Boletins de segurança

Ocasionalmente, podemos lançar boletins de segurança relacionados com o Google Cloud VMware Engine. Todos os boletins de segurança do VMware Engine estão descritos aqui.

Use este feed XML para subscrever boletins de segurança para esta página. Subscrever

GCP-2025-040

Publicado: 15-07-2025

Descrição

Descrição Gravidade Notas

De acordo com o aviso VMSA-2025-0013, foram comunicadas de forma privada à Broadcom várias vulnerabilidades no VMware ESXi.

Já aplicámos patches a estas vulnerabilidades ou estamos a aplicar os patches necessários fornecidos pela Broadcom. Não existem soluções alternativas conhecidas para estas vulnerabilidades comunicadas.

Depois de aplicar o patch, as implementações do VMware Engine devem estar a executar o ESXi 7.0U3w ou o ESXi 8.0U3f ou superior.

O que devo fazer?

A Google recomenda que os clientes monitorizem as respetivas cargas de trabalho no VMware Engine para detetar atividades invulgares.

 Médio a crítico

GCP-2025-030

Publicado: 2025-05-23

Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2024-0017, foi comunicado de forma privada à VMware uma vulnerabilidade de injeção de SQL no VMware Aria Automation. Estão disponíveis patches para corrigir esta vulnerabilidade nos produtos VMware afetados.

O que devo fazer?

Recomendamos a atualização para o VMware Aria Automation KB325790.

Importante

GCP-2025-029

Publicado: 2025-05-23

Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2025-0006, foi comunicada à VMware uma vulnerabilidade de escalada de privilégios local no VMware Aria Operations. Estão disponíveis patches para corrigir esta vulnerabilidade nos produtos VMware afetados.

O que devo fazer?

Recomendamos a atualização para o VMware Aria Operations 8.18 HF5.

Importante

GCP-2025-028

Publicado: 2025-05-23

Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2025-0003, foram comunicadas de forma privada à VMware várias vulnerabilidades no VMware Aria Operations for logs e no VMware Aria Operations. Estão disponíveis patches para corrigir esta vulnerabilidade nos produtos VMware afetados.

O que devo fazer?

Recomendamos a atualização para o VMware Aria Operations for Logs 8.18.3 e o VMware Aria Operations para 8.18.3.

Importante

GCP-2025-026

Publicado: 2025-05-15

Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2025-0008, foi comunicado de forma privada à VMware uma vulnerabilidade de scripting entre sites (XSS) baseada em DOM no VMware Aria Automation. Estão disponíveis patches para corrigir esta vulnerabilidade nos produtos VMware afetados.

O que devo fazer?

Recomendamos que atualize para o patch 2 do VMware Aria Automation 8.18.1.

Importante

GCP-2025-011

Publicado: 06/03/2025

Descrição Gravidade Notas

A VMware divulgou várias vulnerabilidades no VMSA-2025-0004 que afetam os componentes ESXi implementados em ambientes de clientes.

Impacto do VMware Engine

As suas nuvens privadas já têm patches ou estão a ser atualizadas para resolver a vulnerabilidade de segurança. Como parte do serviço VMware Engine, todos os clientes recebem anfitriões de metal nu dedicados com discos associados locais que estão fisicamente isolados de outro hardware. Isto significa que a vulnerabilidade está no âmbito das VMs de convidado apenas na sua nuvem privada específica.

As suas nuvens privadas vão ser atualizadas para a versão 7.0u3s, número de compilação 24534642. Isto é equivalente a 7.0U3s: número de compilação 24585291.

O que devo fazer?

Siga as instruções da Broadcom e dos seus fornecedores de segurança relativamente a esta vulnerabilidade.

Crítico

GCP-2025-004

Publicado: 16/01/2025

Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2025-0001, foi comunicado à VMware uma vulnerabilidade de Server Side Request Forgery (SSRF) no VMware Aria Automation. Estão disponíveis patches para corrigir esta vulnerabilidade nos produtos VMware afetados.

O que devo fazer?

Recomendamos a atualização para o VMware Aria Automation 8.18.2 HF.

Médio

GCP-2024-064

Publicado: 10/12/2024

Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2024-0022, foram comunicadas à VMware várias vulnerabilidades no VMware Aria Operations de forma responsável. Estão disponíveis atualizações para corrigir estas vulnerabilidades no produto VMware afetado.

O que devo fazer?

Recomendamos que atualize para o VMware Aria Operations 8.18.2.

Importante

GCP-2024-060

Publicado: 2024-10-17

Descrição Gravidade Notas

De acordo com o aviso de segurança VMSA-2024-0020 da VMware, foram comunicadas de forma responsável várias vulnerabilidades no VMware NSX à VMware.

A versão do NSX-T em execução no seu ambiente do VMware Engine não é afetada pelas CVE-2024-38815, CVE-2024-38818 ou CVE-2024-38817.

