Bulletins de sécurité

Les bulletins de sécurité suivants sont liés aux produits Google Cloud.

Utilisez ce flux XML pour vous abonner aux bulletins de sécurité de la présente page. S'abonner

GCP-2021-018

Date de publication:15-09-2021

Description

Description Niveau de gravité Remarques

Un problème de sécurité a été détecté dans Kubernetes, CVE-2021-25741. Un utilisateur peut donc créer un conteneur avec des montages de volume de sous-chemin pour accéder aux fichiers et aux répertoires en dehors du volume, y compris sur l'hôte{101. } du système de fichiers.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

 Élevé CVE-2020-25741

GCP-2021-017

Date de publication:01-09-2021

Description

Description Niveau de gravité Remarques

Deux failles de sécurité, CVE-2021-33909 et CVE-2021-33910 ont été découvertes dans le noyau Linux. Elles peuvent entraîner un plantage du système d'exploitation ou l'élévation du niveau d'accès d'un utilisateur non privilégié. Cette faille affecte tous les systèmes d'exploitation de nœud GKE (COS et Ubuntu).

Pour obtenir des instructions et des informations détaillées, consultez les bulletins de sécurité suivants:

Élevé CVE-2021-33909, CVE-2021-33910

GCP-2021-016

Date de publication:24-08-2021

Description

Description Niveau de gravité Remarques

Les failles CVE Envoy et Istio suivantes exposent Anthos Service Mesh et Istio sur GKE à des failles exploitables à distance:

  • CVE-2021-39156: les requêtes HTTP contenant un fragment (une section à la fin d'un URI commençant par un caractère #) dans le chemin d'URI peuvent contourner les règles d'autorisation basées sur le chemin d'URI d'Istio.
  • CVE-2021-39155: les requêtes HTTP peuvent potentiellement contourner une règle d'autorisation Istio lors de l'utilisation de règles basées sur hosts ou notHosts.
  • CVE-2021-32781: affecte ladecompressor ;json-transcoder ougrpc-web Extensions ou extensions propriétaires modifiant et augmentant la taille des corps de la requête ou de la réponse. Modifier et augmenter la taille du corps dans l'extension Envoy, au-delà de la taille de la mémoire tampon interne, peut entraîner l'accès à la mémoire allouée et l'interruption anormale.
  • CVE-2021-32780: un service en amont non approuvé peut entraîner l'arrêt anormal d'Envoy en envoyant le cadre GOAWAY suivi du cadre SETTINGS avec le paramètre SETTINGS_MAX_CONCURRENT_STREAMS défini sur 0. (Ne s'applique pas à Istio sur GKE.)
  • CVE-2021-32778: l'ouverture d'un client Envoy, puis la réinitialisation d'un grand nombre de requêtes HTTP/2 peuvent entraîner une consommation excessive du processeur. (Ne s'applique pas à Istio sur GKE.)
  • CVE-2021-32777: les requêtes HTTP comportant plusieurs en-têtes de valeur pouvaient effectuer une vérification incomplète des règles d'autorisation lorsque l'extension ext_authz est utilisée.

Pour obtenir des instructions et des informations détaillées, consultez les bulletins de sécurité suivants:

Élevé

GCP-2021-015

Date de publication:13-07-2021
Dernière mise à jour:15-07-2021

Description

Description Niveau de gravité Remarques

Une nouvelle faille de sécurité, CVE-2021-22555, a été détectée dans laquelle un acteur malveillant doté de privilèges CAP_NET_ADMIN peut permettre à l'interruption d'un conteneur de remonter jusqu'à l'accès racine de l'hôte. Cette faille affecte tous les clusters GKE et Anthos Clusters on VMware exécutant Linux 2.6.19 ou version ultérieure.

