Bulletins de sécurité Google Cloud Platform

Les bulletins de sécurité suivants concernent Google Cloud.

GCP-2020-010

Publié : 2020-07-27

Description

Microsoft a divulgué la faille suivante :

Faille	Gravité	CVE
CVE-2020-1350 : les serveurs Windows qui diffusent avec une capacité de serveur DNS peuvent être exploités par le compte système local pour exécuter du code non approuvé.	Score de base NVD : 10,0 (critique)	CVE-2020-1350

Pour en savoir plus, consultez la divulgation de Microsoft.

Impact sur Google Cloud

L'infrastructure hébergeant les produits Google Cloud et Google n'est pas affectée par cette faille. Des informations complémentaires pour chaque produit sont répertoriées ci-dessous.

Produit	Impact
Compute Engine	CVE-2020-1350 Pour la plupart des clients, aucune action n'est requise. Les clients qui utilisent des machines virtuelles Compute Engine exécutant Windows Server avec une capacité de serveur DNS doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 14/07/2020.
Google Kubernetes Engine	CVE-2020-1350 Pour la plupart des clients, aucune action n'est requise. Les clients qui utilisent GKE avec un nœud Windows Server et une capacité de serveur DNS doivent mettre à jour manuellement les nœuds et les charges de travail conteneurisées s'exécutant sur ces nœuds vers une version de serveur Windows contenant le correctif.
Service géré pour Microsoft Active Directory	CVE-2020-1350 Pour la plupart des clients, aucune action n'est requise. Tous les domaines Microsoft AD gérés ont été automatiquement mis à jour avec l'image corrigée. Tous les clients qui exécutent manuellement Microsoft Active Directory (et n'utilisent pas de domaine Microsoft AD géré) doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 14/07/2020.
G Suite	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Environnement standard App Engine	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Environnement flexible App Engine	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud Run	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud Functions	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud Composer	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Dataflow	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Dataproc	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud SQL	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.

GCP-2020-011

Publié : 2020-07-24

Description

Description	Niveau de gravité	Notes
Une faille réseau, CVE-2020-8558, a été récemment détectée dans Kubernetes. Les services communiquent parfois avec d'autres applications s'exécutant dans le même pod à l'aide de l'interface de rebouclage local (127.0.0.1). Cette faille permet à un pirate informatique ayant accès au réseau du cluster d'envoyer du trafic à l'interface de rebouclage des pods et nœuds adjacents. Les services reposant sur l'interface de rebouclage et non accessibles en dehors de leur pod peuvent être exploités. Pour en savoir plus et obtenir des instructions, consultez les pages suivantes : Bulletin de sécurité de GKE Bulletin de sécurité de GKE On-Prem Bulletin de sécurité de GKE sur AWS	Faible (GKE et GKE sur AWS), Moyenne (GKE On-Prem)	CVE-2020-8559

Niveau de gravité

Notes

Une faille réseau, CVE-2020-8558, a été récemment détectée dans Kubernetes. Les services communiquent parfois avec d'autres applications s'exécutant dans le même pod à l'aide de l'interface de rebouclage local (127.0.0.1). Cette faille permet à un pirate informatique ayant accès au réseau du cluster d'envoyer du trafic à l'interface de rebouclage des pods et nœuds adjacents. Les services reposant sur l'interface de rebouclage et non accessibles en dehors de leur pod peuvent être exploités.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Faible (GKE et GKE sur AWS),
Moyenne (GKE On-Prem)

CVE-2020-8559

GCP-2020-009

Date de publication : 15/07/2020

Description

Description	Niveau de gravité	Notes
Une faille d'élévation des privilèges, CVE-2020-8559, a été récemment détectée dans Kubernetes. Cette faille permet à un pirate informatique ayant déjà compromis un nœud d'exécuter une commande dans n'importe quel pod du cluster. Le pirate peut ainsi utiliser le nœud déjà compromis pour en compromettre d'autres et potentiellement lire des informations, ou provoquer des actions de destruction. Notez que pour qu'un pirate informatique puisse exploiter cette faille, un nœud de votre cluster doit déjà avoir été compromis. Cette faille, en elle-même, ne compromettra pas les nœuds de votre cluster. Pour en savoir plus et obtenir des instructions, consultez les pages suivantes : Bulletin de sécurité de GKE Bulletin de sécurité de GKE On-Prem Bulletin de sécurité de GKE sur AWS	Moyen	CVE-2020-8559

Niveau de gravité

Notes

Une faille d'élévation des privilèges, CVE-2020-8559, a été récemment détectée dans Kubernetes. Cette faille permet à un pirate informatique ayant déjà compromis un nœud d'exécuter une commande dans n'importe quel pod du cluster. Le pirate peut ainsi utiliser le nœud déjà compromis pour en compromettre d'autres et potentiellement lire des informations, ou provoquer des actions de destruction.

