni.

Tutti i domini Microsoft AD gestiti sono stati aggiornati automaticamente con l'immagine con patch. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano Managed Microsoft AD) devono assicurarsi che le proprie istanze dispongano della patch di Windows più recente o utilizzare le immagini Windows Server fornite dal 14/07/2020.

Google Workspace

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente standard di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Functions

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Composer

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataproc

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-009

Pubblicato: 15-07-2020

Descrizione

Descrizione Gravità Note

Di recente, in Kubernetes è stata scoperta una vulnerabilità di escalation dei privilegi, CVE-2020-8559. Questa vulnerabilità consente a un utente malintenzionato che ha già compromesso un nodo di eseguire un comando in qualsiasi pod nel cluster. In questo modo, l'utente malintenzionato può utilizzare il nodo già compromesso per compromettere altri nodi e potenzialmente leggere informazioni o causare azioni distruttive.

Tieni presente che, affinché un utente malintenzionato possa sfruttare questa vulnerabilità, un nodo nel cluster deve essere già stato compromesso. Questa vulnerabilità, da sola, non comprometterà i nodi nel tuo cluster.

Per istruzioni e ulteriori dettagli, consulta:

Medio

CVE-2020-8559

GCP-2020-008

Pubblicato: 19-06-2020

Descrizione

Descrizione Gravità Note

Descrizione

Le VM con OS Login abilitato potrebbero essere soggette a vulnerabilità di escalation dei privilegi. Queste vulnerabilità consentono agli utenti a cui sono state concesse le autorizzazioni di OS Login (ma a cui non è stato concesso l'accesso amministrativo) la possibilità di riassegnare l'accesso root alla VM.

Per istruzioni e maggiori dettagli, consulta il Bollettino sulla sicurezza di Compute Engine.

 Alta

GCP-2020-007

Pubblicato: 01/06/2020

Descrizione

Descrizione Gravità Note

Di recente, in Kubernetes è stata scoperta la vulnerabilità Falsificazione richiesta lato server (SSRF), CVE-2020-8555, che consente ad alcuni utenti autorizzati di diffondere fino a 500 byte di informazioni sensibili dalla rete host del piano di controllo. Il piano di controllo Google Kubernetes Engine (GKE) utilizza controller di Kubernetes e, pertanto, è interessato da questa vulnerabilità. Ti consigliamo di eseguire l'upgrade del piano di controllo alla versione più recente della patch. Non è necessario un upgrade del nodo.

Per istruzioni e ulteriori dettagli, consulta:

Medio

CVE-2020-8555

GCP-2020-006

Pubblicato: 01/06/2020

Descrizione

Descrizione Gravità Note

Kubernetes ha divulgato una vulnerabilità che consente a un container con privilegi di reindirizzare il traffico dei nodi a un altro container. Questo attacco non consente di leggere o modificare il traffico TLS/SSH reciproco, ad esempio tra kubelet e server API, o il traffico proveniente da applicazioni che utilizzano mTLS. Tutti i nodi di Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione più recente della patch.

Per istruzioni e ulteriori dettagli, consulta:

Medio

Problema 91507 di Kubernetes

GCP-2020-005

Pubblicato: 2020-05-07

Descrizione

Vulnerabilità

Gravità

CVE

Recentemente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-8835, che consente di uscire dai limiti del container per ottenere privilegi di utente root sul nodo host.

I nodi Google Kubernetes Engine (GKE) Ubuntu che eseguono GKE 1.16 o 1.17 sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione più recente della patch il prima possibile.

Consulta il bollettino sulla sicurezza di GKE per istruzioni e ulteriori dettagli.

Alta

CVE-2020-8835

GCP-2020-004

Pubblicato il 31/03/2020
Ultimo aggiornamento: 31/03/2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabulità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254: questa è una vulnerabilità DoS (Denial of Service) che influisce sul server API.

Medio

CVE-2019-11254

Consulta il Bollettino sulla sicurezza di GKE on VMware per istruzioni e altri dettagli.

GCP-2020-003

Pubblicato il 31/03/2020
Ultimo aggiornamento: 31/03/2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabulità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254: questa è una vulnerabilità DoS (Denial of Service) che influisce sul server API.

Medio

CVE-2019-11254

Consulta il bollettino sulla sicurezza di GKE per istruzioni e altri dettagli.

GCP-2020-002

Pubblicato il: 23/03/2020
Ultimo aggiornamento: 23/03/2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabulità:

Vulnerabilità

Gravità

CVE

CVE-2020-8551: si tratta di una vulnerabilità DoS (Denial of Service) che influisce sul kubelet.

Medio

CVE-2020-8551

CVE-2020-8552: si tratta di una vulnerabilità DoS (Denial of Service) che influisce sul server API.