Pour obtenir des instructions et des informations détaillées, consultez les bulletins de sécurité suivants:

Élevé CVE-2021-22555

GCP-2021-014

Date de publication:05-07-2021

Description

Description Niveau de gravité Remarques

Microsoft a publié un bulletin de sécurité sur la faille d'exécution de code à distance (RCE, Remote Code Execution) CVE-2021-34527, qui affecte le spouleur d'impression sur les serveurs Windows. Le CERT Coordination Center (CERT/CC) a publié une note de mise à jour sur une faille similaire, surnommée "PrintNightmare", qui affecte également les spouleurs d'impression Windows : PrintNightmare, Critical Windows Print Spooler Vulnerability.

Pour obtenir des instructions et plus d'informations, consultez le bulletin de sécurité de GKE.

Élevé CVE-2021-34527

GCP-2021-012

Date de publication:24-06-2021
Dernière mise à jour:09-07-2021

Description

Description Niveau de gravité Remarques

Le projet Istio a récemment annoncé une faille de sécurité dans laquelle les identifiants spécifiés dans les champs "Gateway" et "DestinationRule" credentialName sont accessibles depuis différents espaces de noms.

Pour obtenir des instructions spécifiques aux produits et des informations plus détaillées, consultez les articles suivants:

 Élevé CVE-2019-34824

GCP-2021-011

Date de publication:04-06-2021

Description

Description Niveau de gravité Remarques

La communauté de sécurité a récemment divulgué une nouvelle faille de sécurité (CVE-2021-30465) dans runc. Celle-ci est susceptible d'autoriser l'accès complet à un système de fichiers de nœud. (Installation de Python groupée).

Pour GKE, en raison de la possibilité de créer des pods, nous avons évalué la gravité de cette faille au niveau MEDIUM.

Pour obtenir des instructions et plus d'informations, consultez le bulletin de sécurité de GKE.

Moyen CVE-2019-30465

GCP-2021-010

Date de publication : 2021-05-25

Description

Description Niveau de gravité Remarques

Selon l'avis de sécurité VMware VMSA-2021-0010, les failles liées à l'exécution du code distant et au contournement de l'authentification du client vSphere (HTML5) ont été signalées à VMware de manière privée. VMware a mis à disposition des mises à jour pour corriger ces failles dans les produits VMware concernés.

Nous avons appliqué les correctifs fournis par VMware pour la pile vSphere conformément à l'avis de sécurité VMware. Cette mise à jour résout les failles de sécurité décrites dans les documents CVE-2021-21985 et CVE-2021-21986 Les versions d'image exécutées dans votre cloud privé VMware Engine ne reflètent actuellement aucune modification pour indiquer les correctifs appliqués. Soyez assuré que les correctifs appropriés ont été installés et que votre environnement est protégé contre ces failles.

Impact sur VMware Engine

D'après nos investigations, aucun client n'a été touché.

Que dois-je faire ?

Étant donné que les clusters VMware Engine ne sont pas affectés par cette faille, aucune autre action n'est requise.

 Critique

GCP-2021-008

Date de publication:17-05-2021

Description

Description Niveau de gravité Remarques

Istio contient une faille exploitable à distance où un client externe peut accéder à des services inattendus dans le cluster, en contournant les vérifications d'autorisation, lorsqu'une passerelle est configurée avec la configuration de routage AUTO_PASSTHROUGH.

Pour obtenir des instructions et plus d'informations, consultez le bulletin de sécurité Anthos Service Mesh.

Élevé

 CVE-2019-31921

GCP-2021-007

Date de publication:17-05-2021

Description

Description Niveau de gravité Remarques

Istio présente une faille pouvant être exploitée à distance, où un chemin de requête HTTP avec plusieurs barres obliques ou caractères de barre oblique échappés (%2F ou %5C) peut potentiellement contourner une règle d'autorisation Istio lorsque les règles d'autorisation basées sur le chemin sont applicables. sont utilisés.

Pour obtenir des instructions et plus d'informations, consultez le bulletin de sécurité Anthos Service Mesh.

Élevé

 CVE-2019-31920

GCP-2021-006

Date de publication:11-05-2021

Description

Description Niveau de gravité Remarques

Le projet Istio a récemment divulgué une nouvelle faille de sécurité (CVE-2021-31920) affectant Istio.