Notez que pour qu'un pirate informatique puisse exploiter cette faille, un nœud de votre cluster doit déjà avoir été compromis. Cette faille, en elle-même, ne compromettra pas les nœuds de votre cluster.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Moyen

CVE-2020-8559

GCP-2020-008

Date de publication : 19/06/2020

Description

Description	Niveau de gravité	Remarques
Description Les VM pour lesquelles OS Login est activé peuvent être exposées aux failles d'élévation des privilèges. Ces failles permettent aux utilisateurs disposant d'autorisations OS Login (mais pas d'un accès administrateur) de remonter jusqu'à l'accès racine dans la VM. Pour en savoir plus et obtenir des instructions, consultez le bulletin de sécurité Compute Engine.	Élevé	CVE-2020-8903 CVE-2020-8907 CVE-2020-8933

Niveau de gravité

Remarques

Description

Les VM pour lesquelles OS Login est activé peuvent être exposées aux failles d'élévation des privilèges. Ces failles permettent aux utilisateurs disposant d'autorisations OS Login (mais pas d'un accès administrateur) de remonter jusqu'à l'accès racine dans la VM.

Pour en savoir plus et obtenir des instructions, consultez le bulletin de sécurité Compute Engine.

Élevé

GCP-2020-007

Date de publication : 01/06/2020

Description

Description	Niveau de gravité	Notes
La faille SSRF (Server Side Request Forgery, falsification de requête côté serveur) CVE-2020-8555 a été récemment détectée dans Kubernetes. Elle permet à certains utilisateurs autorisés de divulguer jusqu'à 500 octets d'informations sensibles depuis le réseau hôte du plan de contrôle. Le plan de contrôle de Google Kubernetes Engine (GKE) utilise des contrôleurs de Kubernetes et est donc affecté par cette faille. Nous vous recommandons de mettre à niveau le plan de contrôle vers la dernière version du correctif. Aucune mise à niveau de nœud n'est requise. Pour en savoir plus et obtenir des instructions, consultez les pages suivantes : Bulletin de sécurité de GKE Bulletin de sécurité de GKE On-Prem Bulletin de sécurité de GKE sur AWS	Moyen	CVE-2020-8555

Niveau de gravité

Notes

La faille SSRF (Server Side Request Forgery, falsification de requête côté serveur) CVE-2020-8555 a été récemment détectée dans Kubernetes. Elle permet à certains utilisateurs autorisés de divulguer jusqu'à 500 octets d'informations sensibles depuis le réseau hôte du plan de contrôle. Le plan de contrôle de Google Kubernetes Engine (GKE) utilise des contrôleurs de Kubernetes et est donc affecté par cette faille. Nous vous recommandons de mettre à niveau le plan de contrôle vers la dernière version du correctif. Aucune mise à niveau de nœud n'est requise.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Moyen

CVE-2020-8555

GCP-2020-006

Date de publication : 01/06/2020

Description

Description	Niveau de gravité	Notes
Kubernetes a divulgué une faille qui permet à un conteneur privilégié de rediriger le trafic de nœuds vers un autre conteneur. Le trafic TLS/SSH mutuel (entre le kubelet et le serveur d'API, ou en provenance d'applications via le protocole mTLS) ne peut pas être lu ni modifié par cette attaque. Tous les nœuds Google Kubernetes Engine (GKE) sont affectés par cette faille. Par conséquent, nous vous recommandons de procéder à la mise à niveau vers la dernière version du correctif. Pour en savoir plus et obtenir des instructions, consultez les pages suivantes : Bulletin de sécurité de GKE Bulletin de sécurité de GKE On-Prem Bulletin de sécurité de GKE sur AWS	Moyen	Problème Kubernetes 91507

Niveau de gravité

Notes

Kubernetes a divulgué une faille qui permet à un conteneur privilégié de rediriger le trafic de nœuds vers un autre conteneur. Le trafic TLS/SSH mutuel (entre le kubelet et le serveur d'API, ou en provenance d'applications via le protocole mTLS) ne peut pas être lu ni modifié par cette attaque. Tous les nœuds Google Kubernetes Engine (GKE) sont affectés par cette faille. Par conséquent, nous vous recommandons de procéder à la mise à niveau vers la dernière version du correctif.

