Boletines de seguridad

Los siguientes boletines de seguridad se relacionan con productos de Google Cloud.

Usa este feed XML para suscribirte a los boletines de seguridad de esta página. Suscribirse

GCP-2024-045

Fecha de publicación: 17/07/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26925

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26925

GCP-2024-044

Fecha de publicación: 16/07/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-36972

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-36972

GCP-2024-043

Fecha de publicación: 16/07/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26921

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26921

GCP-2024-042

Fecha de publicación: 15/07/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26809

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26809

GCP-2024-041

Fecha de publicación: 8/7/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2023-52654
  • CVE-2023-52656

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta

GCP-2024-040

Fecha de publicación: 1/7/2024

Última actualización: 16/07/2024

Descripción

Descripción Gravedad Notas

Actualizaciones del 16/07/2024:

Algunos clientes de Acceso a VPC sin servidores pueden verse afectados una vulnerabilidad en OpenSSH (CVE-2024-6387). Si se realiza correctamente vulnerabilidades, esto podría permitir que un atacante remoto no autenticado ejecute código arbitrario como raíz en la máquina virtual de destino. La explotación es se cree que son difíciles. Por ejemplo, los clientes no pueden acceder a las VMs y las VMs no tienen IP públicas. No estamos al tanto de cualquier tipo de explotación intentos.

¿Qué debo hacer?

Las implementaciones de Acceso a VPC sin servidores y las actualizaciones de Google siempre que sea posible. Sin embargo, debes verificar que el El agente de servicio administrado por Google tiene su rol necesario. De lo contrario, es posible que el conector de Acceso a VPC sin servidores siga estando vulnerables. Te recomendamos que migres a la salida de VPC directa o implementes un conector nuevo y borres para asegurarte de que tienes la actualización necesaria con el corregir.

Actualización del 11/07/2024: Se agregaron versiones de parche para software de GDC para VMware, GKE en AWS y GKE en Azure. Para obtener más detalles, en GKE consulta los siguientes boletines:

Actualización del 10/07/2024:

  • Se agregó el boletín de seguridad para Migrate to Virtual Machines.

Actualizaciones del 9/7/2024:

Algunos clientes del entorno flexible de App Engine se ven afectados una vulnerabilidad en OpenSSH (CVE-2024-6387). Si se realiza correctamente vulnerabilidades, esto podría permitir que un atacante remoto no autenticado ejecute código arbitrario como raíz en la máquina virtual de destino.

¿Qué debo hacer?

Google ya actualizó las implementaciones de entorno flexible automáticamente cuando sea posible. Sin embargo, algunos clientes que inhabilitaron el agente de servicio administrado por Google, o cambios en las APIs de Google Cloud o en otros parámetros de configuración predeterminados, no se pudieron actualizar y podrían ser vulnerables. Debes implementar una versión nueva de tu app para que se actualice con la solución.

Ten en cuenta que las implementaciones actualizadas informarán la versión de SSH OpenSSH_9.6p1. Se aplicó un parche a esta versión con una corrección para CVE-2024-6387.

¿Qué vulnerabilidades se abordan?

La vulnerabilidad CVE-2024-6387, que permite que una conexión remota, ejecutar un código arbitrario como raíz en la máquina objetivo.

Actualizaciones del 8/7/2024:

Clústeres de Dataproc en Google Compute Engine que se ejecutan en la versión con imágenes 2.2 (todos los sistemas operativos) y 2.1 (solo Debian) se afectado por una vulnerabilidad en OpenSSH (CVE-2024-6387), que, en caso de un exploit exitoso podría permitir que un atacante remoto no autenticado ejecutar un código arbitrario como raíz en la máquina de destino.

las versiones de imagen 2.0 y 1.5, así como imágenes de Dataproc versión 2.1 que no se ejecutan en Debian, no se ven afectadas. Clústeres de Dataproc con La autenticación habilitada no se verá afectada. Dataproc sin servidores tampoco se ve afectado.

¿Qué debo hacer?

Actualiza tus clústeres de Dataproc en Google Compute Engine a una de las siguientes versiones:

  • 2.2.24 o superior
  • 2.1.58 o superior

En caso de que no puedas actualizar tus clústeres de Dataproc a una de las versiones anteriores, te recomendamos que uses el comando acción disponible en esta ubicación: gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

Sigue estas instrucciones sobre cómo especificar acciones de inicialización para Dataproc. Ten en cuenta que la acción de inicialización debe ejecutarse en cada nodo (principales y trabajadores) para los clústeres preexistentes.

Actualizaciones del 3/7/2024:

  • Se agregaron versiones de parche para GKE.
  • Se agregó el boletín de seguridad para GDC conectado.

Actualizaciones del 2/7/2024:

  • Se aclaró que los clústeres de Autopilot se ven afectados y requerirán una acción del usuario.
  • Se agregaron evaluaciones de impacto y pasos de mitigación para Software de GDC para VMware, GKE en AWS y GKE en Azure.
  • Se corrigió el software de GDC para el boletín de seguridad de Bare Metal para aclarar que el software de GDC para Bare Metal no está directamente y que los clientes deben consultar a los proveedores del SO en busca de parches.

Una vulnerabilidad de ejecución de código remota, CVE-2024-6387 se descubrió recientemente en OpenSSH. La vulnerabilidad se aprovecha de una condición de carrera que se puede usar para obtener acceso a un shell remoto, lo que permite a los atacantes obtener acceso al directorio raíz. Al momento de la publicación, se cree que la explotación era difícil y toma varias horas por cada máquina atacada. No tenemos conocimiento de ningún intento de explotación.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Crítico CVE-2024-6387

GCP-2024-039

Fecha de publicación: 28/06/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26923

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26923

GCP-2024-038

Fecha de publicación: 26/06/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26924

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26924

GCP-2024-037

Fecha de publicación: 18/06/2024

Descripción Gravedad Notas

VMware divulgó varias vulnerabilidades en VMSA-2024-0012 que afectan a los componentes de vCenter implementados en entornos de clientes.

Impacto de Google Cloud VMware Engine

  • La vulnerabilidad se puede aprovechar accediendo a puertos específicos en vCenter Servidor. Google ya bloqueó los puertos vulnerables en vCenter en el servidor web, lo que evita cualquier posible uso de esta vulnerabilidad.
  • Además, Google garantiza que ninguna implementación futura de vCenter expuestos a esta vulnerabilidad.

¿Qué debo hacer?

No es necesario que realices ninguna otra acción en este momento.

Crítico

GCP-2024-036

Fecha de publicación: 18/06/2024

Descripción

Descripción Gravedad Notas

Se descubrieron las siguientes vulnerabilidades en el kernel de Linux que pueden provocar a una elevación de privilegios en los nodos de Container-Optimized OS:

  • CVE-2024-26584

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26584

GCP-2024-035

Fecha de publicación: 12/06/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26584

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26584

GCP-2024-034

Fecha de publicación: 11/06/2024

Última actualización: 10/07/2024

Descripción

Descripción Gravedad Notas

Actualización del 10/07/2024: Se agregaron versiones de parche para Nodos de Container-Optimized OS que ejecutan las versiones secundarias 1.26 y 1.27 y agregamos versiones de parches para nodos de Ubuntu.

Se descubrieron las siguientes vulnerabilidades en el kernel de Linux que pueden provocar a una elevación de privilegios en los nodos de Container-Optimized OS:

  • CVE-2024-26583

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26583

GCP-2024-033

Fecha de publicación: 10/06/2024

Descripción

Descripción Gravedad Notas

Se descubrieron las siguientes vulnerabilidades en el kernel de Linux que pueden provocar a una elevación de privilegios en los nodos de Container-Optimized OS:

  • CVE-2022-23222

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2022-23222

GCP-2024-032

Fecha de publicación: 4 de junio de 2024

Descripción

Descripción Gravedad Notas

Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:

  • CVE-2024-23326: Envoy acepta de manera incorrecta una respuesta HTTP 200 al ingresar al modo de actualización.
  • CVE-2024-32974: Se produce una falla en EnvoyQuicServerStream::OnInitialHeadersComplete().
  • CVE-2024-32975: Se produce una falla en QuicheDataReader::PeekVarInt62Length().
  • CVE-2024-32976: Bucle infinito mientras se descomprimen los datos de Brotli con entradas adicionales.
  • CVE-2024-34362: falla (uso después de la liberación) en EnvoyQuicServerStream.
  • CVE-2024-34363: Falla debido a una excepción JSON de nlohmann no detectada.
  • CVE-2024-34364: Vector de Envoy OOM del cliente asíncrono HTTP con búfer de respuesta no delimitado para la respuesta duplicada.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh.

Alta

GCP-2024-031

Fecha de publicación: 24/05/2024

Descripción

Descripción Gravedad Notas

Se descubrió una nueva vulnerabilidad (CVE-2024-4323) en Fluent Bit que podrían provocar la ejecución remota de código. Versiones de Fluent Bit 2.0.7 hasta el 3.0.3.

GKE, GKE en VMware, GKE en AWS, GKE en Azure y GKE en Bare Metal no usan un vulnerable de Fluent Bit y no se ven afectadas.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Ninguno CVE-2024-4323

GCP-2024-030

Fecha de publicación: 15/05/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2023-52620

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-52620

GCP-2024-029

Fecha de publicación: 14/05/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26642

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26642

GCP-2024-028

Fecha de publicación: 13/05/2024

Última actualización: 22/05/2024

Descripción

Descripción Gravedad Notas

Actualización del 22/05/2024: Se agregaron versiones de parche para Ubuntu

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26581

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26581

GCP-2024-027

Fecha de publicación: 8/5/2024

Última actualización: 9/05/2024, 15/05/2024

Descripción

Descripción Gravedad Notas

Actualización del 15/05/2024: Se agregaron versiones de parche para Grupos de nodos de Ubuntu de GKE.

Actualización del 9/5/2024: Se corrigió la gravedad a partir de media. a High y aclaró que GKE Autopilot de clústeres en la configuración predeterminada no se ven afectados.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26808

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26808

GCP-2024-026

Fecha de publicación: 7/5/2024

Última actualización: 9/5/2024

Descripción

Descripción Gravedad Notas

Actualización del 9/5/2024: Se corrigió la gravedad a partir de media. alta.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26643

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26643

GCP-2024-025

Fecha de publicación: 26/04/2024

Descripción

Descripción Gravedad Notas

Looker corrigió las vulnerabilidades informadas por un investigador externo a través del programa de recompensas por detección de vulnerabilidades (VRP) de Google y Alphabet, pero no encontró evidencia de explotación. Estos problemas ya se resolvieron y no es necesario que los clientes alojados por Looker en Looker (Google Cloud Core) y Looker (original) realicen ninguna acción. Se recomienda que las instancias autoalojadas de Looker se actualicen a la versión compatible más reciente.

¿Qué debo hacer?

Instancias alojadas por Looker: instancias de Looker (Google Cloud Core) y Looker (original)

Los clientes no deben realizar ninguna acción.

Solo para instancias de Looker autoalojadas

Si tu instancia de Looker es autoalojada, te recomendamos que actualices tus instancias de Looker a una de las siguientes versiones:

  • 24.6.12+
  • 24.4.27+
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105+
  • 23.6.163+

¿Cómo se solucionó?

Google inhabilitó el acceso de administrador directo a la base de datos interna desde la aplicación de Looker, quitó los privilegios elevados que habilitaban el acceso entre usuarios y rotó los secretos expuestos. Además, aplicamos un parche para las vulnerabilidades de salto de directorio que posiblemente expusieron las credenciales de la cuenta de servicio. También estamos revisando minuciosamente nuestro código y nuestros sistemas para identificar y abordar cualquier vulnerabilidad potencial similar.

 Crítico

GCP-2024-024

Fecha de publicación: 25/04/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-26585

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-26585

GCP-2024-023

Fecha de publicación: 24/04/2024

Descripción

Descripción Gravedad Notas

Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:

  • CVE-2024-27919: HTTP/2: agotamiento de la memoria debido a un desbordamiento de marcos de CONTINUATION.
  • CVE-2024-30255: HTTP/2: agotamiento de la CPU debido a un desbordamiento de marcos de CONTINUACIÓN
  • CVE-2024-32475: Finalización anormal cuando se usa "auto_sni" con ':authority' encabezado de más de 255 caracteres.
  • CVE-2023-45288: los marcos de CONTINUACIÓN HTTP/2 se pueden utilizar para ataques DoS.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh.

Alta

GCP-2024-022

Fecha de publicación: 3 de abril de 2024

Actualización: 17/07/2024

Descripción

Descripción Gravedad Notas

Actualización del 17/07/2024: Se agregaron versiones de parche para GKE en VMware

Actualización del 9/7/2024: Se agregaron versiones de parches para GKE en Bare Metal

Actualización del 24/04/2024: Se agregaron versiones de parche para GKE.

Recientemente, se descubrió una vulnerabilidad de denegación del servicio (DoS) (CVE-2023-45288) en varias implementaciones del protocolo HTTP/2, incluido el servidor HTTP golang que usa Kubernetes. La vulnerabilidad podría provocar un DoS del plano de control de Google Kubernetes Engine (GKE).

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-45288

GCP-2024-021

Fecha de publicación: 3/4/2024

Descripción

Descripción Gravedad Notas

Compute Engine no se ve afectado por CVE-2024-3094 que afecta a las versiones 5.6.0 y 5.6.1 del paquete xz-utils en el liblzma y podría comprometer la utilidad de OpenSSH.

Para obtener más detalles, consulta la Boletín de seguridad de Compute Engine.

 Media CVE-2024-3094

GCP-2024-020

Fecha de publicación: 2/4/2024

Descripción

Descripción Gravedad Notas

Los investigadores descubrieron una vulnerabilidad (CVE-2023-48022). en Ray. Ray es un de terceros, de código abierto para cargas de trabajo de IA. Como Ray no requiere autenticación, los perpetradores pueden lograr la ejecución remota de código a través del envío de trabajos a instancias expuestas públicamente. El la vulnerabilidad se ha impugnado de Anyscale, el desarrollador de Ray. Ray mantiene sus funciones son una función central prevista del producto y, en su lugar, la seguridad debe implementarse fuera de un clúster de Ray, ya que cualquier red no deseada la exposición del cúmulo de Ray podría provocar un compromiso.

Según la respuesta, esta CVE está en disputa y es posible que no aparezca en escáneres de vulnerabilidades. De cualquier manera, se está explotando activamente en y los usuarios deberían configurar su uso como se sugiere a continuación.

¿Qué debo hacer?

Seguir a Ray lo mejor prácticas recomendadas y lineamientos, incluida la ejecución de código de confianza en de confianza para proteger las cargas de trabajo de Ray. Implementación de ray.io en instancias de nube de clientes entra en el modelo de responsabilidad compartida.