Istio présente une faille pouvant être exploitée à distance, dans laquelle une requête HTTP dotée de plusieurs barres obliques ou de barres obliques échappées peut contourner la règle d'autorisation Istio lorsque des règles d'autorisation basées sur le chemin sont utilisées.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Élevé

 CVE-2021-31920

GCP 2021-005

Date de publication:11-05-2021

Description

Description Niveau de gravité Remarques

Une faille signalée a montré qu'Envoy ne décodait pas les séquences de barres obliques %2F et %5C dans les chemins d'URL HTTP dans Envoy 1.18.2 et versions antérieures. En outre, certains produits basés sur Envoy n'activent pas les contrôles de normalisation des chemins. Un pirate informatique distant peut créer un chemin avec des barres obliques échappées (par exemple, /something%2F..%2Fadmin,) pour contourner le contrôle des accès (par exemple, un bloc sur /admin). Un serveur backend peut alors décoder les séquences de barres obliques et normaliser le chemin d'accès pour fournir un accès de pirate informatique au-delà du champ d'application fourni par la stratégie de contrôle d'accès.

Que dois-je faire ?

Si les serveurs backend traitent / et %2F ou \ et %5C de manière interchangeable, et qu'une correspondance basée sur le chemin d'URL est configurée, nous vous recommandons de reconfigurer le serveur backend pour ne pas le traiter{101. } \ et %2F ou \ et %5C, de manière interchangeable, dans la mesure du possible

Quels sont les changements de comportement apportés ?

Les options normal_path et merge slashs d'Envoy ont été activées pour corriger les autres failles des chemins d'accès courants dans les produits basés sur Envoy.

Élevé

 CVE-2019-29492

GCP-2021-004

Date de publication:06-05-2021

Description

Description Niveau de gravité Remarques

Les projets Envoy et Istio ont récemment annoncé plusieurs nouvelles failles de sécurité (CVE-2021-28683, CVE-2021-28682). et CVE-2021-29258), qui pourraient permettre à un pirate informatique de planter Envoy.

Les clusters Google Kubernetes Engine n'exécutent pas Istio par défaut et ne sont pas vulnérables. Si Istio a été installé dans un cluster et configuré pour exposer des services sur Internet, ces services peuvent être vulnérables aux dénis de service.

Les clusters Anthos on bare metal et Anthos sur VMware utilisent Envoy par défaut pour Ingress. Par conséquent, les services Ingress risquent d'être vulnérables aux attaques par déni de service.

Pour obtenir des instructions et des informations détaillées, consultez les bulletins de sécurité suivants:

Moyen

GCP-2021-003

Date de publication:19-04-2021

Description

Description Niveau de gravité Remarques

Le projet Kubernetes a annoncé récemment une nouvelle faille de sécurité, CVE-2021-25735, qui pourrait permettre aux mises à jour de nœuds de contourner un webhook d'admission de validation.

Dans un scénario dans lequel un pirate informatique dispose de privilèges suffisants, et lorsqu'un webhook d'admission de validation est mis en œuvre à l'aide d'anciennes propriétés d'objet Node (par exemple, des champs dans Node.NodeSpec), le pirate a la possibilité de mettre à jour les propriétés d'un nœud, ce qui peut entraîner la compromission d'un cluster. Aucune des stratégies appliquées par GKE et les contrôleurs d'admission intégrés de Kubernetes n'est affectée, mais nous recommandons aux clients de vérifier les webhooks d'admission supplémentaires qu'ils ont installés, le cas échéant.

Pour obtenir des instructions et des informations détaillées, consultez les bulletins de sécurité suivants:

Moyen

CVE-2021-25735

GCP-2021-002

Date de publication : 05/03/2021

Description

Description Niveau de gravité Remarques

Conformément à l'avis de sécurité VMware VMware-SA-2021-0002, VMware a reçu des rapports de plusieurs failles dans VMware ESXi et vSphere Client (HTML5). VMware propose des mises à jour pour corriger ces failles dans les produits VMware concernés.

