다음은 Vertex AI와 관련된 모든 보안 게시판에 대한 설명입니다.
제공되는 최신 보안 게시판을 보려면 다음 중 하나를 수행합니다.
- 이 페이지의 URL을 피드 리더에 추가합니다.
피드 리더에 피드 URL을 직접 추가합니다.
https://cloud.google.com/feeds/vertex-ai-security-bulletins.xml
GCP-2023-036
게시: 2023년 10월 30일
| 설명 | 심각도 | 주요 내용 |
|---|---|---|
|
Deep Learning VM Image는 즉시 실행할 수 있는 딥 러닝 프레임워크가 포함되어 사전 패키징된 가상 머신 이미지 세트입니다. 최근에 `libwebp` 라이브러리의 `ReadHuffmanCodes()` 함수에서 범위를 벗어나는 쓰기 취약점이 발견되었습니다. 이로 인해 이 라이브러리를 사용하는 이미지에 영향을 줄 수 있습니다. Google Cloud는 공개적으로 게시된 이미지를 계속 스캔하고 패치 적용된 배포판이 고객이 채택할 수 있는 최신 출시 버전에 포함되도록 보장하기 위해 패키지를 업데이트하고 있습니다. 최신 VM 이미지에 패치 적용된 배포판이 포함될 수 있도록 Deep Learning VM Image가 업데이트되었습니다. 최신 VM 이미지를 채택한 고객은 이 취약점에 노출되지 않습니다. 어떻게 해야 하나요? 게시된 VM 이미지를 사용하는 Google Cloud 고객은 최신 이미지를 채택하고 해당 환경이 공유 책임 모델에 따라 최신 상태로 유지되는지 확인해야 합니다. 공격자가 CVE-2023-4863을 악용해서 임의 코드를 실행할 수 있습니다. 이 취약점은 116.0.5845.187 이전의 Google Chrome 및 1.3.2 이전의 `libwebp`에서 식별되었으며 CVE-2023-4863으로 등록되었습니다. |
높음 | CVE-2023-4863 |
GCP-2023-029
게시: 2023년 10월 3일
| 설명 | 심각도 | 주요 내용 |
|---|---|---|
|
TorchServe는 온라인 예측을 위해 PyTorch 머신러닝 모델을 호스팅하는 데 사용됩니다. Vertex AI는 TorchServe에 의존하는 컨테이너를 제공하는 사전 빌드된 PyTorch 모델을 제공합니다. 모델 관리 API가 노출된 경우 공격자가 TorchServe 배포를 제어할 수 있는 취약점이 최근 TorchServe에서 발견되었습니다. Vertex AI는 TorchServe의 모델 관리 API를 노출하지 않기 때문에 Vertex AI 온라인 예측에 PyTorch 모델이 배포된 고객은 이러한 취약점의 영향을 받지 않습니다. Vertex AI 외부에서 TorchServe를 사용하는 고객은 해당 배포가 올바르게 설정되었는지 주의해야 합니다. 어떻게 해야 하나요? Vertex AI의 배포는 인터넷에 TorchServe의 관리 서버를 노출하지 않기 때문에 Vertex AI의 사전 빌드된 PyTorch 제공 컨테이너를 사용하여 모델을 배포한 Vertex AI 고객은 취약점 해결을 위한 조치를 취할 필요가 없습니다. 다른 컨텍스트에서 사전 빌드된 PyTorch 컨테이너를 사용 중이거나 커스텀 빌드된 또는 타사에서 배포된 TorchServe를 사용 중인 고객은 다음을 수행해야 합니다.
해결되는 취약점은 무엇인가요? TorchServe의 관리 API는 Vertex AI에서 릴리스되는 항목을 포함하여 기본적으로 대부분의 TorchServe Docker 이미지에서 CVE-2023-43654 및 CVE-2022-1471는 사용자가 관리 API에 액세스하여 임의 소스에서 모델을 로드하고 원격으로 코드를 실행할 수 있게 해줍니다. 이러한 두 문제 모두에 대한 해결이 TorchServe 0.8.2에 포함되어, 원격 코드 실행 경로가 삭제되었고 |
높음 | CVE-2023-43654, CVE-2022-1471 |