La seguridad de Google Kubernetes Engine (GKE) publicó un blog sobre el endurecimiento de Ray en GKE.

Para obtener más información sobre las formas de agregar autenticación y autorización a los servicios de Ray, consulta el Identity-Aware Proxy (IAP) documentación. Los usuarios de GKE pueden implementar IAP después de orientación o reutilizando módulos de Terraform vinculados en el blog.

Alta CVE-2023-48022

GCP-2024-018

Fecha de publicación: 12/03/2024

Última actualización: 4/4/2024, 6/5/2024

Descripción

Descripción Gravedad Notas

Actualización del 6/5/2024: Se agregaron versiones de parches para los grupos de nodos de Ubuntu de GKE.

Actualización del 4/4/2024: Se corrigieron las versiones mínimas de los grupos de nodos de Container-Optimized OS de GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-1085

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-1085

GCP-2024-017

Fecha de publicación: 6 de marzo de 2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2023-3611

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3611

GCP-2024-016

Fecha de publicación: 05/03/2024

Descripción Gravedad Notas

VMware divulgó varias vulnerabilidades en VMSA-2024-0006 que afectar a los componentes de ESXi implementados en entornos de clientes.

Impacto de Google Cloud VMware Engine

Tus nubes privadas se actualizaron para abordar la vulnerabilidad de seguridad.

¿Qué debo hacer?

No es necesario que realices ninguna acción.

Crítico

GCP-2024-014

Fecha de publicación: 26/02/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2023-3776

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3776

GCP-2024-013

Fecha de publicación: 27/02/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2023-3610

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3610

GCP-2024-012

Fecha de publicación: 20/02/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2024-0193

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-0193

GCP-2024-011

Fecha de publicación: 15/02/2024

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu:

  • CVE-2023-6932

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-6932

GCP-2024-010

Fecha de publicación: 14/02/2024

Actualización: 17/04/2024

Descripción

Descripción Gravedad Notas

Actualización del 17/04/2024: Se agregaron versiones de parches para GKE en VMware.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-6931

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-6931

GCP-2024-009

Fecha de publicación: 13/02/2024

Descripción

Descripción Gravedad Notas

El 13 de febrero de 2024, AMD divulgó dos vulnerabilidades que afectan a SEV-SNP en CPU EPYC basadas en “Milan” de tercera generación y Génova, de cuarta generación. Núcleos zen. Las vulnerabilidades permiten a los atacantes con privilegios acceder al estado de los huéspedes o causar la pérdida de su integridad.

Google aplicó correcciones a los recursos afectados, incluido Google Cloud, para garantizar la protección de los clientes. En este momento, no hay evidencia de explotación encontrado o denunciado a Google.

¿Qué debo hacer?

Los clientes no deben realizar ninguna acción. Ya se aplicaron correcciones al Flota de servidores de Google para Google Cloud, incluido Compute Engine.

Para obtener más información, consulta la advertencia de seguridad de AMD. AMD‐SN‐3007

 Moderado

GCP-2024-008

Fecha de publicación: 12/02/2024

Descripción

Descripción Gravedad Notas

CVE-2023-5528 permite que un atacante cree Pods y volúmenes persistentes en nodos de Windows de forma tal que se permita la elevación de privilegios de administrador en esos nodos.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-5528

GCP-2024-007

Fecha de publicación: 8 de febrero de 2024

Descripción

Descripción Gravedad Notas

Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:

  • CVE-2024-23322: Envoy falla cuando hay inactividad y se producen tiempos de espera de solicitudes por intento dentro del intervalo de retirada.
  • CVE-2024-23323: Uso excesivo de CPU cuando el comparador de plantillas de URI se configura mediante una regex.
  • CVE-2024-23324: Se puede omitir la autorización externa cuando el filtro de protocolo del proxy establece metadatos UTF-8 no válidos.
  • Envoy falla cuando se usa un tipo de dirección que no es compatible con el SO.
  • CVE-2024-23327: Se produce una falla en el protocolo del proxy cuando el tipo de comando es LOCAL.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh.

Alta

GCP-2024-006

Fecha de publicación: 5/2/2024

Descripción

Descripción Gravedad Notas

Cuando un proxy de administración de API de Apigee se conecta a un extremo objetivo o servidor de destino, el proxy no valida el nombre de host para el certificado que presenta el extremo o servidor de destino de forma predeterminada. Si la validación del nombre de host no está habilitada a través de una de las siguientes opciones, los proxies de Apigee que se conectan a un extremo o un servidor de destino pueden estar en riesgo de que un usuario autorizado reciba un ataque de intermediario. Para obtener más información, consulta Configura TLS del perímetro al backend (nube y nube privada).

Las implementaciones de proxies de Apigee en las siguientes plataformas de Apigee se ven afectadas:

  • Apigee Edge para la nube pública
  • Apigee Edge para la nube privada

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Apigee.

 Alta

GCP-2024-005

Fecha de publicación: 31/01/2024
Última actualización: 2/4/2024, 6/5/2024

Descripción

Descripción Gravedad Notas

Actualización del 6/5/2024: Se agregaron versiones de parches para GKE en AWS y GKE en Azure.

Actualización del 2/4/2024: Se agregaron versiones de parches para GKE en Bare Metal.

Actualización del 6/3/2024: Se agregaron versiones de parche para GKE en VMware.

Actualización del 28/02/2024: Se agregaron versiones de parches para Ubuntu.

Actualización del 15/2/2024: Se aclaró que las versiones 1.25 y 1.26 Es posible que las versiones de parches de Ubuntu de la actualización del 14/2/2024 provoquen el mal estado nodos.

Actualización del 14/2/2024: Se agregaron versiones de parches para Ubuntu.

Actualización del 6/2/2024: Se agregaron versiones de parches para Container-Optimized OS.

Se detectó una vulnerabilidad de seguridad, CVE-2024-21626, en runc, en la que un usuario con permiso para crear Pods en los nodos de Container-Optimized OS y Ubuntu podría obtener acceso completo al nodo sistema de archivos.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2024-21626

GCP-2024-004

Fecha de publicación: 24/1/2024
Última actualización: 7/2/2024

Descripción

Descripción Gravedad Notas

Actualización del 07/02/2024: Se agregaron versiones de parche para Ubuntu.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-6817

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-6817

GCP-2024-003

Fecha de publicación: 19/01/2024
Última actualización: 26/01/2024

Descripción

Descripción Gravedad Notas

Actualización del 26/01/2024: Se aclaró la cantidad de clústeres afectados y las acciones que que tomamos para ayudar a mitigar el impacto. Para obtener más información, consulta el boletín de seguridad GCP-2024-003.

Identificamos varios clústeres en los que los usuarios otorgaron privilegios al grupo system:authenticated, que incluye todos usuarios con una Cuenta de Google. Estos tipos de vinculaciones no se recomiendan debido a que infringen el principio de privilegio mínimo y otorgan acceso a grupos muy grandes de usuarios. Consulta la guía en la sección ¿Qué debo hacer? para lo siguiente: instrucciones para encontrar estos tipos de vinculaciones.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Media

GCP-2024-002

Fecha de publicación: 17/01/2024

Última actualización: 20/02/2024

Descripción

Descripción Gravedad Notas

Actualización del 20/02/2024: Se agregaron versiones de parche para GKE en VMware.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS.

  • CVE-2023-6111

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-6111

GCP-2024-001

Fecha de publicación: 9/1/2024

Descripción

Descripción Gravedad Notas

Se descubrieron varias vulnerabilidades en la UEFI de TianoCore EDK II . Este firmware se usa en las VMs de Google Compute Engine. Si aprovecha las vulnerabilidades, podría permitir una evasión del inicio seguro, lo que proporcionaría mediciones falsas en el proceso de inicio seguro, lo que incluye cuando se usan en VMs protegidas.

¿Qué debo hacer?

No es necesario que realices ninguna acción. Google aplicó un parche a esta vulnerabilidad en Compute Engine y todas las VMs están protegidas de esta vulnerabilidad.

¿Qué vulnerabilidades trata este parche?

Este parche mitiga las siguientes vulnerabilidades:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 Media

GCP-2023-051

Fecha de publicación: 28/12/2023

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-3609

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3609

GCP-2023-050

Fecha de publicación: 27/12/2023

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-3389

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3389

GCP-2023-049

Fecha de publicación: 20/12/2023

Descripción

Descripción Gravedad Notas

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-3090

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3090

GCP-2023-048

Fecha de publicación: 15/12/2023

Última actualización: 21/12/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-3390

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3390

GCP-2023-047

Fecha de publicación: 14/12/2023

Descripción

Descripción Gravedad Notas

Un atacante que comprometió el contenedor de registro de Fluent Bit podría combinar ese acceso con los privilegios altos que requieren Cloud Service Mesh (en clústeres que la habilitaron) para derivar el caso privilegios en el clúster.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Media

GCP-2023-046

Fecha de publicación: 22/11/2023
Última actualización: 4/3/2024

Descripción

Descripción Gravedad Notas

Actualización del 4/3/2024: Se agregaron versiones de GKE para GKE en VMware.

Actualización del 22/1/2024: Se agregaron versiones de parches de Ubuntu

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-5717

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-5717

GCP-2023-045

Fecha de publicación: 20/11/2023

Última actualización: 21/12/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-5197

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-5197

GCP-2023-044

Fecha de publicación: 15/11/2023

Descripción

Descripción Gravedad Notas

El 14 de noviembre, AMD divulgó varias vulnerabilidades que afectan a varios CPU de servidor AMD. Específicamente, las vulnerabilidades afectan a las CPU del servidor EPYC. con la generación 2 de Zen Core, "Roma", 3a gen.: "Milan", y 4a gen., "Génova".

Google aplicó correcciones a los recursos afectados, incluido Google Cloud, para garantizar los clientes están protegidos. Por el momento, no hay evidencia de explotación que se encontraron o se informaron a Google.

¿Qué debo hacer?

Los clientes no deben realizar ninguna acción.

Ya se aplicaron correcciones a la flota de servidores de Google para Google Cloud, incluido Google Compute Engine.

¿Qué vulnerabilidades se abordan?

Este parche mitiga las siguientes vulnerabilidades:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

Para obtener más información, consulte el aviso de seguridad de AMD AMD-SN-3005: "Aviso de seguridad de la instrucción de AMD INVD". publicado como CacheWarp, y AMD-SN-3002: "AMD Server Vulnerabilities – Friday de 2023”.

 Moderado

GCP-2023-043

Fecha de publicación: 14/11/2023

Descripción

Descripción Gravedad Notas

Intel divulgó una vulnerabilidad de CPU en procesadores seleccionados. Google tomó medidas para mitigar su flota de servidores, incluidos Google Compute Engine para Google Cloud y dispositivos ChromeOS, a fin de garantizar la protección de los clientes.

Los detalles de la vulnerabilidad son los siguientes:

  • CVE-2023-23583

¿Qué debo hacer?

Los clientes no deben realizar ninguna acción.

La mitigación que proporcionó Intel para los procesadores afectados se aplicó a la flota de servidores de Google, incluido Google Compute Engine para Google Cloud.

En este momento, Google Distributed Cloud Edge requiere una actualización del OEM. Google corregirá este producto una vez que esté disponible la actualización, y este boletín se actualizará según corresponda.

Los dispositivos ChromeOS con los procesadores afectados recibieron la corrección automáticamente como parte de las versiones 119, 118 y 114 (LTS).

¿Qué vulnerabilidades se abordan?

CVE-2023-23583 Para obtener más detalles, consulta Intel Security Advisory INTEL-SA-00950.

 Alta CVE-2023-23583

GCP-2023-042

Fecha de publicación: 13/11/2023
Última actualización: 15/11/2023

Descripción

Descripción Gravedad Notas

Actualización del 15/11/2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-4147

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-4147

GCP-2023-041

Fecha de publicación: 8/11/2023

Última actualización: 21/11/2023, 5/12/2023, 21/12/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 5/12/2023: Se agregaron versiones de GKE adicionales para los grupos de nodos de Container-Optimized OS.

Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-4004

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-4004

GCP-2023-040

Fecha de publicación: 6/11/2023

Última actualización: 21/11/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-4921

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-4921

GCP-2023-039

Fecha de publicación: 6/11/2023

Última actualización: 21-11-2023, 16-11-2023

Descripción

Descripción Gravedad Notas

Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Actualización del 16/11/2023: La vulnerabilidad asociada con este boletín de seguridad es CVE-2023-4622. CVE-2023-4623 se incluyó incorrectamente como la vulnerabilidad en una versión anterior del boletín de seguridad.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-4623

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-4622

GCP-2023-038

Fecha de publicación: 6/11/2023

Última actualización: 21/11/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-4623

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-4623

GCP-2023-037

Fecha de publicación: 6/11/2023

Última actualización: 21/11/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-4015

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-4015

GCP-2023-036

Publicado: 2023-10-30

Descripción

Descripción Gravedad Notas

Deep Learning VM Images es un conjunto de imágenes de máquina virtual ya preparadas con un framework de aprendizaje profundo que están listos para ejecutarse. Recientemente, se descubrió una vulnerabilidad de escritura fuera de los límites en la función `ReadHuffmanCodes()` de la biblioteca `libwebp`. Esto podría afectar a las imágenes que usan esta biblioteca.

Google Cloud analiza continuamente sus imágenes publicadas de forma pública y actualiza los paquetes para garantizar que se incluyan las distribuciones de parche en las versiones más recientes disponibles para la adopción de los clientes. Se actualizaron las Deep Learning VM Images para garantizar que las imágenes de VM más recientes incluyan las distribuciones con parches. Los clientes que adoptan las imágenes de VM más recientes no están expuestos a esta vulnerabilidad.

¿Qué debo hacer?

Los clientes de Google Cloud que usen imágenes de VMs publicadas deben asegurarse de adoptar las imágenes más recientes y que sus entornos estén actualizados, según el modelo de responsabilidad compartida.

Un atacante podría aprovechar CVE-2023-4863 para ejecutar código arbitrario. Esta vulnerabilidad se identificó en Google Chrome antes de la versión 116.0.5845.187 y en "libwebp" antes de la 1.3.2, y aparece bajo CVE-2023-4863.

 Alta CVE-2023-4863

GCP-2023-035

Fecha de publicación: 26/10/2023

Última actualización: 21/11/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-4206CVE-2023-4207, CVE-2023-4208 y CVE-2023-4128

GCP-2023-034

Fecha de publicación: 25/10/2023

Última actualización: 27/10/2023

Descripción

Descripción Gravedad Notas

VMware divulgó varias vulnerabilidades en VMSA-2023-0023 que afectan a los componentes de vCenter implementados en entornos de clientes.