Nous avons appliqué les solutions de contournement officiellement décrites pour la pile vSphere conformément à l'avis de sécurité de VMware. Cette mise à jour concerne les failles de sécurité décrites dans les documents CVE-2021-21972, CVE-2021-21973 et CVE-2021-21974.

Impact sur VMware Engine

D'après nos investigations, aucun client n'a été touché.

Que dois-je faire ?

Étant donné que les clusters VMware Engine ne sont pas affectés par cette faille, aucune autre action n'est requise.

 Critique

GCP-2021-001

Date de publication:28-01-2021

Description

Description Niveau de gravité Remarques

Une faille a été récemment découverte dans l'utilitaire Linux sudo. Cette faille, décrite dans CVE-2201-3156, peut permettre à un pirate informatique disposant d'un accès non privilégié à une interface système locale sur un système avec sudo installé de remonter jusqu'à l'accès racine du système.

L'infrastructure sous-jacente qui exécute Compute Engine n'est pas affectée par cette faille.

Tous les clusters Google Kubernetes Engine (GKE), les clusters Anthos sur VMware, les clusters Anthos sur AWS et les clusters Anthos sur solution Bare Metal ne sont pas affectés par cette faille.

Pour obtenir des instructions et des informations détaillées, consultez les bulletins de sécurité suivants:

Aucun CVE-2021-3156

GCP-2020-015

Date de publication:07-12-2020

Description

Description Niveau de gravité Remarques

Le projet Kubernetes a récemment découvert une nouvelle faille de sécurité : CVE-2020-8554. Celle-ci peut permettre à un pirate informatique ayant obtenu les autorisations nécessaires pour créer un service Kubernetes de type LoadBalancer ou ClusterIP d'intercepter le trafic réseau provenant d'autres pods du cluster. Cette faille, en elle-même, ne permet pas au pirate informatique de créer un service Kubernetes.

Tous les clusters Google Kubernetes Engine (GKE), Anthos sur VMware et les clusters Anthos sur les clusters AWS sont affectés par cette faille.

Que dois-je faire ?

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Moyen

 CVE-2020-8554

GCP-2020-014

Date de publication:20-10-2020
Dernière mise à jour:20-10-2020

Description

Description Niveau de gravité Remarques

Le projet Kubernetes a récemment découvert plusieurs problèmes qui permettent l'exposition des données des secrets lors de l'activation des options de journalisation détaillée. Les problèmes sont les suivants :

  • CVE-2020-8563 : fuites des secrets dans les journaux du fournisseur vSphere kube-controller-manager
  • CVE-2020-8564 : fuite des secrets de configuration Docker lorsque le fichier est mal formé, et que le niveau de journalisation est supérieur ou égal à 4.
  • CVE-2020-8565 : correction partielle de la faille CVE-2019-11250 dans Kubernetes occasionnant la divulgation des jetons dans les journaux lorsque le niveau de journalisation est supérieur ou égal à 9. Faille détectée par la sécurité de GKE.
  • CVE-2020-8566 : fuite des secrets des administrateurs Ceph RBD dans les journaux lorsque le niveau de journalisation est supérieur ou égal à 4.

Que dois-je faire ?

Aucune autre action n'est requise en raison des niveaux de journalisation détaillée par défaut de GKE.

Aucun

Impact sur Google Cloud

Des informations pour chaque produit sont répertoriées ci-dessous.

Produit

Impact

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) n'est pas affecté.

GKE On-Prem

GKE On-Prem n'est pas affecté.

GKE sur AWS

GKE sur AWS n'est pas affecté.

GCP-2020-013

Date de publication:29-09-2020

Description

Microsoft a divulgué la faille suivante :

Faille

Gravité

CVE

CVE-2020-1472 Une faille dans Windows Server permet aux pirates informatiques d'utiliser le protocole distant Netlogon pour exécuter une application spécialement conçue sur un appareil du réseau.

Score de base NVD : 10 (critique)

CVE-2020-1472

Pour en savoir plus, consultez la divulgation de Microsoft.