Medio

CVE-2020-8552

Consulta il bollettino sulla sicurezza di GKE per istruzioni e altri dettagli.

GCP-2020-001

Pubblicato il: 21/01/2020
Ultimo aggiornamento: 21/01/2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-0601: questa vulnerabilità è nota anche come vulnerabilità spoofing delle API Windows Crypto. Potrebbe essere sfruttata per far sembrare attendibili gli eseguibili dannosi o per consentire all'utente malintenzionato di condurre attacchi man in the middle e decriptare informazioni riservate sulle connessioni degli utenti al software interessato.

Punteggio base NVD: 8,1 (Alta)

CVE-2020-0601

Per ulteriori informazioni, consulta l'informativa di Microsoft.

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-0601

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server devono assicurarsi che le loro istanze dispongano della patch di Windows più recente o utilizzare le immagini Windows Server fornite dal 15/1/2020. Per ulteriori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

Google Kubernetes Engine

CVE-2020-0601

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

I clienti che utilizzano GKE con nodi Windows Server, sia i nodi che i carichi di lavoro containerizzati in esecuzione su questi nodi devono essere aggiornati alle versioni con patch per mitigare questa vulnerabilità. Consulta il bollettino sulla sicurezza di GKE per istruzioni e altri dettagli.

Servizio gestito per Microsoft Active Directory

CVE-2020-0601

Per la maggior parte dei clienti non sono richieste ulteriori azioni.

Tutti i domini Microsoft AD gestiti sono stati aggiornati automaticamente con l'immagine con patch. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano Managed Microsoft AD) devono assicurarsi che le proprie istanze dispongano della patch di Windows più recente o utilizzare le immagini Windows Server fornite dal 15/1/2020.

Google Workspace

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente standard di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Functions

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Composer

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataproc

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è necessario alcun intervento da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2019-001

Pubblicato il: 12/11/2019
Ultimo aggiornamento: 12/11/2019

Descrizione

Intel ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11135 — Questa vulnerabilità, indicata come TSX Async Abort (TAA) può essere utilizzata per sfruttare l'esecuzione speculativa in una transazione TSX. Questa vulnerabilità può determinare un'esposizione dei dati attraverso le stesse strutture di dati della microarchitettura esposte dal Microarchitectural Data Sampling (MDS).

Medio

CVE-2019-11135

CVE-2018-12207 — Questa è una vulnerabilità di tipo Denial of Service (DoS) che interessa le macchine virtuali host (non ospiti). Questo problema è noto come "Machine Check Error on Page Size Change".

Medio

CVE-2018-12207

Per ulteriori informazioni, consulta le divulgazioni di Intel:

Impatto su Google Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google è protetta da queste vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti N2, C2 o M2 che eseguono codice non attendibile nei propri servizi multi-tenant all'interno delle macchine virtuali Compute Engine devono arrestare e avviare le loro VM per assicurarsi che dispongano delle più recenti misure di mitigazione per la sicurezza.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Google Kubernetes Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

Se utilizzi pool di nodi con nodi N2, M2 o C2, e questi nodi eseguono codice non attendibile nei propri cluster GKE multi-tenant, devi riavviare i nodi. Se vuoi riavviare tutti i nodi del tuo pool di nodi, esegui l'upgrade del pool di nodi interessato.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Ambiente standard di App Engine

Non è necessario alcun intervento aggiuntivo.

Ambiente flessibile di App Engine

CVE-2019-11135

Non è necessario alcun intervento aggiuntivo.

I clienti devono rivedere le best practice di Intel relative alla condivisione a livello di applicazione che può avvenire fra gli hyperthread all'interno di una VM flessibile.

CVE-2018-12207

Non è necessario alcun intervento aggiuntivo.

Cloud Run

Non è necessario alcun intervento aggiuntivo.

Cloud Functions

Non è necessario alcun intervento aggiuntivo.

Cloud Composer

Non è necessario alcun intervento aggiuntivo.

Dataflow

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Dataflow che eseguono numerosi carichi di lavoro non attendibili su VM N2, C2 o M2 di Compute Engine gestite da Dataflow, e che sono preoccupati di attacchi fra i guest, devono prendere in considerazione il riavvio di tutte le pipeline di gestione dei flussi attualmente in esecuzione. Facoltativamente, le pipeline batch possono essere annullate e rieseguite. Non è necessario alcun intervento sulle pipeline avviate dopo la data odierna.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Dataproc

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Cloud Dataproc che eseguono più carichi di lavoro non attendibili sullo stesso cluster Cloud Dataproc eseguito su VM N2, C2 o M2 di Compute Engine, e che sono preoccupati di attacchi fra i guest, devono rieseguire il deployment dei cluster.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Cloud SQL

Non è necessario alcun intervento aggiuntivo.