Impacto en la Atención al cliente de Cloud

  • La vulnerabilidad puede aprovecharse al acceder a puertos específicos en vCenter Server. Estos puertos no están expuestos a la Internet pública.
  • Si los puertos de vCenter 2012/tcp, 2014/tcp y 2020/tcp no son accesibles a través de sistemas no confiables, no estarás expuesto en la nube.
  • Google ya bloqueó los puertos vulnerables en vCenter Server para evitar cualquier posible aprovechamiento de esta vulnerabilidad.
  • Además, Google se asegurará de que todas las implementaciones futuras de vCenter del servidor no están expuestos a esta vulnerabilidad.
  • Al momento del boletín, VMware no está al tanto de ninguna explotación "en el entorno". Si quieres conocer más detalles, consulta la documentación de VMware.

¿Qué debo hacer?

No es necesario que realices ninguna otra acción en este momento

 Crítico CVE-2023-34048,CVE-2023-34056

GCP-2023-033

Fecha de publicación: 24/10/2023

Última actualización: 21/11/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada y las cargas de trabajo de GKE Sandbox no se ven afectadas.

Actualización del 21-11-2023: Se debe aclarar que solo los productos versiones secundarias deben actualizarse a la versión con parche correspondiente para en GKE.

Las siguientes vulnerabilidades se descubrieron en el kernel de Linux que pueden generar una elevación de privilegios en los nodos de Container-Optimized OS y Ubuntu.

  • CVE-2023-3777

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3777

GCP-2023-032

Publicado 13 de octubre 2023

Última actualización: 3 de noviembre de 2023

Descripción

Descripción Gravedad Notas

Actualización del 3 de noviembre de 2023: Se agregó un problema conocido de Apigee Edge para la nube privada.

Recientemente, se descubrió una vulnerabilidad de denegación del servicio (DoS) en varias implementaciones del protocolo HTTP/2 (CVE-2023-44487), incluido el servicio de Ingress de Apigee (Cloud Service Mesh) que usa Apigee X y Apigee Hybrid. La vulnerabilidad podría provocar un DoS de la funcionalidad de administración de la API de Apigee.

Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Apigee.

Alta CVE-2023-44487

GCP-2023-031

Fecha de publicación: 10/10/2023

Descripción

Descripción Gravedad Notas

Un ataque de denegación del servicio puede afectar el plano de datos cuando se usa el protocolo HTTP/2. Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh.

Alta CVE-2023-44487

GCP-2023-030

Fecha de publicación: 10/10/2023

Última actualización: 20/03/2024

Descripción

Descripción Gravedad Notas

Actualización del 20/03/2024: Se agregaron versiones de parche para GKE en AWS y GKE en Azure con los parches más recientes para CVE-2023-44487.

Actualización del 14/2/2024: Se agregaron versiones de parche para GKE en VMware.

Actualización del 9/11/2023: Se agregó CVE-2023-39325. Actualizado Versiones de GKE con los parches más recientes para CVE-2023-44487 y CVE-2023-39325.

Recientemente, se descubrió una vulnerabilidad de denegación del servicio (DoS) en varias implementaciones del protocolo HTTP/2 (CVE-2023-44487), incluido el servidor HTTP golang que usa Kubernetes. La vulnerabilidad podría provocar un DoS del plano de control de Google Kubernetes Engine (GKE). Los clústeres de GKE con redes autorizadas configuradas se protegen limitando el acceso a la red, pero todos los demás clústeres se ven afectados.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-44487 CVE-2023-39325

GCP-2023-029

Publicado 3 de octubre de 2023

Descripción

Descripción Gravedad Notas

TorchServe se usa para alojar modelos de aprendizaje automático de PyTorch para la predicción en línea. Vertex AI proporciona contenedores de entrega de modelos de PyTorch compilados previamente que dependen de TorchServe. Recientemente, se descubrieron vulnerabilidades en TorchServe, lo que permitiría a un atacante tomar el control de una implementación de TorchServe si su API de administración de modelos estuviera expuesta. Los clientes con modelos de PyTorch implementados en la predicción en línea de Vertex AI no se ven afectados por estas vulnerabilidades, ya que Vertex AI no expone la API de administración de modelos de TorchServe. Los clientes que usan TorchServe fuera de Vertex AI deben tomar precauciones para garantizar que sus implementaciones se configuren de forma segura.

¿Qué debo hacer?

Los clientes de Vertex AI con modelos implementados que usan contenedores de entrega de PyTorch compilados previamente de Vertex AI no necesitan realizar ninguna acción para abordar las vulnerabilidades, ya que las implementaciones de Vertex AI no exponen el servidor de administración de TorchServe a Internet.

Los clientes que usan los contenedores de PyTorch precompilados en otros contextos o que usan una distribución personalizada o de terceros de TorchServe deben hacer lo siguiente:

  • Asegúrate de que la API de administración de modelos de TorchServe no esté expuesta a Internet. La API de Model Management se puede restringir al acceso local solo si se garantiza que el management_address esté vinculado a 127.0.0.1.
  • Usa la configuración allowed_urls para asegurarte de que los modelos se puedan cargar desde las fuentes previstas solamente.
  • Actualiza lo antes posible TorchServe a la versión 0.8.2, que incluye mitigaciones para este problema. Como medida preventiva, el 13 de octubre de 2023, Vertex AI lanzará contenedores fijos compilados previamente.

¿Qué vulnerabilidades se abordan?

La API de administración de TorchServe está vinculada a 0.0.0.0 de forma predeterminada en la mayoría de las imágenes de Docker de TorchServe, incluidas las que lanzó Vertex AI, lo que hace que sea accesible para solicitudes externas. La dirección IP predeterminada para la API de administración se cambió a 127.0.0.1 en TorchServe 0.8.2, lo que mitiga este problema.

CVE-2023-43654 y CVE-2022-1471 permiten que un usuario con acceso a la API de administración cargue modelos desde fuentes arbitrarias y ejecute código de forma remota. Se incluyen mitigaciones para ambos problemas en TorchServe 0.8.2: se quita la ruta de ejecución de código remota y se emite una advertencia si se usa el valor predeterminado para allowed_urls.

 Alta CVE-2023-43654, CVE-2022-1471

GCP-2023-028

Fecha de publicación: 19/09/2023

Actualización: 29/05/2024

Descripción

Descripción Gravedad Notas
Actualización del 29/05/2024: Los nuevos feeds ya no utilizan el cuenta de servicio compartida, pero permanece activa para que los feeds existentes eviten interrupciones del servicio. En los feeds más antiguos, los cambios que se realicen en la fuente se bloquearán para para evitar el uso inadecuado de la cuenta de servicio compartida. Los clientes pueden seguir usando sus feeds antiguos normalmente, siempre que no cambien la fuente.

Los clientes pueden configurar Google Security Operations para transferir datos de los buckets de Cloud Storage que son propiedad de los clientes a través de un feed de transferencia. Hasta hace poco, Google Security Operations proporcionaba una cuenta de servicio compartida que los clientes utilizaban para otorgar permiso al bucket. Existía una oportunidad de que la instancia de Google Security Operations de un cliente pudiera configurarse para transferir datos desde el bucket de Cloud Storage de otro cliente. Después de realizar un análisis de impacto, no encontramos ninguna explotación actual ni previa de esta vulnerabilidad. La vulnerabilidad estaba presente en todas las versiones de Google Security Operations antes del 19 de septiembre de 2023.

¿Qué debo hacer?

A partir del 19 de septiembre de 2023, se actualizó Google Security Operations para abordar esta vulnerabilidad. Los clientes no deben realizar ninguna acción.

¿Qué vulnerabilidades se abordan?

Anteriormente, Google Security Operations proporcionaba una cuenta de servicio compartida que los clientes usaban para otorgar permiso a un bucket. Debido a que diferentes clientes otorgaron al mismo permiso de cuenta de servicio de Google Security Operations en su bucket, existía un vector de explotación que permitía que el feed de un cliente accediera al bucket de otro cliente cuando se creaba o modificaba un feed. Este vector de explotación requería el conocimiento del URI del bucket. Ahora, durante la creación o modificación de feeds, Google Security Operations utiliza cuentas de servicio únicas para cada cliente.

 Alta

GCP-2023-027

Fecha de publicación: 11/09/2023
Descripción Gravedad Notas

Las actualizaciones de VMware vCenter Server solucionan varias vulnerabilidades de corrupción de memoria (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896)

Impacto en el servicio al cliente

VMware vCenter Server (vCenter Server) y VMware Cloud Foundation (Cloud Foundation).

¿Qué debo hacer?

Los clientes no se verán afectados y no se requiere ninguna acción.

 Media

GCP-2023-026

Fecha de publicación: 6 de septiembre de 2023

Descripción

Descripción Gravedad Notas

Se descubrieron tres vulnerabilidades en Kubernetes (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) en Kubernetes, en las que un usuario que puede crear Pods en nodos de Windows puede escalar a privilegios de administrador en esos nodos. Estas vulnerabilidades afectan las versiones de Windows de Kubelet y el proxy de CSI de Kubernetes.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-3676 CVE-2023-3955 CVE-2023-3893

GCP-2023-025

Fecha de publicación: 8 de agosto de 2023
Descripción Gravedad Notas

Intel anunció recientemente el Asesor de Seguridad de Intel INTEL-SA-00828 que afecta a algunas de sus familias de procesadores. Se te recomienda que evalúes los riesgos en función del aviso.

Impacto de Google Cloud VMware Engine

Nuestra flota utiliza las familias de procesadores afectados. En nuestra implementación, todo el servidor está dedicado a un cliente. Por eso, nuestra implementación modelo no agrega ningún riesgo adicional a tu evaluación de esta vulnerabilidad.

Estamos trabajando con nuestros socios para obtener los parches necesarios y implementar estos parches con prioridad en toda la flota mediante la el proceso de actualización estándar en las próximas semanas.

¿Qué debo hacer?

No es necesario que realices ninguna acción. Estamos trabajando para actualizar todas las los sistemas afectados.

 Alta

GCP-2023-024

Fecha de publicación: 8 de agosto de 2023

Última actualización: 10/08/2023, 4/6/2024

Descripción

Descripción Gravedad Notas

Actualización del 4/6/2024: Los siguientes productos faltantes se actualizaron para corregir esta vulnerabilidad:

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

Actualización del 10/08/2023: Se agregó el número de versión de LTS de ChromeOS.

Intel divulgó una vulnerabilidad en ciertos procesadores (CVE-2022-40982). Google ha tomado medidas para mitigar su flota de servidores, incluido Google Cloud, para garantizar que los clientes estén protegidos.

Los detalles de la vulnerabilidad son los siguientes:

  • CVE-2022-40982 (IPU de Intel 2023.3, "GDS", también conocido como "Disminución descendente")

¿Qué debo hacer?

Los clientes no deben realizar ninguna acción.

Ya se aplicaron todos los parches disponibles al servidor de Google de Google Cloud para Google Cloud, incluido Google Compute Engine.

En este momento, los siguientes productos requieren actualizaciones adicionales de socios y proveedores.

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Solución Bare Metal de Google Cloud
  • Núcleo de paquete evolucionado

Google corregirá estos productos una vez que se implementen estos parches. disponible, y este boletín se actualizará según corresponda.

Los clientes de Google Chromebook y ChromeOS Flex recibieron automáticamente Intel proporcionó mitigaciones en Stable (115), LTS (108), Beta (116), y de LTC (114). Los clientes de Chromebook y ChromeOS Flex fijados en un En las versiones anteriores, deberías considerar dejar de fijar y pasar a un entorno estable o de LTS. para garantizar que reciban esta y otras correcciones de vulnerabilidades.

¿Qué vulnerabilidades se abordan?

CVE-2022-40982: para obtener más información, consulta Asesoría de seguridad de Intel INTEL-SA-00828.

Alta CVE-2022-40982

GCP-2023-023

Fecha de publicación: 8 de agosto de 2023

Descripción

Descripción Gravedad Notas

AMD divulgó una vulnerabilidad en ciertos procesadores (CVE-2023-20569). Google ha tomado medidas para mitigar su flota de servidores, incluido Google Cloud, para garantizar que los clientes estén protegidos.

Los detalles de la vulnerabilidad son los siguientes:

  • CVE-2023-20569 (AMD SB-7005, también conocido como “Inception”)

¿Qué debo hacer?

Los usuarios de VMs de Compute Engine deben considerar las mitigaciones que proporciona el SO en los siguientes casos: con la ejecución de código no confiable dentro de la instancia. Recomendamos a los clientes se comuniquen con sus proveedores de SO para obtener orientación más específica.

Ya se aplicaron correcciones a la flota de servidores de Google para Google Cloud, incluido Google Compute Engine.

¿Qué vulnerabilidades se abordan?

CVE-2023-20569: para obtener más información, consulta AMD SB-7005

Moderado CVE-2023-20569

GCP-2023-022

Fecha de publicación: 3/8/2023

Descripción

Descripción Gravedad Notas

Google identificó una vulnerabilidad en las implementaciones de C++ de gRPC antes de la versión 1.57. Esta era una vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC. que se corrigieron en las versiones 1.53.2, 1.54.3, 1.55.2, 1.56.2 y 1.57.

¿Qué debo hacer?

Asegúrate de estar usando las versiones más recientes de los siguientes paquetes de software:

  • Las versiones 1.53, 1.54, 1.55 y 1.56 de gRPC (C++, Python y Ruby) necesitan para actualizar a las siguientes versiones de parche:
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • Las versiones 1.52 y anteriores de gRPC (C++, Python y Ruby) deben actualizarse a una de las versiones de parche aprobadas. Por ejemplo, 1.53.2, 1.54.3, 1.53.4, etcétera.

¿Qué vulnerabilidades se abordan?

Con estos parches, se mitigan las siguientes vulnerabilidades:

  • Vulnerabilidad de denegación del servicio en implementaciones de C++ de gRPC: Las solicitudes creadas especialmente pueden provocar el término de la conexión entre un proxy y un backend.
Alta CVE-2023-33953

GCP-2023-021

Updated:2023-07-26

Published:2023-07-25

Descripción

Descripción Gravedad Notas

Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:

  • CVE-2023-35941: Un cliente malicioso puede construir credenciales con validez permanente en algunos casos específicos. Por ejemplo, la combinación de la fecha de vencimiento y el host en la La carga útil de HMAC puede ser siempre válida en la verificación de HMAC del filtro OAuth2.
  • CVE-2023-35942: registradores de acceso de gRPC con el balanceador de cargas global del objeto de escucha alcance puede causar una falla de uso después de la liberación cuando el objeto de escucha está se agotan. Esto puede activarse con una actualización LDS con el mismo Configuración del registro de acceso de gRPC.
  • CVE-2023-35943: si el encabezado origin está configurado para se quitó con request_headers_to_remove: origin, CORS el filtro segfault y provocará una falla en Envoy.
  • CVE-2023-35944: los atacantes pueden enviar solicitudes de esquema mixto para evitar verificaciones de esquemas en Envoy. Por ejemplo, si una solicitud con una combinación HTTP de esquema se envía al filtro OAuth2, fallará el de coincidencia exacta para HTTP e informan al extremo remoto la el esquema es HTTPS, por lo que se puede omitir potencialmente las verificaciones de OAuth2 a solicitudes HTTP.

Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh.

Alta

GCP-2023-020

Updated:2023-07-26

Fecha de publicación: 24/07/2023

Descripción

Descripción Gravedad Notas

AMD lanzó una actualización de microcódigo que aborda un problema de seguridad de hardware una vulnerabilidad (CVE-2023-20593). Google aplicó las correcciones necesarias para esta vulnerabilidad a su flota de servidores, incluidos los servidores de la Google Cloud Platform. Las pruebas indican que no hay impacto en el y el rendimiento de los sistemas.

¿Qué debo hacer?

Los clientes no deben realizar ninguna acción, dado que ya se aplicaron las correcciones. a la flota de servidores de Google para Google Cloud Platform.

¿Qué vulnerabilidades se abordan?

CVE-2023-20593 soluciona una vulnerabilidad en algunas CPU de AMD. Más aquí.

Alta CVE-2023-20593

GCP-2023-019

Published:2023-07-18

Descripción

Descripción Gravedad Notas

Se descubrió una nueva vulnerabilidad (CVE-2023-35945) en Envoy en la que una respuesta creada de manera específica desde un servicio upstream no confiable puede provocar una denegación del servicio por el agotamiento de la memoria. Esto ocurre por el códec HTTP/2 de Envoy que puede filtrar un mapa de encabezados y registros estructuras tras recibir RST_STREAM seguidas de inmediato por los marcos GOAWAY de un servidor upstream.

Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh.

Alta CVE-2023-35945

GCP-2023-018

Fecha de publicación: 27/06/2023

Descripción

Descripción Gravedad Notas

Se descubrió una nueva vulnerabilidad (CVE-2023-2235) en el kernel de Linux que puede llevar a una elevación de privilegios en el nodo. Los clústeres de Autopilot de GKE se ven afectados porque los nodos de Autopilot de GKE siempre usan imágenes de nodo de Container-Optimized OS. Los clústeres de GKE Standard con versiones 1.25 o posteriores que ejecutan imágenes de nodo de Container-Optimized OS se ven afectados.

Los clústeres de GKE no se ven afectados si solo ejecutan imágenes de nodo de Ubuntu, ejecutan versiones anteriores a la 1.25 o usan GKE Sandbox.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-2235

GCP-2023-017

Fecha de publicación: 26/06/2023

Última actualización: 11/07/2023

Descripción

Descripción Gravedad Notas

Actualización del 11/07/2023: Versiones nuevas de GKE para incluir las últimas versiones de Ubuntu que aplican parches CVE-2023-31436:

Se descubrió una nueva vulnerabilidad (CVE-2023-31436) en el kernel de Linux que puede llevar a una elevación de privilegios en el nodo. Los clústeres de GKE, incluidos los de Autopilot, se ven afectados. Los clústeres de GKE que usan GKE Sandbox no se ven afectados.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-31436

GCP-2023-016

Fecha de publicación: 26/06/2023

Descripción

Descripción Gravedad Notas

Se descubrieron varias vulnerabilidades en Envoy, que se usa en Cloud Service Mesh que permiten que un atacante malicioso provoque o causar una falla en Envoy. Estos se informaron por separado como GCP-2023-002.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-27496 CVE-2023-27488 CVE-2023-27493 CVE-2023-27492 CVE-2023-27491 CVE-2023-27487

GCP-2023-015

Fecha de publicación: 20/06/2023

Descripción

Descripción Gravedad Notas

Se descubrió una nueva vulnerabilidad, CVE-2023-0468, en el kernel de Linux que podría permitir que un usuario sin privilegios eleve privilegios a raíz cuando io_poll_get_ownership siga aumentando req->poll_refs en cada io_poll_wake y luego se desbordará a 0, lo que hará que el problema req->se presente dos veces y genere una ref. de archivo de struct. Se ven afectados los clústeres de GKE, incluidos los de Autopilot, con Container-Optimized OS que usa la versión 5.15 del kernel de Linux. Los clústeres de GKE que usan imágenes de Ubuntu o GKE Sandbox no se ven afectados.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Media CVE-CVE-2023-0468

GCP-2023-014

Última actualización: 11/08/2023
Fecha de publicación: 15/06/2023

Descripción

Descripción Gravedad Notas

Actualización del 11/08/2023: Se agregaron versiones de parches para GKE en VMware, GKE en AWS, GKE en Azure y Google Distributed Cloud Virtual para Bare Metal.

Se descubrieron dos problemas de seguridad nuevos en Kubernetes, en los que los usuarios podrían iniciar contenedores que eludan las restricciones de políticas cuando usan contenedores efímeros, y ya sea ImagePolicyWebhook (CVE-2023-2727) o el complemento de admisión ServiceAccount (CVE-2023-2728).

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Media CVE-2023-2727, CVE-2023-2728

GCP-2023-013

Fecha de publicación: 8 de junio de 2023

Descripción

Descripción Gravedad Notas

Cuando habilitas la API de Cloud Build en un proyecto, Cloud Build crea automáticamente una cuenta de servicio predeterminada para ejecutar compilaciones por ti. Este servicio de Cloud Build anteriormente tenía la logging.privateLogEntries.list permiso de IAM, que permitió que las compilaciones tuvieran acceso a mostrar registros privados de forma predeterminada. Se revocó este permiso de la cuenta de servicio de Cloud Build para cumplir con los requisitos de principio de privilegio mínimo.

Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Build.

 Low (Baja)

GCP-2023-010

Fecha de publicación: 7 de junio de 2023

Descripción

Descripción Gravedad Notas

Google identificó tres vulnerabilidades nuevas en la implementación de C++ de gRPC. Estos se publicarán pronto como CVE-2023-1428, CVE-2023-32731 y CVE-2023-32732.

En abril, identificamos dos vulnerabilidades en las versiones 1.53 y 1.54. Una era una vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC y la otra era una vulnerabilidad de robo de datos remoto. Estas vulnerabilidades se corrigieron en las versiones 1.53.1, 1.54.2 y posteriores.

Anteriormente, en marzo, nuestros equipos internos descubrieron una vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC mientras realizaban actividades de fuzzing de rutina. Se descubrió en la versión 1.52 de gRPC y se corrigió en las versiones 1.52.2 y 1.53.

¿Qué debo hacer?

Asegúrate de estar usando las versiones más recientes de los siguientes paquetes de software:

  • Las versiones de gRPC (C++, Python y Ruby) 1.52, 1.53 y 1.54 se deben actualizar a las siguientes versiones de parche:
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • La versión 1.51 y anteriores de gRPC (C++, Python y Ruby) no se ven afectadas, por lo que los usuarios que tienen estas versiones no pueden realizar ninguna acción.

¿Qué vulnerabilidades abordan estos parches?

Con estos parches, se mitigan las siguientes vulnerabilidades:

  • Las versiones 1.53.1, 1.54.2 y posteriores abordan las siguientes vulnerabilidades: Vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC. Las solicitudes creadas especialmente pueden provocar la finalización de la conexión entre un proxy y un backend. Vulnerabilidad de robo de datos remoto: La desincronización en la tabla HPACK debido a los límites del tamaño del encabezado pueden provocar que los backends del proxy filtren datos del encabezado desde otros clientes conectados a un proxy.
  • Las versiones 1.52.2, 1.53 y posteriores abordan la vulnerabilidad de denegación del servicio en la implementación de C++ de gRPC. Analizar algunas solicitudes formadas de forma específica puede provocar una falla que afecte al servidor.

Te recomendamos actualizar a las versiones más recientes de los siguientes paquetes de software, tal como se indica más arriba.

 Alta (CVE-2023-1428, CVE-2023-32731). Media (CVE-2023-32732) CVE-2023-1428 CVE-2023-32731 CVE-023-32732

GCP-2023-009

Fecha de publicación: 6 de junio de 2023

Descripción

Descripción Gravedad Notas

Se descubrió una nueva vulnerabilidad (CVE-2023-2878) en el controlador secret-store-csi-driver, en la que un atacante con acceso a los registros del controlador podía observar los tokens de la cuenta de servicio.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Ninguno CVE-2023-2878

GCP-2023-008

Fecha de publicación: 5 de junio de 2023

Descripción

Descripción Gravedad Notas

Se descubrió una nueva vulnerabilidad (CVE-2023-1872) en el kernel de Linux que puede llevar a una elevación de privilegios para establecer la raíz en el nodo.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-1872

GCP-2023-007

Fecha de publicación: 2 de junio de 2023

Descripción

Descripción Gravedad Notas

Recientemente, se descubrió una vulnerabilidad en Cloud SQL para SQL Server que permitió que las cuentas de administrador del cliente crearan activadores tempdb y úsalas para obtener sysadmin privilegios en la instancia. Los privilegios sysadmin le dan al atacante acceso a las bases de datos del sistema y acceso parcial a las máquina que ejecuta esa instancia de SQL Server.

Google Cloud resolvió el problema mediante el parche de vulnerabilidad de seguridad para el 1 de marzo de 2023. Google Cloud no encontró ninguna instancia cliente comprometida.

Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud SQL.

 Alta

GCP-2023-005

Fecha de publicación: 18/05/2023

Última actualización: 6/6/2023

Descripción

Descripción Gravedad Notas

Actualización del 6/6/2023: Se actualizaron las nuevas versiones de GKE para incluir las versiones más recientes de Ubuntu que tienen el parche CVE-2023-1281 y CVE-2023-1829.

Se descubrieron dos vulnerabilidades nuevas (CVE-2023-1281 y CVE-2023-1829) en el kernel de Linux que pueden llevar a una elevación de privilegios para establecer la raíz en el nodo.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-1281 CVE-2023-1829

GCP-2023-004

Fecha de publicación: 26/04/2023

Descripción

Descripción Gravedad Notas

Dos vulnerabilidades (CVE-2023-1017) y CVE-2023-1018) se descubrieron en el Módulo de plataforma segura (TPM) 2.0.

Las vulnerabilidades podrían haber permitido que un atacante sofisticado de 2 bytes fuera de los límites de lectura y escritura en determinados VMs.

Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Compute Engine.

 Media

GCP-2023-003

Fecha de publicación: 11/04/2023

Última actualización: 21/12/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Se descubrieron dos vulnerabilidades nuevas en el kernel de Linux, CVE-2023-0240 y CVE-2023-23586, que podrían permitir que un usuario sin privilegios escale privilegios.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2023-0240, CVE-2023-23586

GCP-2023-002

Descripción

Descripción Gravedad Notas

Las siguientes CVE exponen Cloud Service Mesh a vulnerabilidades explotables:

  • CVE-2023-27496: Si Envoy se ejecuta con el filtro OAuth habilitado expuesto, un agente malicioso podría crear una solicitud que provocaría la denegación del servicio al bloquear a Envoy.
  • CVE-2023-27488: El atacante puede usar esta vulnerabilidad para evitar las verificaciones de autenticación cuando se usa ext_authz.
  • CVE-2023-27493: La configuración de Envoy también debe incluir una opción para agregar encabezados de solicitud que se generaron usando entradas de la solicitud, como el SAN de certificado de intercambio de tráfico.
  • CVE-2023-27492: los atacantes pueden enviar cuerpos de solicitud grandes para rutas que tienen habilitado el filtro Lua y desencadenan fallas.
  • CVE-2023-27491: los atacantes pueden enviar solicitudes HTTP/2 o HTTP/3 diseñadas específicamente para activar errores de análisis en el servicio ascendente HTTP/1.
  • CVE-2023-27487: El encabezado "x-envoy-original-path" debe ser un encabezado interno, pero Envoy no lo quita de la solicitud al comienzo del procesamiento de la solicitud cuando se envía desde un cliente que no es de confianza.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh.

Alta

GCP-2023-001

Fecha de publicación: 1/3/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Se descubrió una vulnerabilidad nueva (CVE-2022-4696) en el kernel de Linux que puede provocar a una elevación de privilegios en el nodo.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta CVE-2022-4696

GCP-2022-026

Fecha de publicación: 11/01/2023

Descripción

Descripción Gravedad Notas

Se detectaron dos nuevas vulnerabilidades (CVE-2022-3786 y CVE-2022-3602) en OpenSSL v3.0.6 que podrían causar fallas.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Media

GCP-2022-025

Fecha de publicación: 21/12/2022
Última actualización: 19/01/2023, 21/12/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 19-01-2023: Se agregó información que La versión 1.21.14-gke.14100 de GKE está disponible.

Se detectaron dos nuevas vulnerabilidades (CVE-2022-3786 y CVE-2022-3602) en OpenSSL v3.0.6 que podrían causar fallas.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Media

GCP-2022-024

Fecha de publicación: 9 de noviembre de 2022

Última actualización: 19/01/2023

Descripción

Descripción Gravedad Notas

Actualización del 19-01-2023: Se agregó información que La versión 1.21.14-gke.14100 de GKE está disponible.

Actualización del 16/12/2022: Se agregaron versiones de parche para GKE y GKE en VMware.

Se descubrieron dos vulnerabilidades nuevas (CVE-2022-2585 y CVE-2022-2588) en el kernel de Linux que pueden provocar una ruptura completa del contenedor para obtener la raíz en el nodo.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

 Alta

GCP-2022-023

Fecha de publicación: 4 de noviembre de 2022

Descripción

Descripción Gravedad Notas

Se descubrió una vulnerabilidad de seguridad, CVE-2022-39278, Istio, que se usa en Cloud Service Mesh y permite que una solicitud que el atacante choque el plano de control.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

Alta CVE-2022-39278

GCP-2022-022

Fecha de publicación: 28 de octubre de 2022

Última actualización: 14/12/2022

Descripción

Descripción Gravedad Notas

Actualización del 14/12/2022: Se agregaron versiones de parche para GKE y GKE en VMware.

Se descubrió una nueva vulnerabilidad en los sistemas kernel que podría permitir que un usuario sin privilegios derive al sistema de ejecución.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

Alta CVE-2022-20409

GCP-2022-021

Fecha de publicación: 27/10/2022

Última actualización: 19/01/2023, 21/12/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 19-01-2023: Se agregó información que La versión 1.21.14-gke.14100 de GKE está disponible.