Impact sur Google Cloud

L'infrastructure hébergeant les produits Google Cloud et Google n'est pas affectée par cette faille. Des informations complémentaires pour chaque produit sont répertoriées ci-dessous.

Produit

Impact

Compute Engine

CVE-2020-1472

Pour la plupart des clients, aucune action n'est requise.

Les clients qui utilisent des machines virtuelles Compute Engine exécutant Windows Server doivent s'assurer que leurs instances ont été mises à jour avec la dernière version du correctif Windows ou qu'ils utilisent les images Windows Server publiées après le 17-08-2020 (v20200813 ou version ultérieure).

Google Kubernetes Engine

CVE-2020-1472

Pour la plupart des clients, aucune action n'est requise.

Tous les clients hébergeant des contrôleurs de domaine dans leurs nœuds Windows Server GKE doivent s'assurer que les nœuds et les charges de travail conteneurisées qui s'exécutent sur ces nœuds disposent de la dernière image de nœud Windows lorsqu'elle est disponible. Une nouvelle version de l'image de nœud sera annoncée dans les notes de version de GKE en octobre.

Service géré pour Microsoft Active Directory

CVE-2020-1472

Pour la plupart des clients, aucune action n'est requise.

Le correctif d'août publié par Microsoft qui inclut les correctifs du protocole NetLogon a été appliqué à tous les contrôleurs de domaine Microsoft AD gérés. Ce correctif fournit des fonctionnalités pour se protéger contre une exploitation potentielle. L'application des correctifs en temps opportun est l'un des principaux avantages de l'utilisation du service géré pour Microsoft Active Directory. Tous les clients qui exécutent manuellement Microsoft Active Directory (et n'utilisent pas le service géré de Google Cloud) doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser des images Windows Server.

Google Workspace

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Environnement standard App Engine

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Environnement flexible App Engine

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Run

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Functions

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Composer

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Dataflow

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Dataproc

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud SQL

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

GCP-2020-012

Date de publication : 14-09-2020
Dernière mise à jour : 17-09-2020

Description

Description Niveau de gravité Remarques

Une faille a été récemment découverte dans le noyau Linux, décrite dans CVE-2020-14386, qui permet de s'échapper d'un conteneur pour obtenir un accès root sur le nœud hôte.

Tous les nœuds GKE sont affectés. Les pods exécutés dans GKE Sandbox ne peuvent pas exploiter cette faille.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :


Quelle faille ce correctif permet-il de résoudre ?

Ce correctif réduit les risques liés à la faille suivante :

La faille CVE-2020-14386, qui permet aux conteneurs avec CAP_NET_RAW
d'écrire de 1 à 10 octets de mémoire du noyau, d'échapper le conteneur et d'obtenir des privilèges racine sur le nœud hôte. La gravité de cette faille est évaluée comme élevée.

Élevé

CVE-2020-14386

GCP-2020-011

Date de publication:24-07-2020

Description

Description Niveau de gravité Remarques

Une faille réseau, CVE-2020-8558, a été récemment détectée dans Kubernetes. Les services communiquent parfois avec d'autres applications s'exécutant dans le même pod à l'aide de l'interface de rebouclage local (127.0.0.1). Cette faille permet à un pirate informatique ayant accès au réseau du cluster d'envoyer du trafic à l'interface de rebouclage des pods et nœuds adjacents. Les services reposant sur l'interface de rebouclage et non accessibles en dehors de leur pod peuvent être exploités.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Faible (clusters GKE et Anthos sur AWS),
Moyen (clusters Anthos sur VMware)

CVE-2020-8558

GCP-2020-010

Date de publication:27-07-2020

Description

Microsoft a divulgué la faille suivante :

Faille

Gravité

CVE

CVE-2020-1350 : les serveurs Windows qui diffusent avec une capacité de serveur DNS peuvent être exploités par le compte système local pour exécuter du code non approuvé.

Score de base NVD : 10,0 (critique)

CVE-2020-1350

Pour en savoir plus, consultez la divulgation de Microsoft.