Pour en savoir plus et obtenir des instructions, consultez les pages suivantes :

Moyen

Problème Kubernetes 91507

GCP-2020-005

Date de publication : 07/05/2020

Description

Faille	Gravité	CVE
La faille CVE-2020-8835 a été récemment découverte dans le noyau Linux. Elle permet de "s'échapper d'un conteneur" pour obtenir un accès root (racine) sur le nœud hôte. Les nœuds Ubuntu Google Kubernetes Engine (GKE) exécutant GKE 1.16 ou 1.17 sont affectés par cette faille. Par conséquent, nous vous recommandons de procéder à la mise à niveau vers la dernière version du correctif dès que possible. Veuillez consulter le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.	Élevé	CVE-2020-8835

Faille

Gravité

CVE

La faille CVE-2020-8835 a été récemment découverte dans le noyau Linux. Elle permet de "s'échapper d'un conteneur" pour obtenir un accès root (racine) sur le nœud hôte.

Les nœuds Ubuntu Google Kubernetes Engine (GKE) exécutant GKE 1.16 ou 1.17 sont affectés par cette faille. Par conséquent, nous vous recommandons de procéder à la mise à niveau vers la dernière version du correctif dès que possible.

Veuillez consulter le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.

Élevé

CVE-2020-8835

GCP-2020-004

Date de publication : 31/03/2020 | Dernière mise à jour : 31/03/2020

Description

Kubernetes a divulgué les failles suivantes :

Faille	Gravité	CVE
CVE-2019-11254 : faille de déni de service (DoS) affectant le serveur d'API.	Moyen	CVE-2019-11254

Consultez le bulletin de sécurité de GKE On-Prem pour en savoir plus et obtenir des instructions.

GCP-2020-003

Date de publication : 31/03/2020 | Dernière mise à jour : 31/03/2020

Description

Kubernetes a divulgué les failles suivantes :

Faille	Gravité	CVE
CVE-2019-11254 : faille de déni de service (DoS) affectant le serveur d'API.	Moyen	CVE-2019-11254

Consultez le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.

GCP-2020-002

Date de publication : 23/03/2020 | Dernière mise à jour : 23/03/2020

Description

Kubernetes a divulgué les failles suivantes :

Faille	Gravité	CVE
CVE-2020-8551 : faille de déni de service (DoS) affectant le kubelet.	Moyen	CVE-2020-8551
CVE-2020-8552 : faille de déni de service (DoS) affectant le serveur d'API.	Moyen	CVE-2020-8552

Consultez le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.

GCP-2020-001

Date de publication : 21/01/2020 | Dernière mise à jour : 21/01/2020

Description

Microsoft a divulgué la faille suivante :

Faille	Gravité	CVE
CVE-2020-0601 (aussi appelée faille de spoofing de l'API Windows Crypto) : un pirate peut l'exploiter pour faire en sorte que ses fichiers exécutables malveillants soient considérés comme fiables ou encore pour procéder à des attaques MITM ("man in the middle") afin de déchiffrer des informations confidentielles diffusées lors de la connexion des utilisateurs au logiciel affecté.	Score de base NVD : 8,1 (élevé)	CVE-2020-0601

Pour en savoir plus, consultez la divulgation de Microsoft.

Impact sur Google Cloud

L'infrastructure hébergeant les produits Google Cloud et Google n'est pas affectée par cette faille. Des informations complémentaires pour chaque produit sont répertoriées ci-dessous.

Produit	Impact
Compute Engine	CVE-2020-0601 Pour la plupart des clients, aucune action n'est requise. Les clients qui utilisent les machines virtuelles Compute Engine exécutant Windows Server doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 15/01/2020. Pour en savoir plus, consultez le bulletin de sécurité de Compute Engine.
Google Kubernetes Engine	CVE-2020-0601 Pour la plupart des clients, aucune action n'est requise. Les clients qui utilisent GKE avec des nœuds Windows Server doivent mettre à jour à la fois les nœuds et les charges de travail en conteneur exécutées sur ceux-ci, en installant les versions corrigées pour réduire les risques liés à cette faille. Veuillez consulter le bulletin de sécurité de GKE pour en savoir plus et obtenir des instructions.
Service géré pour Microsoft Active Directory	CVE-2020-0601 Pour la plupart des clients, aucune action n'est requise. Tous les domaines Microsoft AD gérés ont été automatiquement mis à jour avec l'image corrigée. Tous les clients qui exécutent manuellement Microsoft Active Directory (et n'utilisent pas de domaine Microsoft AD géré) doivent s'assurer que leurs instances disposent du dernier correctif Windows ou utiliser les images Windows Server fournies depuis le 15/01/2020.
G Suite	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Environnement standard App Engine	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Environnement flexible App Engine	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud Run	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud Functions	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud Composer	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Dataflow	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Dataproc	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.
Cloud SQL	Aucune action n'est requise de la part du client. Ce service n'est pas affecté par cette faille.