Actualización del 15-12-2022: Se actualizó la información de esa versión. La versión 1.21.14-gke.9400 de Google Kubernetes Engine está pendiente del lanzamiento y es posible que se sustituido por un número de versión más alto.

Actualización del 22/11/2022: Se agregaron versiones de parche para GKE en VMware, GKE en AWS y GKE en Azure.

Se descubrió una nueva vulnerabilidad en el kernel de Linux, CVE-2022-3176, que puede provocar a la elevación de privilegios local. Esta vulnerabilidad permite que un usuario sin privilegios logre del escape del contenedor completo para obtener permisos de administrador en el nodo.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

Alta CVE-2022-3176

GCP-2022-020

Fecha de publicación: 5 de octubre de 2022

Última actualización: 12/10/2022

Descripción

Descripción Gravedad Notas

El plano de control de Istio istiod es vulnerable a un error de procesamiento de la solicitud, lo que permite que un atacante malicioso envíe una mensaje especialmente diseñado que provoca que el plano de control falle Cuando el webhook de validación de un clúster se expone de forma pública Esta se entrega a través del puerto TLS 15017, pero no requiere la autenticación por parte del atacante.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh.

 Alta CVE-2022-39278

GCP-2022-019

Fecha de publicación: 22/09/2022

Descripción

Descripción Gravedad Notas

Una vulnerabilidad de análisis de mensajes y administración de memoria en Las implementaciones de C++ y Python de ProtocolBuffer pueden activar una salida de memoria (OOM) cuando se procesa un mensaje especialmente elaborado. Esta podría dar lugar a una denegación del servicio (DoS) en los servicios con el bibliotecas.

¿Qué debo hacer?

Asegúrate de usar las versiones más recientes del software que se indica a continuación paquetes:

  • protobuf-cpp (3.18.3, 3.19.5, 3.20.2 y 3.21.6)
  • protobuf-python (3.18.3, 3.19.5, 3.20.2 y 4.21.6)

¿Qué vulnerabilidades trata este parche?

Este parche mitiga la siguiente vulnerabilidad:

Un mensaje pequeño especialmente construido que provoca que el servicio en ejecución para asignar grandes cantidades de RAM. El tamaño pequeño de la solicitud implica que es fácil aprovechar la vulnerabilidad y el agotamiento de Google Cloud. Sistemas de C++ y Python que consumen protobufs no confiables serían vulnerables a los ataques DoS si contienen un MessageSet en su solicitud de RPC.

Media CVE-2022-1941

GCP-2022-018

Fecha de publicación: 1 de agosto de 2022

Última actualización: 14/09/2022, 21/12/2023

Descripción

Descripción Gravedad Notas

Actualización del 21/12/2023: Se debe aclarar que GKE. Los clústeres de Autopilot en la configuración predeterminada no son afectadas.

Actualización del 14/09/2022: Se agregaron versiones de parche para GKE en VMware, GKE en AWS y GKE en Azure.

Se descubrió una nueva vulnerabilidad (CVE-2022-2327) en el Kernel de Linux que puede conducir a la elevación de privilegios local Esta permite que un usuario sin privilegios logre una carga un ajuste a la raíz en el nodo.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

Alta CVE-2022-2327

GCP-2022-017

Fecha de publicación: 29 de junio de 2022
Última actualización: 22/11/2022

Descripción

Descripción Gravedad Notas

Actualización del 22/11/2022: Las cargas de trabajo que usan GKE Sandbox no se ven afectadas por estas vulnerabilidades.

Actualización del 21/07/2022: Información adicional sobre GKE en VMware.

Se descubrió una vulnerabilidad nueva (CVE-2022-1786) en las versiones 5.10 y 5.11 del kernel de Linux. Esta vulnerabilidad permite que un usuario sin privilegios con acceso local al clúster logre un desglose completo de los contenedores hasta la raíz en el nodo. Solo los clústeres que ejecutan Container-Optimized OS se ven afectados. Las versiones de GKE Ubuntu usan la versión 5.4 o 5.15 del kernel y no se ven afectadas.

Para obtener instrucciones y más detalles, consulta lo siguiente:

 Alta CVE-2022-1786

GCP-2022-016

Fecha de publicación: 23/06/2022
Última actualización: 22/11/2022

Descripción

Descripción Gravedad Notas

Actualización del 22/11/2022: Los clústeres de Autopilot no se ven afectados por CVE-2022-29581, pero son vulnerables a CVE-2022-29582 y CVE-2022-1116.

Tres nuevas vulnerabilidades de corrupción de memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116) se descubrieron en el kernel de Linux. Estas vulnerabilidades permiten que un usuario sin privilegios acceso local al clúster para realizar un desglose completo del contenedor para la raíz en el nodo. Todos los clústeres de Linux (Container-Optimized OS y Ubuntu) se ven afectadas.

Para obtener instrucciones y más detalles, consulta los siguientes boletines:

 Alta

GCP-2022-015

Fecha de publicación: 9 de junio de 2022
Última actualización: 10/06/2022

Descripción

Descripción Gravedad Notas

Actualización del 10/06/2022: Las versiones de Cloud Service Mesh se se actualicen. Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh.

Las siguientes CVE de Envoy e Istio exponen Cloud Service Mesh e Istio en GKE a vulnerabilidades explotables de forma remota:

  • CVE-2022-31045: El plano de datos de Istio puede acceder a la memoria de forma insegura cuando están habilitadas las extensiones de intercambio de metadatos y estadísticas.
  • CVE-2022-29225: los datos pueden exceder los límites de búfer intermedios si un atacante malicioso pasa una carga útil muy comprimida (ataque de bomba ZIP).
  • CVE-2021-29224: Posible de referencia de puntero nulo en GrpcHealthCheckerImpl.
  • CVE-2021-29226: El filtro OAuth permite la omisión trivial.
  • CVE-2022-29228: el filtro OAuth puede corromper la memoria (versiones anteriores) o activar ASSERT() (versiones posteriores).
  • CVE-2022-29227: Los redireccionamientos internos fallan en solicitudes con cuerpo o avances.

Para obtener instrucciones y más detalles, consulta la Boletín de seguridad de Cloud Service Mesh.

Crítico

GCP-2022-014

Fecha de publicación: 26 de abril de 2022
Última actualización: 22/11/2022

Descripción

Descripción Gravedad Notas

Actualización del 22/11/2022: Clústeres y cargas de trabajo de GKE Autopilot que se ejecutan en GKE Sandbox no se ve afectado.

Actualización del 12-05-2022: GKE en AWS y Se actualizaron las versiones de GKE en Azure. Para y más detalles, consulta lo siguiente:

Dos vulnerabilidades de seguridad: CVE-2022-1055 y CVE-2022-27666 se descubrieron en el kernel de Linux. Cada uno puede provocar que un atacante local pueda realizar un desglose de contenedores, elevación de privilegios en el host o ambos. Estas vulnerabilidades afectan a todos los sistemas operativos de los nodos de GKE (Container-Optimized OS y Ubuntu). Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Alta CVE-2022-1055
CVE-2022-27666

GCP-2022-013

Fecha de publicación: 11 de abril de 2022
Última actualización: 22/04/2022

Descripción

Descripción Gravedad Notas

Se descubrió una vulnerabilidad de seguridad, CVE-2022-23648, en el control de containerd del recorrido de ruta en la especificación del volumen de imágenes de OCI. Los contenedores que se lanzan mediante la implementación de CRI de containerd con una configuración de imagen creada especialmente podrían obtener acceso completo de lectura a directorios y archivos arbitrarios en el host. Esta vulnerabilidad puede omitir cualquier aplicación basada en políticas en la configuración de contenedores (incluida una política de seguridad de Pods de Kubernetes).

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Media CVE-2022-23648

GCP-2022-012

Fecha de publicación: 7 de abril de 2022
Última actualización: 22/11/2022

Descripción

Descripción Gravedad Notas

Actualización del 22/11/2022: En los clústeres de GKE en ambos modos, Standard y Autopilot, las cargas de trabajo que usan GKE Sandbox no se ven afectadas.

Se descubrió una vulnerabilidad de seguridad, CVE-2022-0847, en la versión de kernel 5.8 de Linux y versiones posteriores que pueden aumentar los privilegios del contenedor a raíz. Esta vulnerabilidad afecta los siguientes productos:

  • Versiones 1.22 y posteriores del grupo de nodos de GKE que usan imágenes de Container-Optimized OS (Container-Optimized OS 93 y versiones posteriores)
  • GKE en VMware v1.10 para imágenes de Container-Optimized OS
  • GKE on AWS v1.21 y GKE on AWS (generación anterior) v1.19, v1.20 y v1.21, que usan Ubuntu
  • Clústeres administrados de GKE en Azure v1.21 que usan Ubuntu

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Alta CVE-2022-0847

GCP-2022-011

Fecha de publicación: 22 de marzo de 2022
Última actualización: 11-08-2022

Descripción

Descripción Gravedad

Actualización 11-08-2022: Se agregó más información sobre el Configuración de varios subprocesos simultáneos (SMT) SMT estaba destinado a estar inhabilitada, pero estaba habilitada en las versiones indicadas.

Si seleccionas manualmente SMT habilitado para un grupo de nodos de zona de pruebas, SMT permanecerá habilitado de forma manual a pesar de este problema.

Hay una configuración incorrecta con los multisubprocesos simultáneos (SMT) simultáneos, también conocido como hipersubprocesos, en imágenes de GKE Sandbox. La configuración incorrecta deja a los nodos potencialmente expuestos a ataques de canal lateral, como el muestreo de datos de microarquitectura (MDS) (para obtener más contexto, consulta la documentación de GKE Sandbox). No recomendamos usar las siguientes versiones afectadas:

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE.

 Media

GCP-2022-010

Descripción

Descripción Gravedad Notas

La siguiente CVE de Istio expone Cloud Service Mesh a un vulnerabilidad explotable:

  • CVE-2022-24726: El plano de control de Istio, “istiod”, es vulnerable. a un error de procesamiento de una solicitud, lo que permite que un atacante malicioso envía un mensaje especialmente diseñado que da como resultado el plano de control La falla cuando se expone el webhook de validación de un clúster públicamente. Este extremo se entrega a través del puerto TLS 15017, pero no requieren autenticación por parte del atacante.

Para obtener instrucciones y más detalles, consulta el siguiente boletín de seguridad:

Alta

GCP-2022-009

Fecha de publicación: 1 de marzo de 2022

Descripción

Descripción Gravedad

Algunas rutas inesperadas para acceder a la VM del nodo en los clústeres de GKE Autopilot podrían haberse usado a fin de escalar privilegios en el clúster. Estos problemas se solucionaron y no se requiere ninguna otra acción. Las correcciones abordan problemas informados a través de nuestro Programa de recompensas por detección de vulnerabilidades.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE.

 Low (Baja)

GCP-2022-008

Fecha de publicación: 23/02/2022
Actualización: 28/04/2022

Descripción

Descripción Gravedad Notas

Actualización del 28/04/2022: Se agregaron versiones de GKE en VMware que corrigen estas fallas. vulnerabilidades. Para obtener más información, consulta la Boletín de seguridad de GKE en VMware.

Hace poco, se descubrió un conjunto de vulnerabilidades en el proyecto Envoy. Todas los problemas que se indican a continuación se corrigieron en la versión 1.21.1 de Envoy.
  • CVE-2022-23606: Cuando se borra un clúster mediante Cluster Discovery Service (CDS), todo está inactivo las conexiones establecidas a los extremos en ese clúster se desconectan. R recursividad se introdujo erróneamente en la versión 1.19 de Envoy al procedimiento de desconectar las conexiones inactivas que pueden provocar el agotamiento de la pila finalización anormal del proceso cuando un clúster tiene una gran cantidad de instancias conexiones de red.
  • CVE-2022-21655: El código de redireccionamiento interno de Envoy supone que existe una entrada de ruta. Cuando un el redireccionamiento interno se hace a una ruta que tiene una entrada de respuesta directa entrada de ruta, provoca la desreferencia de un puntero nulo y falla.
  • CVE-2021-43826: Cuando Envoy está configurado para usar tcp_proxy, que utiliza túneles ascendentes (a través de HTTP) y la finalización de TLS downstream, Envoy fallará si el cliente downstream se desconecta durante el protocolo de enlace TLS, mientras que Todavía se está estableciendo la transmisión HTTP. La desconexión descendente puede ser se inician el cliente o el servidor. El cliente se puede desconectar para cualquier y por una buena razón. El servidor podría desconectarse si, por ejemplo, no tiene cifrados de TLS o Versiones del protocolo TLS compatibles con el cliente. Es posible activar esta falla en otras configuraciones de downstream.
  • CVE-2021-43825: El envío de una respuesta generada localmente debe detener el procesamiento posterior de los datos de solicitudes o respuestas. Envoy realiza un seguimiento de la cantidad de solicitudes almacenadas en búfer datos de respuesta y anula la solicitud si la cantidad de datos almacenados en búfer supera el límite enviando respuestas 413 o 500. Sin embargo, cuando se genera de forma local debido al desbordamiento del búfer interno mientras la respuesta se que la cadena de filtro procesa, es posible que la operación no se anule correctamente y generan acceso a un bloque de memoria liberado.
  • CVE-2021-43824: Envoy falla cuando se usa el filtro de JWT con una “safe_regex” regla de coincidencia y una solicitud especialmente diseñada, como “CONECTAR host:puerto HTTP/1.1”. Cuándo hasta el filtro de JWT, un estado “safe_regex” de destino debe evaluar la ruta de URL pero no hay ninguna aquí, y Envoy falla con fallas aleatorias.
  • CVE-2022-21654: Envoy permitiría de manera incorrecta la reanudación de la sesión de TLS después de la validación de mTLS parámetros de configuración se habían reconfigurado. Si se permitía un certificado de cliente con la configuración anterior, pero no permitida con la nueva, el cliente podría reanudar la sesión de TLS anterior a pesar de que la configuración actual deberías rechazarlo. Se verán afectados los cambios en los siguientes parámetros de configuración:
    • match_subject_alt_names
    • Cambios en la CRL
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657: Envoy no restringe el conjunto de certificados que acepta del par como cliente o servidor TLS, a solo aquellos certificados que contienen los recursos ampliados de KeyUsage necesarios (id-kp-serverAuth y id-kp-clientAuth, respectivamente). Esto significa que un par puede presentar certificado de correo electrónico (p.ej., id-kp-emailProtection), ya sea en forma de hoja o como AC en la cadena, y se aceptará para TLS. Esta es particularmente malo cuando se combina con CVE-2022-21656 , ya que permite un CA de la PKI web que está diseñada solo para usarse con S/MIME y, por lo tanto, está exenta de auditoría o supervisión, para emitir certificados TLS que se aceptarán de Envoy.
  • CVE-2022-21656: La implementación del validador que se usa para implementar el certificado predeterminado las rutinas de validación tienen una “confusión de tipo” error durante el procesamiento subjectAltNames. Este procesamiento permite, por ejemplo, un valor rfc822Name o uniformResourceIndicator se autentique como un nombre de dominio. Esta confusión permite la evasión de nameConstraints, tal como lo procesa el implementación subyacente de OpenSSL/BoringSSL, lo que expone la posibilidad de de servidores arbitrarios.
Para obtener instrucciones detalladas sobre productos específicos, consulta la los siguientes boletines de seguridad:
¿Qué debo hacer?
Los usuarios de Envoy que administran sus propios Envoy deben asegurarse de usar la versión 1.21.1 de Envoy. Los usuarios de Envoy que administran sus propios Envoy compilan los objetos binarios a partir de una fuente como GitHub y los implementan.