Impact sur Google Cloud

L'infrastructure hébergeant les produits Google Cloud et Google n'est pas affectée par cette faille. Des informations complémentaires pour chaque produit sont répertoriées ci-dessous.

Produit

Impact

Compute Engine

CVE-2020-1350

Pour la plupart des clients, aucune action n'est requise.

Les clients qui utilisent des machines virtuelles Compute Engine exécutant Windows Server avec une capacité de serveur DNS doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 14/07/2020.

Google Kubernetes Engine

CVE-2020-1350

Pour la plupart des clients, aucune action n'est requise.

Les clients qui utilisent GKE avec un nœud Windows Server et une capacité de serveur DNS doivent mettre à jour manuellement les nœuds et les charges de travail conteneurisées s'exécutant sur ces nœuds vers une version de serveur Windows contenant le correctif.

Service géré pour Microsoft Active Directory

CVE-2020-1350

Pour la plupart des clients, aucune action n'est requise.

Tous les domaines Microsoft AD gérés ont été automatiquement mis à jour avec l'image corrigée. Tous les clients qui exécutent manuellement Microsoft Active Directory (et n'utilisent pas de domaine Microsoft AD géré) doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 14/07/2020.

Google Workspace

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Environnement standard App Engine

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Environnement flexible App Engine

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Run

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Functions

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Composer

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Dataflow

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Dataproc

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud SQL

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

GCP-2020-009

Date de publication:15-07-2020

Description

Description Niveau de gravité Remarques

Une faille d'élévation des privilèges, CVE-2020-8559, a été récemment détectée dans Kubernetes. Cette faille permet à un pirate informatique ayant déjà compromis un nœud d'exécuter une commande dans n'importe quel pod du cluster. Le pirate peut ainsi utiliser le nœud déjà compromis pour en compromettre d'autres et potentiellement lire des informations, ou provoquer des actions de destruction.

Notez que pour qu'un pirate informatique puisse exploiter cette faille, un nœud de votre cluster doit déjà avoir été compromis. Cette faille, en elle-même, ne compromettra pas les nœuds de votre cluster.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Moyen

CVE-2020-8559

GCP-2020-008

Date de publication:19-06-2020

Description

Description Niveau de gravité Remarques

Description

Les VM pour lesquelles OS Login est activé peuvent être exposées aux failles d'élévation des privilèges. Ces failles permettent aux utilisateurs disposant d'autorisations OS Login (mais pas d'un accès administrateur) de remonter jusqu'à l'accès racine dans la VM.

Pour en savoir plus et obtenir des instructions, consultez le bulletin de sécurité Compute Engine.

 Élevé

GCP-2020-007

Date de publication:2020-06-01

Description

Description Niveau de gravité Remarques

La faille SSRF (Server Side Request Forgery) CVE-2020-8555 a été détectée dans Kubernetes. Elle permet à certains utilisateurs autorisés de divulguer jusqu'à 500 octets d'informations sensibles à partir du réseau hôte du plan de contrôle. Le plan de contrôle de Google Kubernetes Engine (GKE) utilise des contrôleurs de Kubernetes et est donc affecté par cette faille. Nous vous recommandons de mettre à niveau le plan de contrôle vers la dernière version du correctif. Aucune mise à niveau de nœud n'est requise.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Moyen

CVE-2020-8555

GCP-2020-006

Date de publication:2020-06-01

Description

Description Niveau de gravité Remarques

Kubernetes a divulgué une faille qui permet à un conteneur privilégié de rediriger le trafic de nœuds vers un autre conteneur. Le trafic TLS/SSH mutuel (entre le kubelet et le serveur d'API, ou en provenance d'applications via le protocole mTLS) ne peut pas être lu ni modifié par cette attaque. Tous les nœuds Google Kubernetes Engine (GKE) sont affectés par cette faille. Par conséquent, nous vous recommandons de procéder à la mise à niveau vers la dernière version du correctif.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Moyen

Problème Kubernetes 91507

GCP-2020-005

Date de publication:07-05-2020

Description

Faille

Gravité

CVE

La faille CVE-2020-8835 a été récemment découverte dans le noyau Linux. Elle permet de "s'échapper d'un conteneur" pour obtenir un accès root (racine) sur le nœud hôte.