O que devo fazer?

Uma vez que os clusters do VMware Engine não são afetados por esta vulnerabilidade, não é necessária nenhuma ação adicional.

 Médio

GCP-2024-059

Publicado: 2024-10-16

Descrição Gravidade Notas

De acordo com o aviso de segurança VMSA-2024-0021 da VMware, foi comunicado de forma privada à VMware uma vulnerabilidade de injeção de SQL autenticada no VMware HCX.

Aplicámos a mitigação aprovada pela VMware para resolver esta vulnerabilidade. Esta correção resolve uma vulnerabilidade de segurança descrita no CVE-2024-38814. As versões de imagens em execução na sua nuvem privada do VMware Engine não refletem nenhuma alteração neste momento para indicar as alterações aplicadas. Foram instaladas mitigações adequadas e o seu ambiente está protegido contra esta vulnerabilidade.

O que devo fazer?

Recomendamos que atualize para a versão 4.9.2 do VMware HCX.

 Alto

GCP-2024-051

Publicado: 18/09/2024

Descrição Gravidade Notas

A VMware divulgou várias vulnerabilidades no VMSA-2024-0019 que afetam os componentes do vCenter implementados em ambientes de clientes.

Impacto do VMware Engine

  • A Google já desativou qualquer potencial exploração desta vulnerabilidade. Por exemplo, a Google bloqueou as portas através das quais esta vulnerabilidade poderia ser explorada.
  • Além disso, a Google garante que todas as implementações futuras do vCenter não são expostas a esta vulnerabilidade.

O que devo fazer?

Não é necessária nenhuma outra ação neste momento.

Crítico

GCP-2024-040

Publicado: 2024-07-01

Descrição Gravidade Notas

Foi descoberta uma vulnerabilidade CVE-2024-6387 no servidor OpenSSH (sshd). Esta vulnerabilidade é explorável remotamente em sistemas Linux baseados em glibc: uma execução de código remoto não autenticada como raiz, porque afeta o código privilegiado do sshd, que não está em sandbox e é executado com privilégios completos.

No momento da publicação, acredita-se que a exploração é difícil, pois requer vencer uma condição de corrida, que é difícil de explorar com êxito e pode demorar várias horas por máquina a ser atacada. Não temos conhecimento de tentativas de exploração.

O que devo fazer?

  1. Aplique atualizações das distribuições Linux às suas cargas de trabalho à medida que ficam disponíveis. Consulte as orientações das distribuições Linux.
  2. Se não for possível fazer a atualização, considere desativar o OpenSSH até que seja possível aplicar uma correção.
  3. Se o OpenSSH tiver de permanecer ativado, também pode executar uma atualização de configuração que elimina a condição de corrida para a exploração. Esta é uma mitigação de tempo de execução. Para aplicar as alterações na configuração do sshd, este script reinicia o serviço sshd. 
    #!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd
  4. Por fim, monitorize qualquer atividade de rede invulgar que envolva servidores SSH.
Crítico

GCP-2024-037

Publicado: 2024-06-18

Descrição Gravidade Notas

A VMware divulgou várias vulnerabilidades no VMSA-2024-0012 que afetam os componentes do vCenter implementados em ambientes de clientes.

Impacto do VMware Engine

  • A vulnerabilidade pode ser explorada através do acesso a portas específicas no vCenter Server. A Google já bloqueou as portas vulneráveis no servidor vCenter, o que impede potenciais explorações desta vulnerabilidade.
  • Além disso, a Google garante que todas as implementações futuras do vCenter não são expostas a esta vulnerabilidade.

O que devo fazer?

Não é necessária nenhuma outra ação neste momento.

Crítico

GCP-2024-016

Publicado: 05/03/2024

Descrição Gravidade Notas

A VMware divulgou várias vulnerabilidades no VMSA-2024-0006 que afetam os componentes do ESXi implementados em ambientes de clientes.

Impacto do VMware Engine

As suas nuvens privadas foram atualizadas para resolver a vulnerabilidade de segurança.

O que devo fazer?

Não tem de fazer nada.

Crítico

GCP-2023-034

Publicado: 25/10/2023

Atualização: 27-10-2023

Descrição Gravidade Notas

A VMware divulgou várias vulnerabilidades em VMSA-2023-0023 que afetam os componentes do vCenter implementados em ambientes de clientes.