Los usuarios que ejecutan Envoys administrado no deben realizar ninguna acción (Google Cloud proporciona los objetos binarios de Envoy), para los cuales los productos de Google Cloud cambiarán a la versión 1.21.1. 		Alta CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654
CVE-2022-21657
CVE-2022-21656

GCP-2022-007

Fecha de publicación: 22/02/2022

Descripción

Descripción Gravedad Notas

Las siguientes CVE de Envoy e Istio exponen Cloud Service Mesh y Istio en GKE para aprovechar las vulnerabilidades de forma remota:

  • CVE-2022-23635: Falla de Istiod al recibir solicitudes con un encabezado authorization especialmente elaborado.
  • CVE-2021-43824: Posible desreferencia de puntero nulo cuando se usa JWT filtro safe_regex coincidencia
  • CVE-2021-43825: uso después de la liberación cuando aumentan los filtros de respuesta de respuesta ante incidentes, y el aumento de los datos supera los límites del búfer downstream.
  • CVE-2021-43826: usar después de la liberación cuando se usa la tunelización de TCP a través de HTTP, si desconexiones descendentes durante el establecimiento de la conexión ascendente.
  • CVE-2022-21654: el control de configuración incorrecto permite mTLS reutilización de la sesión sin una nueva validación tras la configuración de validación cambiaron.
  • CVE-2022-21655: manejo incorrecto de redireccionamientos internos a las rutas con una entrada de respuesta directa.
  • CVE-2022-23606: agotamiento de la pila cuando se borra un clúster mediante Servicio de descubrimiento de clústeres.

Para obtener instrucciones y más detalles, consulta la siguiente documentación boletines:

Alta

GCP-2022-006

Fecha de publicación: 14 de febrero de 2022
Última actualización: 16-05-2022

Descripción

Descripción Gravedad Notas

Actualización del 16/05/2022: Se agregó la versión 1.19.16-gke.7800 de GKE o una posterior a la lista de versiones que tienen código para corregir esta vulnerabilidad. Para obtener más información, consulta el boletín de seguridad de GKE.

Actualización del 12-05-2022: GKE, GKE en VMware, GKE en AWS y Se actualizaron las versiones de GKE en Azure. Para y más detalles, consulta lo siguiente:

Se detectó una vulnerabilidad de seguridad, CVE-2022-0492, en la función cgroup_release_agent_write del kernel de Linux. El ataque usa espacios de nombres de usuarios sin privilegios y, en determinadas circunstancias, se puede aprovechar esta vulnerabilidad para la interrupción del contenedor.

 Low (Baja)

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

GCP-2022-005

Fecha de publicación: 11 de febrero de 2022
Última actualización: 15-02-2022

Descripción

Descripción Gravedad Notas

Se detectó una vulnerabilidad de seguridad, CVE-2021-43527, en cualquier objeto binario que se vincula con las versiones vulnerables de libnss3 que se encuentran en las versiones de NSS (Servicios de Seguridad de Red) anteriores a la versión 3.73 o 3.68.1. Las aplicaciones que usan NSS para validación de certificados u otra función de CRL, OCSP TLS o X.509 pueden verse afectadas, según cómo se use o configure NSS.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

 Media CVE-2021-43527

GCP-2022-004

Fecha de publicación: 4 de febrero de 2022

Descripción

Descripción Gravedad Notas

Se detectó una vulnerabilidad de seguridad, CVE-2021-4034, en pkexec, un componente del paquete del kit de políticas de Linux (polkit) que permite que un usuario autenticado realice un ataque de elevación de privilegios. Por lo general, PolicyKit solo se usa en sistemas de escritorio Linux para permitir que los usuarios no raíz realicen acciones, como reiniciar el sistema, instalar paquetes, reiniciar servicios, etc., según lo que estipule una política.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

 Ninguno CVE-2021-4034

GCP-2022-002

Fecha de publicación: 1 de febrero de 2022
Última actualización: 25/02/2022

Descripción

Descripción Gravedad Notas

Actualización del 25-02-2022: El servicio de GKE versiones actualizadas. Para y más detalles, consulta lo siguiente:

Actualización del 23-02-2022: Las instancias de GKE y Se actualizaron las versiones de GKE alojadas en VMware. Para y más detalles, consulta lo siguiente:

Actualización del 04-02-2022: La fecha de inicio del lanzamiento de las versiones de parche de GKE fue el 2 de febrero.

Tres vulnerabilidades de seguridad, CVE-2021-4154, CVE-2021-22600 y CVE-2022-0185, se descubrieron en el kernel de Linux, cada una de las cuales puede generar una fuga del contenedor, la elevación de privilegios en el host o ambas. Estas vulnerabilidades afectan a todos los sistemas operativos de los nodos (COS y Ubuntu) en GKE, GKE en VMware, GKE en AWS (generación actual y anterior) y GKE en Azure. Los Pods que usan GKE Sandbox no son vulnerables a estas vulnerabilidades. Consulta las notas de la versión de COS para obtener más información.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

 Alta

GCP-2022-001

Fecha de publicación: 6 de enero de 2022

Descripción

Descripción Gravedad Notas

Un posible problema de denegación del servicio en protobuf-java ocurrió descubiertas en el procedimiento de análisis de datos binarios.

¿Qué debo hacer?

Asegúrate de usar las versiones más recientes del software que se indica a continuación paquetes:

  • protobuf-java (3.16.1, 3.18.2 y 3.19.2)
  • protobuf-kotlin (3.18.2 y 3.19.2)
  • google-protobuf [JRuby gem] (3.19.2)

Protobuf “javalite” los usuarios (por lo general, Android) no se ven afectados.

¿Qué vulnerabilidades corrige este parche?

Este parche mitiga la siguiente vulnerabilidad:

Una debilidad de implementación en cómo se analizan los campos desconocidos en Java. R una carga útil maliciosa pequeña (~800 KB) puede ocupar el analizador durante varios minutos creando grandes cantidades de objetos de corta duración que provocan se pausa la recolección repetida de elementos no utilizados.

 Alta CVE-2021-22569

GCP-2021-024

Publicada: 21-10-2021

Descripción

Descripción Gravedad Notas

Se descubrió un problema de seguridad en el SDK ingress-nginx, CVE-2021-25742 Los fragmentos personalizados de Ingress-nginx permiten la recuperación de ingress-nginx tokens y secretos de la cuenta de servicio en todos los espacios de nombres.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

Ninguno CVE-2021-25742

GCP-2021-019

Publicada: 29-09-2021

Descripción

Descripción Gravedad Notas

Hay un problema conocido en el que la actualización de un recurso BackendConfig con la API de v1beta1 quita una política de seguridad activa de Google Cloud Armor de su servicio.

Para obtener instrucciones y más detalles, consulta la documentación de GKE boletín de seguridad.

 Baja

GCP-2021-022

Publicada: 22-09-2021

Descripción

Descripción Gravedad Notas

Se descubrió una vulnerabilidad en GKE Enterprise Identity Service (AIS) de las versiones 1.8 y 1.8.1 de GKE en VMware, en las que un clave inicial que se usa en la generación de claves es predecible. Con esta vulnerabilidad, un usuario autenticado podría agregar reclamaciones arbitrarias y escalar privilegios de forma indefinida.

Para obtener instrucciones y más detalles, consulta GKE en VMware boletín de seguridad.

 Alta

GCP-2021-021

Publicada: 22-09-2021

Descripción

Descripción Gravedad Notas

Se detectó una vulnerabilidad de seguridad, CVE-2020-8561, en Kubernetes, en la que se pueden realizar determinados webhooks para redireccionar las solicitudes kube-apisever a las redes privadas de ese servidor de la API.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

 Media CVE-2020-8561

GCP-2021-023

Fecha de publicación: 21 de septiembre de 2021

Descripción

Descripción Gravedad Notas

De acuerdo con el aviso de seguridad de VMware VMSA-2021-0020, VMware recibió informes de varias vulnerabilidades en vCenter. VMware hizo actualizaciones disponibles para corregir estas vulnerabilidades en los productos afectados de VMware.

Ya aplicamos los parches que proporciona VMware a los Pila de vSphere con Google Cloud VMware Engine según la seguridad de VMware de seguridad. Esta actualización aborda las vulnerabilidades de seguridad descritas en CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 y CVE-2021-22010: Se abordarán otros problemas de seguridad no críticos en la próxima actualización de la pila de VMware (según la notificación previa que se envió en julio, se proporcionarán más detalles pronto en el cronograma específico de la actualización).

El impacto de VMware Engine

Según nuestras investigaciones, no se descubrió que los clientes se vieran afectados.

¿Qué debo hacer?

Debido a que los clústeres de VMware Engine no se ven afectados por esta vulnerabilidad, no es necesario que realices ninguna otra acción.

 Crítico

GCP-2021-020

Publicada: 17-09-2021

Descripción

Descripción Gravedad Notas

Es posible que algunos balanceadores de cargas de Google Cloud que se enrutan a un servicio de backend habilitado para Identity-Aware Proxy (IAP) hayan sido vulnerables a un tercero no confiable en condiciones limitadas. Esto soluciona un problema que se informó a través de nuestro Programa de recompensas por detección de vulnerabilidades.

Las condiciones eran que los servidores:
  • ¿Eran balanceadores de cargas HTTP(S) y
  • Usaste un backend predeterminado o un backend que tenía una regla comodín de asignación de host (es decir, host="*")

Además, un usuario de tu organización debe haber hecho clic en un vínculo creado de forma específica y enviado por un tercero que no es de confianza.

Este problema ya se resolvió. Desde el 17 de septiembre de 2021, IAP se actualizó para emitir cookies solo a hosts autorizados. Un host se considera autorizado si coincide con al menos un nombre alternativo de asunto (SAN) en uno de los certificados instalados en tus balanceadores de cargas.

Qué hacer

Es posible que algunos usuarios experimenten una respuesta HTTP 401 No autorizado con un código de error de IAP 52 cuando intenten acceder a aplicaciones o servicios. Este código de error significa que el cliente envió un encabezado Host que no coincide con ningún nombre alternativo del sujeto asociado con los certificados SSL del balanceador de cargas. El administrador del balanceador de cargas debe actualizar el certificado SSL para asegurarse de que la lista Subject Alternative Name (SAN) contenga todos los nombres de host a través de los cuales los usuarios acceden a las apps o servicios protegidos con IAP. Obtén más información sobre los códigos de error de IAP.

Alto

GCP-2021-018

Fecha de publicación: 15/09/2021
Última actualización: 20/09/2021

Descripción

Descripción Gravedad Notas

Se descubrió un problema de seguridad en Kubernetes, CVE-2021-25741, en el que el usuario puede crear un contenedor con activaciones de volumen de ruta secundaria para acceder a archivos y directorios fuera del volumen, incluido en el sistema de archivos del host.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

 Alta CVE-2021-25741

GCP-2021-017

Fecha de publicación: 01/09/2021
Última actualización: 23/09/2023

Descripción

Descripción Gravedad Notas

Actualización del 23/09/2021: Contenedores que se ejecutan dentro de GKE Sandbox no se ven afectadas por esta vulnerabilidad por ataques que se originan en el contenedor.

Dos vulnerabilidades de seguridad, CVE-2021-33909 y CVE-2021-33910 se detectadas en el kernel de Linux que pueden provocar una falla del SO o elevación a la raíz por parte de un usuario sin privilegios. Esta vulnerabilidad afecta todos los sistemas operativos de nodos de GKE (COS y Ubuntu).

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Alta CVE-2021-33909, CVE-2021-33910

GCP-2021-016

Publicada: 24/08/2021

Descripción

Descripción Gravedad Notas

Las siguientes CVE de Envoy e Istio exponen Cloud Service Mesh e Istio en GKE a vulnerabilidades explotables de forma remota:

  • CVE-2021-39156: Las solicitudes HTTP con un fragmento (una sección al final de un URI que comienza con un carácter #) en la ruta del URI podrían omitir las políticas de autorización basadas en la ruta del URI de Istio.
  • CVE-2021-39155: Es posible que las solicitudes HTTP omitan una política de autorización de Istio cuando usen reglas basadas en hosts o notHosts.
  • CVE-2021-32781: Afecta a las extensiones decompressor, json-transcoder o grpc-web de Envoy o las extensiones patentadas que modifican y aumentan el tamaño de los cuerpos de solicitud o respuesta. Modifica y aumenta el tamaño del cuerpo en la extensión de Envoy más allá del tamaño del búfer interno podría provocar que Envoy acceda a la memoria desasignada y finalice de forma anormal.
  • CVE-2021-32780: Un servicio upstream no confiable podría hacer que Envoy finalice de forma anormal enviando el marco GOAWAY seguido del marco SETTINGS con el parámetro SETTINGS_MAX_CONCURRENT_STREAMS establecido en 0. (No aplicable a Istio en GKE)
  • CVE-2021-32778: Un cliente de Envoy abre y luego restablece una gran cantidad de solicitudes HTTP/2 puede llevar a un consumo de CPU excesivo. (No aplicable a Istio en GKE)
  • CVE-2021-32777: Las solicitudes HTTP con encabezados de varios valores podrían realizar una verificación incompleta de la política de autorización cuando se usa la extensión ext_authz.

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Alto

GCP-2021-015

Fecha de publicación: 13/07/2021
Última actualización: 15/07/2021

Descripción

Descripción Gravedad Notas

Se descubrió una vulnerabilidad de seguridad nueva, CVE-2021-22555, en la que un actor malicioso con privilegios de CAP_NET_ADMIN puede causar una interrupción del contenedor en la raíz del host. Esta vulnerabilidad afecta a todos los clústeres de GKE GKE alojado en VMware ejecuta por Linux 2.6.19 o una versión posterior.