Les nœuds Ubuntu Google Kubernetes Engine (GKE) exécutant GKE 1.16 ou 1.17 sont affectés par cette faille. Par conséquent, nous vous recommandons de procéder à la mise à niveau vers la dernière version du correctif dès que possible.

Veuillez consulter le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.

Élevé

CVE-2020-8835

GCP-2020-004

Date de publication : 31-03-2020
Dernière mise à jour : 31-03-2020

Description

Kubernetes a divulgué les failles suivantes :

Faille

Gravité

CVE

CVE-2019-11254 : faille de déni de service (DoS) affectant le serveur d'API.

Moyen

CVE-2019-11254

Consultez le bulletin de sécurité des clusters Anthos sur VMware pour obtenir des instructions et des informations supplémentaires.

GCP-2020-003

Date de publication : 31-03-2020
Dernière mise à jour : 31-03-2020

Description

Kubernetes a divulgué les failles suivantes :

Faille

Gravité

CVE

CVE-2019-11254 : faille de déni de service (DoS) affectant le serveur d'API.

Moyen

CVE-2019-11254

Consultez le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.

GCP-2020-002

Date de publication : 23-03-2020
Dernière mise à jour : 23-03-2020

Description

Kubernetes a divulgué les failles suivantes :

Faille

Gravité

CVE

CVE-2020-8551 : faille de déni de service (DoS) affectant le kubelet.

Moyen

CVE-2020-8551

CVE-2020-8552 : faille de déni de service (DoS) affectant le serveur d'API.

Moyen

CVE-2020-8552

Consultez le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.

GCP-2020-001

Date de publication : 21-01-2020
Dernière mise à jour : 21-01-2020

Description

Microsoft a divulgué la faille suivante :

Faille

Gravité

CVE

CVE-2020-0601 (aussi appelée faille de spoofing de l'API Windows Crypto) : un pirate peut l'exploiter pour faire en sorte que ses fichiers exécutables malveillants soient considérés comme fiables ou encore pour procéder à des attaques MITM ("man in the middle") afin de déchiffrer des informations confidentielles diffusées lors de la connexion des utilisateurs au logiciel affecté.

Score de base NVD : 8,1 (élevé)

CVE-2020-0601

Pour en savoir plus, consultez la divulgation de Microsoft.

Impact sur Google Cloud

L'infrastructure hébergeant les produits Google Cloud et Google n'est pas affectée par cette faille. Des informations complémentaires pour chaque produit sont répertoriées ci-dessous.

Produit

Impact

Compute Engine

CVE-2020-0601

Pour la plupart des clients, aucune action n'est requise.

Les clients qui utilisent les machines virtuelles Compute Engine exécutant Windows Server doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 15/01/2020. Pour en savoir plus, consultez le bulletin de sécurité de Compute Engine.

Google Kubernetes Engine

CVE-2020-0601

Pour la plupart des clients, aucune action n'est requise.

Les clients qui utilisent GKE avec des nœuds Windows Server doivent mettre à jour à la fois les nœuds et les charges de travail en conteneur exécutées sur ceux-ci, en installant les versions corrigées pour réduire les risques liés à cette faille. Veuillez consulter le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.

Service géré pour Microsoft Active Directory

CVE-2020-0601

Pour la plupart des clients, aucune action n'est requise.

Tous les domaines Microsoft AD gérés ont été automatiquement mis à jour avec l'image corrigée. Tous les clients qui exécutent manuellement Microsoft Active Directory (et n'utilisent pas de domaine Microsoft AD géré) doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 15/01/2020.

Google Workspace

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Environnement standard App Engine

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Environnement flexible App Engine

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Run

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Functions

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud Composer

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Dataflow

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Dataproc

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

Cloud SQL

Aucune action n'est requise de la part du client.