GCP-2019-001

Date de publication : 12/11/2019 | Dernière mise à jour : 12/11/2019

Description

Intel a divulgué les failles suivantes :

Faille	Gravité	CVE
CVE-2019-11135 — Cette faille s'intitule "TSX Asynchronous Abort" (abandon asynchrone de TSX). Elle peut être exploitée à des fins d'exécution spéculative au sein d'une transaction TSX. En raison de l'exposition de structures de données permise par l'échantillonnage de données microarchitectural, cette faille présente un risque de divulgation des données.	Moyenne	CVE-2019-11135
CVE-2018-12207 — Faille de déni de service (DoS) qui concerne les hôtes de machines virtuelles et non les invités. Cette faille s'intitule "Machine Check Error on Page Size Change" (erreur de vérification machine lors du changement de format de page).	Moyenne	CVE-2018-12207

Pour en savoir plus, consultez les divulgations d'Intel :

Impact sur Google Cloud

L'infrastructure d'hébergement des produits Google Cloud et Google est invulnérable à ces failles. Des informations complémentaires pour chaque produit sont répertoriées ci-dessous.

Produit	Impact
Compute Engine	CVE-2019-11135 Pour la majorité des clients, aucune autre action n'est requise. Il est recommandé aux clients des types de machine N2, C2 ou M2 qui exécutent du code non approuvé dans leurs propres services mutualisés et au sein de machines virtuelles Compute Engine d'arrêter, puis de redémarrer leurs VM pour s'assurer qu'elles prennent en compte les dernières mesures d'atténuation des risques liés à la sécurité. Remarque : Pour en savoir plus, consultez le bulletin de sécurité de Compute Engine. CVE-2018-12207 Pour tous les clients, aucune autre action n'est requise.
Google Kubernetes Engine	CVE-2019-11135 Pour la majorité des clients, aucune autre action n'est requise. Vous devez redémarrer vos nœuds si vous utilisez des pools de nœuds N2, M2 ou C2 qui exécutent du code non approuvé dans vos propres clusters GKE mutualisés. Si vous souhaitez redémarrer l'ensemble des nœuds de votre pool de nœuds, vous devez mettre à niveau ce dernier. Remarque : Vous pouvez spécifier la même version de GKE pour une mise à niveau de votre pool de nœuds. Pour en savoir plus, consultez le bulletin de sécurité GKE. CVE-2018-12207 Pour tous les clients, aucune autre action n'est requise.
Environnement standard App Engine	Aucune autre action n'est requise.
Environnement flexible App Engine	CVE-2019-11135 Aucune autre action n'est requise. Nous recommandons aux clients de consulter les bonnes pratiques Intel concernant le partage au niveau de l'application. Celui-ci peut se produire entre hyperthreads reliés au sein d'une VM Flex. CVE-2018-12207 Aucune autre action n'est requise.
Cloud Run	Aucune autre action n'est requise.
Cloud Functions	Aucune autre action n'est requise.
Cloud Composer	Aucune autre action n'est requise.
Dataflow	CVE-2019-11135 Pour la majorité des clients, aucune autre action n'est requise. Il est recommandé aux clients Dataflow qui exécutent plusieurs charges de travail non approuvées sur des VM Compute Engine de type N2, C2 ou M2 gérés par DataFlow et qui craignent les attaques d'invités internes de redémarrer tous les pipelines de streaming en cours d'exécution. Si vous le souhaitez, vous pouvez annuler l'exécution des pipelines par lots, puis les relancer. Aucune action n'est requise concernant les pipelines que vous lancez ultérieurement. CVE-2018-12207 Pour tous les clients, aucune autre action n'est requise.
Dataproc	CVE-2019-11135 Pour la majorité des clients, aucune autre action n'est requise. Les clients Cloud Dataproc qui gèrent plusieurs charges de travail non approuvées dans un même cluster Cloud Dataproc s'exécutant sur des VM Compute Engine de type N2, C2 ou M2 et qui craignent les attaques d'invités internes doivent redéployer leurs clusters. CVE-2018-12207 Pour tous les clients, aucune autre action n'est requise.
Cloud SQL	Aucune autre action n'est requise.