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Alta CVE-2021-22555

GCP-2021-014

Publicada: 05/07/2021

Descripción

Descripción Gravedad Notas

Microsoft publicó un boletín de seguridad sobre una vulnerabilidad de ejecución de código remoto (RCE), CVE-2021-34527, que afecta la cola de impresión en los servidores de Windows. El CERT Coordination Center (CERT/CC) publicó una nota de actualización sobre una vulnerabilidad relacionada, denominada "PrintNightmare", que también afecta las colas de impresión de Windows: PrintNightmare, Critical Windows Print Spooler Vulnerability.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE.

Alto CVE-2021-34527

GCP-2021-012

Fecha de publicación: 24/06/2021
Última actualización: 09/07/2021

Descripción

Descripción Gravedad Notas

Recientemente, el proyecto de Istio anunciaron una vulnerabilidad de seguridad en la que las credenciales especificadas en el archivo Se puede acceder al campo credentialsName de DestinationRule desde diferentes los espacios de nombres.

Para obtener instrucciones específicas de los productos y más detalles, consulta los siguientes artículos:

 Alta CVE-2021-34824

GCP-2021-011

Fecha de publicación: 04/06/2021
Última actualización: 19/10/2021

Descripción

Descripción Gravedad Notas

Actualización de 19/10/2021:

Para obtener instrucciones y más consulta los siguientes boletines de seguridad:

Hace poco, la comunidad de seguridad divulgó una nueva vulnerabilidad de seguridad (CVE-2021-30465) que se encontró en runc y que tiene el potencial de permitir el acceso completo al sistema de archivos de un nodo.

En el caso de GKE, debido a que aprovechar esta vulnerabilidad requiere la capacidad de crear pods, calificamos la gravedad como MEDIA.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de GKE.

Medio CVE-2021-30465

GCP-2021-010

Fecha de publicación: 25 de mayo de 2021

Descripción

Descripción Gravedad Notas

Según el aviso de seguridad de VMware VMSA-2021-0010, la ejecución remota de código y las vulnerabilidades de omisión de autenticación en el cliente de vSphere (HTML5) se informaron de forma privada a VMware. VMware hizo actualizaciones disponibles para corregir estas vulnerabilidades en los productos afectados de VMware.

Aplicamos los parches proporcionados por VMware para la pila de vSphere. según el aviso de seguridad de VMware. Esta actualización aborda los problemas de seguridad vulnerabilidades descritas en CVE-2021-21985 y CVE-2021-21986. El de versiones de imagen que se ejecutan en tu VMware Engine privado no reflejan ningún cambio en este momento para indicar que los parches se aplicó. Ten la certeza de que se implementaron los parches adecuados y tu entorno está protegido contra estas vulnerabilidades.

El impacto de VMware Engine

Según nuestras investigaciones, no se descubrió que los clientes se vieran afectados.

¿Qué debo hacer?

Debido a que los clústeres de VMware Engine no se ven afectados por esto vulnerabilidad, no es necesario que realices ninguna otra acción.

 Crítico

GCP-2021-008

Publicada: 17/05/2021

Descripción

Descripción Gravedad Notas

Istio contiene una vulnerabilidad que se puede aprovechar de forma remota, en la que un cliente externo puede acceder a servicios inesperados en el clúster y, así, omitir las verificaciones de autorización cuando una puerta de enlace se configura con la configuración de enrutamiento AUTO_PASSTHROUGH.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh.

Alta

 CVE-2021-31921

GCP-2021-007

Publicada: 17/05/2021

Descripción

Descripción Gravedad Notas

Istio contiene una vulnerabilidad con capacidad de accesibilidad remota en la que una ruta de acceso de HTTP con múltiples barras o caracteres de barra con escape (%2F o %5C) podría omitir una política de autorización de Istio cuando se usan reglas de autorización basadas en la ruta.

Para obtener instrucciones y más detalles, consulta el boletín de seguridad de Cloud Service Mesh.

Alta

 CVE-2021-31920

GCP-2021-006

Publicada: 11/05/2021

Descripción

Descripción Gravedad Notas

Hace poco, el proyecto Istio divulgó una vulnerabilidad de seguridad nueva (CVE-2021-31920) que afecta a Istio.

Istio contiene una vulnerabilidad que se puede exponer de forma remota, en la que una solicitud HTTP con varias barras o caracteres de barra de escape puede omitir la política de autorización de Istio cuando se usan reglas de autorización basadas en rutas.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

Alto

 CVE-2021-31920

GCP-2021-005

Publicada: 11/05/2021

Descripción

Descripción Gravedad Notas

Una vulnerabilidad informada mostró que Envoy no decodifica secuencias de barras %2F y %5C en rutas de URL HTTP en Envoy 1.18.2 y versiones anteriores. Además, algunos servidores de Envoy basados en no habilitan los controles de normalización de ruta de acceso. Un atacante remoto puede crear una ruta de acceso con barras escapadas (por ejemplo, /something%2F..%2Fadmin,) para omitir el control de acceso (por ejemplo, un bloque en /admin). Un servidor de backend podría luego decodificar secuencias de barras y normalizar la ruta de acceso para proporcionar una acceso del atacante más allá del alcance proporcionado por el control de acceso .

¿Qué debo hacer?

Si los servidores de backend tratan/ y %2F o \ y %5C de forma indistinta y se configura una coincidencia de ruta de URL, recomendamos que vuelvas a configurar el servidor de backend para tratar a \y %2F o \ y%5C indistintamente, si es posible.

¿Qué cambios de comportamiento se implementaron?

normalize_path de Envoy y combinar barras adyacentes se les permitió abordar otras vulnerabilidades de confusión de rutas comunes en Productos basados en Envoy.

Alto

 CVE-2021-29492

GCP-2021-004

Fecha de publicación: 6 de mayo de 2021

Descripción

Descripción Gravedad Notas

Recientemente, los proyectos de Istio y Envoy anunciaron varias vulnerabilidades nuevas de seguridad (CVE-2021-28683, CVE-2021-28682 y CVE-2021-29258), que podrían permitir a un atacante bloquear Envoy.

Los clústeres de Google Kubernetes Engine no ejecutan Istio de forma predeterminada y no son vulnerables. Si Istio se instaló en un clúster y se configuró para exponer servicios a Internet, estos pueden ser vulnerables a la denegación del servicio.

Google Distributed Cloud Virtual para Bare Metal y GKE en VMware usan Envoy, de forma predeterminada para Ingress, por lo que los servicios de Ingress pueden ser vulnerables a la denegación del servicio.

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Media

GCP-2021-003

Publicada: 19/04/2021

Descripción

Descripción Gravedad Notas

El proyecto de Kubernetes anunció recientemente una nueva vulnerabilidad de seguridad, CVE-2021-25735, que podría permitir que las actualizaciones del nodo omitan un webhook de admisión y validación.

En una situación en la que un atacante tiene privilegios suficientes y en la que se implementa un webhook de admisión y validación que usa propiedades del objeto Node antiguas (por ejemplo, campos en Node.NodeSpec), el atacante podría actualizar las propiedades de un nodo que podría provocar el compromiso del clúster. Ninguna de las políticas que aplican los controladores de admisión integrados de GKE y Kubernetes se ve afectada, pero recomendamos que los clientes verifiquen cualquier webhook de admisión adicional que hayan instalado.

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Media

CVE-2021-25735

GCP-2021-002

Publicada: 05-03-2021

Descripción

Descripción Gravedad Notas

Según el aviso de seguridad VMSA-2021-0002, VMware recibió informes de varias vulnerabilidades en VMware ESXi y el cliente de vSphere (HTML5). VMware hizo actualizaciones disponibles para corregir estas vulnerabilidades en los productos afectados de VMware.

Aplicamos las soluciones alternativas que se documentan de forma oficial para la pila de vSphere según el aviso de seguridad de VMware. Esta actualización aborda las vulnerabilidades de seguridad que se describen en CVE-2021-21972, CVE-2021-21973 y CVE-2021-21974.

El impacto de VMware Engine

Según nuestras investigaciones, no se descubrió que los clientes se vieran afectados.

¿Qué debo hacer?

Debido a que los clústeres de VMware Engine no se ven afectados por esta vulnerabilidad, no es necesario que realices ninguna otra acción.

 Crítico

GCP-2021-001

Publicada: 28/01/2021

Descripción

Descripción Gravedad Notas

Recientemente, se descubrió una vulnerabilidad en la utilidad sudo de Linux, descrita en CVE-2021-3156, que puede permitir a un atacante con acceso de shell local sin privilegios en un sistema con sudo instalado escalar sus privilegios a la raíz del sistema.

La infraestructura subyacente que ejecuta Compute Engine no se ve afectada debido a esta vulnerabilidad.

Google Kubernetes Engine (GKE), GKE en VMware, GKE en AWS, y Google Distributed Cloud Virtual para clústeres de Bare Metal no se ven afectados por esta vulnerabilidad.

Para obtener instrucciones y más detalles, consulta los siguientes boletines de seguridad:

Ninguna CVE-2021-3156

GCP-2020-015

Fecha de publicación: 7 de diciembre de 2020
Última actualización: 22/12/2020

Descripción

Descripción Gravedad Notas

Última actualización: 22/12/2021 El comando para GKE En la siguiente sección, debes usar gcloud beta en lugar del comando gcloud. 

gcloud container clusters update –no-enable-service-externalips

Actualización: 15-12-2021 Para GKE, la siguiente mitigación ahora es disponibles:
  1. A partir de la versión 1.21 de GKE, los servicios con IPs externas están bloqueados por Un controlador de admisión DenyServiceExternalIPs habilitado de forma predeterminada para clústeres nuevos.
  2. Los clientes que actualizan a la versión 1.21 de GKE pueden bloquear servicios con ExternalIPs con el siguiente comando: 
    gcloud container clusters update –no-enable-service-externalips

Para obtener más información, consulta Endurece la seguridad del clúster.

El proyecto de Kubernetes descubrió recientemente una nueva vulnerabilidad de seguridad, CVE-2020-8554, que puede permitir que un atacante que haya obtenido permisos cree un servicio de Kubernetes de tipo LoadBalancer o ClusterIP para interceptar el tráfico de red que se origina desde otros Pods del clúster. Esta vulnerabilidad por sí sola no otorga permisos a un atacante para crear un servicio de Kubernetes.

Todos los servicios de Google Kubernetes Engine (GKE), GKE en VMware y Esta vulnerabilidad afecta a los clústeres de GKE en AWS.

¿Qué debo hacer?

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

Media

 CVE-2020-8554

GCP-2020-014

Fecha de publicación: 20/10/2020
Última actualización: 20/10/2020

Descripción

Descripción Gravedad Notas

Hace poco, el proyecto de Kubernetes descubrió varios problemas que permiten la exposición de datos secretos cuando las opciones de registro detallado están habilitadas. Estos son los problemas:

  • CVE-2020-8563: Hay pérdidas de secretos en registros de kube-controller-manager del proveedor de vSphere.
  • CVE-2020-8564: Los secretos de archivos de configuración de Docker se filtran cuando el archivo es incorrecto y el nivel de registro >= 4.
  • CVE-2020-8565: Una corrección incompleta para CVE-2019-11250 en Kubernetes permite la pérdida de tokens en registros cuando logLevel >= 9. A este error lo encontró la seguridad de GKE.
  • CVE-2020-8566: Los adminSecrets de Ceph RBD se exponen en registros cuando loglevel >= 4.

¿Qué debo hacer?

No es necesario que realices ninguna otra acción debido a los niveles de registro detallado predeterminados de GKE.

Ninguna

Impacto en Google Cloud

Aquí encontrarás información detallada sobre cada producto.

Producto

Impacto

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) no se ve afectado.

GKE On-Prem

GKE On-Prem no se ve afectado.

GKE en AWS

GKE en AWS no se ve afectado.

GCP-2020-013

Publicada: 29/09/2020

Descripción

Microsoft divulgó la siguiente vulnerabilidad:

Vulnerabilidad

Gravedad

CVE

CVE-2020-1472 — Una vulnerabilidad en Windows Server permite a los atacantes usar el protocolo remoto de Netlogon para ejecutar una aplicación creada especialmente en un dispositivo en la red.

Puntuación base de la NVD: 10 (crítica)

CVE-2020-1472

Para obtener más detalles, consulta la divulgación de Microsoft.

Impacto en Google Cloud

Esta vulnerabilidad no afecta a la infraestructura en la que se alojan los productos de Google y Google Cloud. Aquí encontrarás detalles adicionales sobre cada producto.

Producto

Impacto

Compute Engine

CVE-2020-1472

La mayoría de los clientes no debe realizar ninguna acción adicional.

Los clientes que usan máquinas virtuales de Compute Engine con Windows Server deben asegurarse de que sus instancias se hayan actualizado con el parche más reciente de Windows o usen imágenes de Windows Server publicadas después del 17 de agosto de 2020 (v20200813 o versiones posteriores).

Google Kubernetes Engine

CVE-2020-1472

La mayoría de los clientes no debe realizar ninguna acción adicional.

Cualquier cliente que aloje controladores de dominio en los nodos del Windows Server de GKE debe asegurarse de que los nodos y las cargas de trabajo en contenedores que se ejecutan en esos nodos tengan la imagen de nodo más reciente de Windows cuando esté disponible. En octubre se anunciará una versión nueva de imagen de nodo en las notas de la versión de GKE.

Servicio administrado para Microsoft Active Directory

CVE-2020-1472

La mayoría de los clientes no debe realizar ninguna acción adicional.

El parche de agosto que lanzó Microsoft y que incluye correcciones en el protocolo de NetLogon se aplicó a todos los controladores de dominio de Microsoft AD administrado. Este parche brinda funcionalidad para la protección contra posibles explotaciones. La aplicación de los parches en el momento oportuno es una de las principales ventajas de usar el servicio administrado para Microsoft Active Directory. Todos los clientes que ejecuten Microsoft Active Directory de forma manual (y no usen el servicio administrado de Google Cloud) deben asegurarse de que sus instancias tengan el parche más reciente de Windows o usen las imágenes de Windows Server.

Google Workspace

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Entorno estándar de App Engine

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Entorno flexible de App Engine

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Run

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Functions

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Composer

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Dataflow

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Dataproc

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud SQL

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

GCP-2020-012

Fecha de publicación: 14/09/2020
Última actualización: 17/09/2020

Descripción

Descripción Gravedad Notas

Hace poco, se descubrió una vulnerabilidad en el kernel de Linux, descrita en CVE-2020-14386, que puede permitir obtener privilegios raíz en el nodo host mediante el escape del contenedor.