Ce service n'est pas affecté par cette faille.

GCP-2019-001

Date de publication :12-11-2019
Dernière mise à jour : 12-11-2019

Description

Intel a divulgué les failles suivantes :

Faille

Gravité

CVE

CVE-2019-11135 — Cette faille s'intitule "TSX Asynchronous Abort" (abandon asynchrone de TSX). Elle peut être exploitée à des fins d'exécution spéculative au sein d'une transaction TSX. En raison de l'exposition de structures de données permise par l'échantillonnage de données microarchitectural, cette faille présente un risque de divulgation des données.

Moyen

CVE-2019-11135

CVE-2018-12207 — Faille de déni de service (DoS) qui concerne les hôtes de machines virtuelles et non les invités. Cette faille s'intitule "Machine Check Error on Page Size Change" (erreur de vérification machine lors du changement de format de page).

Moyen

CVE-2018-12207

Pour en savoir plus, consultez les divulgations d'Intel :

Impact sur Google Cloud

L'infrastructure d'hébergement des produits Google Cloud et Google est invulnérable à ces failles. Des informations complémentaires pour chaque produit sont répertoriées ci-dessous.

Produit

Impact

Compute Engine

CVE-2019-11135

Pour la majorité des clients, aucune autre action n'est requise.

Il est recommandé aux clients des types de machine N2, C2 ou M2 qui exécutent du code non approuvé dans leurs propres services mutualisés et au sein de machines virtuelles Compute Engine d'arrêter, puis de redémarrer leurs VM pour s'assurer qu'elles prennent en compte les dernières mesures d'atténuation des risques liés à la sécurité.

CVE-2018-12207

Pour tous les clients, aucune autre action n'est requise.

Google Kubernetes Engine

CVE-2019-11135

Pour la majorité des clients, aucune autre action n'est requise.

Vous devez redémarrer vos nœuds si vous utilisez des pools de nœuds N2, M2 ou C2 qui exécutent du code non approuvé dans vos propres clusters GKE mutualisés. Si vous souhaitez redémarrer l'ensemble des nœuds de votre pool de nœuds, vous devez mettre à niveau ce dernier.

CVE-2018-12207

Pour tous les clients, aucune autre action n'est requise.

Environnement standard App Engine

Aucune autre action n'est requise.

Environnement flexible App Engine

CVE-2019-11135

Aucune autre action n'est requise.

Nous recommandons aux clients de consulter les bonnes pratiques Intel concernant le partage au niveau de l'application. Celui-ci peut se produire entre hyperthreads reliés au sein d'une VM Flex.

CVE-2018-12207

Aucune autre action n'est requise.

Cloud Run

Aucune autre action n'est requise.

Cloud Functions

Aucune autre action n'est requise.

Cloud Composer

Aucune autre action n'est requise.

Dataflow

CVE-2019-11135

Pour la majorité des clients, aucune autre action n'est requise.

Il est recommandé aux clients Dataflow qui exécutent plusieurs charges de travail non approuvées sur des VM Compute Engine de type N2, C2 ou M2 gérés par DataFlow et qui craignent les attaques d'invités internes de redémarrer tous les pipelines de streaming en cours d'exécution. Si vous le souhaitez, vous pouvez annuler l'exécution des pipelines par lots, puis les relancer. Aucune action n'est requise concernant les pipelines que vous lancez ultérieurement.

CVE-2018-12207

Pour tous les clients, aucune autre action n'est requise.

Dataproc

CVE-2019-11135

Pour la majorité des clients, aucune autre action n'est requise.

Les clients Cloud Dataproc qui gèrent plusieurs charges de travail non approuvées dans un même cluster Cloud Dataproc s'exécutant sur des VM Compute Engine de type N2, C2 ou M2 et qui craignent les attaques d'invités internes doivent redéployer leurs clusters.

CVE-2018-12207

Pour tous les clients, aucune autre action n'est requise.

Cloud SQL

Aucune autre action n'est requise.