Impacto do VMware Engine

  • A vulnerabilidade pode ser explorada através do acesso a portas específicas no vCenter Server. Estas portas não estão expostas à Internet pública.
  • Se as portas 2012/tcp, 2014/tcp e 2020/tcp do vCenter não forem acessíveis por sistemas não fidedignos, não está exposto a esta vulnerabilidade.
  • A Google já bloqueou as portas vulneráveis no servidor vCenter, impedindo qualquer potencial exploração desta vulnerabilidade.
  • Além disso, a Google vai garantir que todas as implementações futuras do servidor vCenter não estão expostas a esta vulnerabilidade.
  • No momento da publicação do boletim, a VMware não tem conhecimento de qualquer exploração "em ambiente de produção". Para mais detalhes, consulte a documentação da VMware para mais informações.

O que devo fazer?

Não é necessária nenhuma outra ação neste momento.

 Crítico

GCP-2023-027

Publicado: 11/09/2023
Descrição Gravidade Notas

As atualizações do VMware vCenter Server resolvem várias vulnerabilidades de corrupção de memória (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895 e CVE-2023-20896)

Impacto do VMware Engine

VMware vCenter Server (vCenter Server) e VMware Cloud Foundation (Cloud Foundation).

O que devo fazer?

Os clientes não são afetados e não é necessária nenhuma ação.

 Médio

GCP-2023-025

Publicado: 08-08-2023
Descrição Gravidade Notas

A Intel anunciou recentemente o aviso de segurança da Intel INTEL-SA-00828 que afeta algumas das respetivas famílias de processadores. Recomendamos que avalie os seus riscos com base no aviso.

Impacto do VMware Engine

A nossa frota usa as famílias de processadores afetadas. Na nossa implementação, todo o servidor é dedicado a um cliente. Por conseguinte, o nosso modelo de implementação não adiciona qualquer risco adicional à sua avaliação desta vulnerabilidade.

Estamos a trabalhar com os nossos parceiros para obter as correções necessárias e vamos implementá-las prioritariamente em toda a frota através do processo de atualização padrão nas próximas semanas.

O que devo fazer?

Não tem de fazer nada. Estamos a trabalhar na atualização de todos os sistemas afetados.

 Alto

GCP-2021-023

Publicado: 2021-09-21
Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2021-0020, a VMware recebeu relatórios de várias vulnerabilidades no vCenter. A VMware disponibilizou atualizações para corrigir estas vulnerabilidades nos produtos VMware afetados.

Já aplicámos as correções fornecidas pela VMware à pilha do vSphere no Google Cloud VMware Engine de acordo com o aviso de segurança da VMware. Esta atualização resolve as vulnerabilidades de segurança descritas nos artigos CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 e CVE-2021-22010. Outros problemas de segurança não críticos vão ser resolvidos na próxima atualização da pilha VMware (de acordo com o aviso prévio enviado em julho, vamos disponibilizar mais detalhes em breve sobre o cronograma específico da atualização).

Impacto do VMware Engine

Com base nas nossas investigações, não foram encontrados clientes afetados.

O que devo fazer?

Uma vez que os clusters do VMware Engine não são afetados por esta vulnerabilidade, não é necessária nenhuma ação adicional.

 Crítico

GCP-2021-010

Publicado: 2021-05-25
Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2021-0010, foram comunicadas de forma privada à VMware vulnerabilidades de execução de código remoto e de contorno de autenticação no vSphere Client (HTML5). A VMware disponibilizou atualizações para corrigir estas vulnerabilidades nos produtos VMware afetados.

Aplicámos as correções fornecidas pela VMware para a pilha do vSphere de acordo com o aviso de segurança da VMware. Esta atualização resolve as vulnerabilidades de segurança descritas em CVE-2021-21985 e CVE-2021-21986. As versões de imagens em execução na sua nuvem privada do VMware Engine não refletem nenhuma alteração neste momento para indicar os patches aplicados. Tenha a certeza de que foram instaladas as correções adequadas e que o seu ambiente está protegido contra estas vulnerabilidades.

Impacto do VMware Engine

Com base nas nossas investigações, não foram encontrados clientes afetados.

O que devo fazer?

Uma vez que os clusters do VMware Engine não são afetados por esta vulnerabilidade, não é necessária nenhuma ação adicional.

 Crítico

GCP-2021-002

Publicado: 2021-03-05
Descrição Gravidade Notas

De acordo com o aviso de segurança da VMware VMSA-2021-0002, a VMware recebeu relatórios de várias vulnerabilidades no VMware ESXi e no vSphere Client (HTML5). A VMware disponibilizou atualizações para corrigir estas vulnerabilidades nos produtos VMware afetados.

Aplicámos as soluções alternativas documentadas oficialmente para a pilha do vSphere de acordo com o aviso de segurança da VMware. Esta atualização resolve as vulnerabilidades de segurança descritas em CVE-2021-21972, CVE-2021-21973 e CVE-2021-21974.

Impacto do VMware Engine

Com base nas nossas investigações, não foram encontrados clientes afetados.

O que devo fazer?

Recomendamos que atualize para a versão mais recente do HCX.

 Crítico