Afecta a todos los nodos de GKE. Los Pods que se ejecutan en GKE Sandbox no pueden aprovechar esta vulnerabilidad.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:


¿Qué vulnerabilidad corrige este parche?

Con este parche, se mitiga la siguiente vulnerabilidad:

La vulnerabilidad CVE-2020-14386, que permite contenedores con CAP_NET_RAW
para escribir de 1 a 10 bytes de memoria de kernel y, también, escapar del contenedor y obtener privilegios raíz en el nodo host. Esta vulnerabilidad de seguridad tiene una calificación de gravedad alta.

Alto

CVE-2020-14386

GCP-2020-011

Publicada: 24/07/2020

Descripción

Descripción Gravedad Notas

Se detectó hace poco una vulnerabilidad en las herramientas de redes, CVE-2020-8558, en Kubernetes. A veces, los servicios se comunican con otras aplicaciones que se ejecutan dentro del mismo Pod mediante la interfaz de bucle invertido local (127.0.0.1). Esta vulnerabilidad permite que un atacante con acceso a la red del clúster envíe tráfico a la interfaz de bucle invertido de Pods y nodos adyacentes. Podrían aprovecharse los servicios que dependen de que no se pueda acceder a la interfaz de bucle invertido fuera del Pod.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

Baja (GKE y GKE en AWS),
Media (GKE en VMware)

CVE-2020-8558

GCP-2020-010

Publicada: 27/07/2020

Descripción

Microsoft divulgó la siguiente vulnerabilidad:

Vulnerabilidad

Gravedad

CVE

CVE-2020-1350: Los servidores de Windows que entregan en una capacidad de servidor DNS se pueden aprovechar para ejecutar un código no confiable mediante la cuenta del sistema local.

Puntuación base de la NVD: 10.0 (crítica)

CVE-2020-1350

Para obtener más detalles, consulta la divulgación de Microsoft.

Impacto en Google Cloud

Esta vulnerabilidad no afecta a la infraestructura en la que se alojan los productos de Google y Google Cloud. Aquí encontrarás detalles adicionales sobre cada producto.

Producto

Impacto

Compute Engine

CVE-2020-1350

La mayoría de los clientes no debe realizar ninguna acción adicional.

Los clientes que usan máquinas virtuales de Compute Engine que ejecutan los servidores de Windows en una capacidad de servidor DNS deben asegurarse de que sus instancias tengan el último parche de Windows o usen imágenes de Windows Server proporcionadas desde el 14/7/2020.

Google Kubernetes Engine

CVE-2020-1350

La mayoría de los clientes no debe realizar ninguna acción adicional.

Los clientes que usan GKE con un nodo de Windows Server en una capacidad de servidor DNS deben actualizar de forma manual los nodos y las cargas de trabajo que se ejecutan en esos nodos a una versión de Windows Server que contenga la corrección.

Servicio administrado para Microsoft Active Directory

CVE-2020-1350

La mayoría de los clientes no debe realizar ninguna acción adicional.

Todos los dominios de Microsoft AD administrado se actualizaron automáticamente mediante la imagen con parches. Todos los clientes que ejecuten de forma manual Microsoft Active Directory (y no usen Microsoft AD administrado) deben asegurarse de que sus instancias tengan el parche más reciente de Windows o usar las imágenes de Windows Server que se proporcionan desde el 14 de julio de 2020.

Google Workspace

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Entorno estándar de App Engine

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Entorno flexible de App Engine

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Run

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Functions

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Composer

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Dataflow

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Dataproc

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud SQL

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

GCP-2020-009

Fecha de publicación: 15/07/2020

Descripción

Descripción Gravedad Notas

En la actualidad, se descubrió una vulnerabilidad de elevación de privilegios, CVE-2020-8559, en Kubernetes. Esta vulnerabilidad permite que un atacante que ya haya comprometido un nodo pueda ejecutar un comando en cualquier Pod del clúster. Por lo tanto, existe la posibilidad de que el atacante use el nodo ya comprometido para comprometer otros nodos y poder leer información o causar acciones destructivas.

Ten en cuenta que, para que un atacante pueda aprovechar esta vulnerabilidad, un nodo del clúster ya debe estar comprometido. Esta vulnerabilidad, por sí sola, no comprometerá ningún nodo del clúster.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

Media

CVE-2020-8559

GCP-2020-008

Publicada: 19/06/2020

Descripción

Descripción Gravedad Notas

Descripción

Las VM que tienen el Acceso al SO habilitado pueden ser susceptibles a vulnerabilidades de elevación de privilegios. Estas vulnerabilidades le ofrece a los usuarios a los que se les otorgan permisos de Acceso al SO (pero no a acceso de administrador) la capacidad de escalar el acceso raíz en la VM.

Para obtener instrucciones y más detalles, consulta el Boletín de seguridad de Compute Engine.

 Alto

GCP-2020-007

Publicada: 01/06/2020

Descripción

Descripción Gravedad Notas

Hace poco tiempo, se descubrió en Kubernetes una vulnerabilidad de falsificación de solicitudes del servidor (SSRF), CVE-2020-8555, que permitía a ciertos usuarios autorizados filtrar hasta 500 bytes de información sensible desde la red de host del plano de control. El plano de control de Google Kubernetes Engine (GKE) usa controladores de Kubernetes y, por lo tanto, se ve afectado por esta vulnerabilidad. Te recomendamos actualizar el plano de control a la versión más reciente del parche. No requiere actualizar los nodos.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

Media

CVE-2020-8555

GCP-2020-006

Publicada: 01/06/2020

Descripción

Descripción Gravedad Notas

Kubernetes divulgó una vulnerabilidad que permite que un contenedor con privilegios redireccione el tráfico de nodos a otro contenedor. Debido a este ataque, no se puede leer ni modificar el tráfico de TLS/SSH mutuo, como el que se establece entre el servidor de Kubelet y la API, o el tráfico de aplicaciones que usan mTLS. Todos los nodos de Google Kubernetes Engine (GKE) se ven afectados por esta vulnerabilidad. Te recomendamos que actualices a la última versión del parche.

Para obtener instrucciones y más detalles, consulta los siguientes documentos:

Media

Problema 91507 de Kubernetes

GCP‑2020‑005

Publicada: 07/05/2020

Descripción

Vulnerabilidad

Gravedad

CVE

Hace poco, se descubrió una vulnerabilidad en el kernel de Linux, descrita en CVE-2020-8835, que permite obtener privilegios de administrador en el nodo host mediante un escape de contenedor.

Esta vulnerabilidad afecta a los nodos de Ubuntu de Google Kubernetes Engine (GKE) que ejecutan GKE 1.16 o 1.17, y te recomendamos que actualices a la última versión del parche lo antes posible.

Consulta el boletín de seguridad de GKE para obtener instrucciones y más detalles.

Alto

CVE-2020-8835

GCP-2020-004

Fecha de publicación:31/03/2020
Última actualización:31/03/2020

Descripción

Kubernetes divulgó las siguientes vulnerabilidades:

Vulnerabilidad

Gravedad

CVE

CVE-2019-11254: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta al servidor de API.

Medio

CVE-2019-11254

Consulta el boletín de seguridad de GKE alojado en VMware para obtener instrucciones y más detalles.

GCP‑2020‑003

Fecha de publicación:31/03/2020
Última actualización:31/03/2020

Descripción

Kubernetes divulgó las siguientes vulnerabilidades:

Vulnerabilidad

Gravedad

CVE

CVE-2019-11254: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta al servidor de API.

Medio

CVE-2019-11254

Consulta el boletín de seguridad de GKE para obtener instrucciones y más detalles.

GCP‑2020‑002

Fecha de publicación:23/03/2020
Fecha de actualización:23/03/2020

Descripción

Kubernetes divulgó las siguientes vulnerabilidades:

Vulnerabilidad

Gravedad

CVE

CVE-2020-8551: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta a kubelet.

Medio

CVE-2020-8551

CVE-2020-8552: Esta es una vulnerabilidad de denegación del servicio (DoS) que afecta al servidor de API.

Medio

CVE-2020-8552

Consulta el boletín de seguridad de GKE para obtener instrucciones y más detalles.

GCP-2020-001

Fecha de publicación:21/01/2020
Última actualización:21/01/2020

Descripción

Microsoft divulgó la siguiente vulnerabilidad:

Vulnerabilidad

Gravedad

CVE

CVE‑2020‑0601: Esta vulnerabilidad también se conoce como la vulnerabilidad de falsificación de identidad de la CryptoAPI de Windows. Se puede aprovechar para que archivos ejecutables maliciosos parezcan confiables o para permitir que el atacante realice ataques de intermediario y desencripte información confidencial sobre las conexiones de usuarios al software afectado.

Puntuación base de la NVD: 8.1 (alta)

CVE‑2020‑0601

Para obtener más detalles, consulta la divulgación de Microsoft.

Impacto en Google Cloud

Esta vulnerabilidad no afecta a la infraestructura en la que se alojan los productos de Google y Google Cloud. Aquí encontrarás detalles adicionales sobre cada producto.

Producto

Impacto

Compute Engine

CVE‑2020‑0601

La mayoría de los clientes no debe realizar ninguna acción adicional.

Los clientes que usan máquinas virtuales de Compute Engine con Windows Server deben asegurarse de que sus instancias tengan el parche más reciente de Windows o usar las imágenes de Windows Server que se proporcionan desde el 15 de enero de 2020. Consulta el boletín de seguridad de Compute Engine para obtener más detalles.

Google Kubernetes Engine

CVE‑2020‑0601

La mayoría de los clientes no debe realizar ninguna acción adicional.

A fin de mitigar esta vulnerabilidad, los clientes que usan GKE con nodos de Windows Server deben actualizar los nodos y las cargas de trabajo en contenedores que se ejecutan en esos nodos a las versiones con parches. Consulta el boletín de seguridad de GKE para obtener instrucciones y más detalles.

Servicio administrado para Microsoft Active Directory

CVE‑2020‑0601

La mayoría de los clientes no debe realizar ninguna acción adicional.

Todos los dominios de Microsoft AD administrado se actualizaron automáticamente mediante la imagen con parches. Todos los clientes que ejecuten de forma manual Microsoft Active Directory (y no usen Microsoft AD administrado) deben asegurarse de que sus instancias tengan el parche más reciente de Windows o usar las imágenes de Windows Server que se proporcionan desde el 15 de enero de 2020.

Google Workspace

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Entorno estándar de App Engine

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Entorno flexible de App Engine

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Run

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Functions

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud Composer

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Dataflow

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Dataproc

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

Cloud SQL

Los clientes no deben realizar ninguna acción.

La vulnerabilidad no afecta a este servicio.

GCP-2019-001

Fecha de publicación: 12/11/2019
Última actualización:12/11/2019

Descripción

Intel divulgó las siguientes vulnerabilidades:

Vulnerabilidad

Gravedad

CVE

CVE‑2019‑11135: Esta vulnerabilidad, conocida como anulación asíncrona de TSX (TAA), se puede usar para explotar la ejecución especulativa en una transacción TSX. Esta vulnerabilidad permite que se puedan exponer los datos mediante las mismas estructuras de datos de microarquitectura que presenta el muestreo de datos de microarquitectura (MDS).

Medio

CVE‑2019‑11135

CVE‑2018‑12207: Es una vulnerabilidad de denegación del servicio (DoS) que afecta a los hosts de máquinas virtuales (no a las máquinas huésped). Este problema se conoce como “error de verificación de la máquina en el cambio de tamaño de la página”.

Medio

CVE‑2018‑12207

Para obtener más información, consulta las siguientes divulgaciones de Intel:

Impacto en Google Cloud

La infraestructura en la que se alojan Google Cloud y los productos de Google está protegida contra estas vulnerabilidades. Aquí encontrarás detalles adicionales sobre cada producto.

Producto

Impacto

Compute Engine

CVE‑2019‑11135

La mayoría de los clientes no debe realizar ninguna acción adicional.

Los clientes de N2, C2 o M2 que ejecuten código no confiable en sus servicios multiusuarios alojados en máquinas virtuales de Compute Engine deben detener y, luego, iniciar sus VM para asegurarse de tener las mitigaciones de seguridad más recientes.

CVE‑2018‑12207

Los clientes no deben realizar ninguna acción adicional.

Google Kubernetes Engine

CVE‑2019‑11135

La mayoría de los clientes no debe realizar ninguna acción adicional.

Si usas grupos de nodos con nodos N2, M2 o C2 que ejecutan un código no confiable en sus clústeres de múltiples instancias de GKE, debes reiniciar los nodos. Si quieres reiniciar todos los nodos en un grupo, actualiza el grupo de nodos afectado.

CVE‑2018‑12207

Los clientes no deben realizar ninguna acción adicional.

Entorno estándar de App Engine

No se debe realizar ninguna acción adicional.

Entorno flexible de App Engine

CVE‑2019‑11135

No se debe realizar ninguna acción adicional.

Los clientes deben revisar las prácticas recomendadas de Intel, que se relacionan con el uso compartido a nivel de la aplicación que podría ocurrir entre subprocesos de Hyper‑Threading con una VM de Flex.

CVE‑2018‑12207

No se debe realizar ninguna acción adicional.

Cloud Run

No se debe realizar ninguna acción adicional.

Cloud Functions

No se debe realizar ninguna acción adicional.

Cloud Composer

No se debe realizar ninguna acción adicional.

Dataflow

CVE‑2019‑11135

La mayoría de los clientes no debe realizar ninguna acción adicional.

Los clientes de Dataflow que ejecutan varias cargas de trabajo no confiables en las VM N2, C2 o M2 de Compute Engine mediante Dataflow y teman recibir ataques en las máquinas huésped deberían considerar reiniciar cualquier canalización de transmisión que se ejecute actualmente. De forma opcional, las canalizaciones se pueden cancelar y volver a ejecutar por lotes. No requiere ninguna acción para las canalizaciones que se lancen después de hoy.

CVE‑2018‑12207

Los clientes no deben realizar ninguna acción adicional.

Dataproc

CVE‑2019‑11135

La mayoría de los clientes no debe realizar ninguna acción adicional.

Los clientes de Cloud Dataproc que ejecutan varias cargas de trabajo no confiables en el mismo clúster de Cloud Dataproc que se ejecuta en las VM N2, C2 o M2 de Compute Engine y teman recibir ataques en las máquinas huésped deberían volver a implementar sus clústeres.

CVE‑2018‑12207

Los clientes no deben realizar ninguna acción adicional.

Cloud SQL

No se debe realizar ninguna acción adicional.