Boletim de segurança

Selecione uma versão da documentação:

Para avaliar a postura de segurança das suas implantações independentes do AlloyDB Omni e planejar upgrades de banco de dados, consulte as políticas de segurança, o escopo de vulnerabilidade, as práticas de divulgação e os limites do módulo criptográfico dos Padrões Federais de Processamento de Informações (FIPS, na sigla em inglês) 140-3 nesta página:

Para receber as notas da versão e as atualizações de segurança mais recentes do AlloyDB Omni no seu leitor de feed, inscreva-se no feed de notas da versão do AlloyDB Omni.

Filtragem de escopo e gravidade

Para focar os fluxos de trabalho de correção em avisos de segurança acionáveis e reduzir o ruído do scanner, os resumos de vulnerabilidade do AlloyDB Omni e os registros detalhados de CVE seguem estas políticas de relatórios:

  • Filtragem rigorosa de gravidade crítica e alta: as tabelas de resumo de vulnerabilidades e os registros detalhados de CVEs relatam exclusivamente CVEs de gravidade crítica e alta com base no National Vulnerability Database (NVD) e nas classificações de gravidade do fornecedor upstream. Os avisos de gravidade baixa e média são excluídos das contagens de resumo e dos registros detalhados.
  • Relatórios de kernel de banco de dados e plano de controle desacoplados: os boletins de segurança independentes do AlloyDB Omni relatam vulnerabilidades específicas das imagens de contêiner do kernel do banco de dados (18.x, 17.x, 16.x e 15.x). Os avisos do operador do Kubernetes e do contêiner secundário são rastreados separadamente noBoletim de segurança do AlloyDB Omni no Kubernetes.
  • Isolamento específico da versão: os registros detalhados de CVEs são organizados em subpáginas dedicadas por versão de lançamento usando um esquema padronizado de quatro colunas (CVE ID, Severity, Impacted images e Mitigated in). Em cada registro de lançamento, as vulnerabilidades corrigidas em uma versão posterior mostram a versão de lançamento de mitigação na coluna Mitigated in.

Política de avaliação e atualização de vulnerabilidades

O Google verifica regularmente todas as imagens de contêiner publicadas do AlloyDB Omni em relação aos bancos de dados de vulnerabilidades do NVD, do Red Hat Security Data, do Debian Security Tracker e do Go. O Google atualiza os boletins de segurança do AlloyDB Omni quando novas versões são publicadas:

  • CVEs corrigidas: as vulnerabilidades que estavam presentes em uma imagem de contêiner do kernel do banco de dados do AlloyDB Omni anterior são mitigadas em uma versão secundária ou de patch subsequente. O Google aplica patches de segurança à versão secundária mais recente das versões principais 18, 17, 16 e 15 do PostgreSQL.
  • Imagens de contêiner substituídas: quando uma nova versão do AlloyDB Omni mitiga CVEs de uma versão anterior, o Google marca os resumos de imagens de contêiner substituídas como obsoletos. Sempre extraia imagens do kernel do banco de dados que correspondam à versão mais recente com suporte.

Conformidade com o FIPS 140-3 e aplicação de patches de CVE

Para manter a conformidade com o Federal Information Processing Standards (FIPS) 140-3 enquanto corrige continuamente vulnerabilidades de segurança em versões secundárias e de patch, o AlloyDB Omni separa os módulos criptográficos internos validados pelo FIPS das bibliotecas criptográficas e de protocolo externas:

  • Validação do FIPS para módulos criptográficos: o Programa de Validação de Módulos Criptográficos (CMVP, na sigla em inglês) do Instituto Nacional de Padrões e Tecnologia (NIST, na sigla em inglês) certifica um módulo ou provedor criptográfico interno congelado e emite um número de certificado. A modificação de qualquer instrução dentro desse limite validado altera o checksum de integridade do código de autenticação de mensagem baseado em hash (HMAC, na sigla em inglês) incorporado e invalida o certificado.
  • Conformidade com o FIPS para implantações: uma implantação do AlloyDB Omni opera em um modo compatível com o FIPS 140-3 quando é executada em um SO host com FIPS ativado, como o Red Hat Enterprise Linux (RHEL) 9 com o arquivo /proc/sys/crypto/fips_enabled definido como 1. Nesse modo, a implantação encaminha todas as operações criptográficas relevantes para a segurança por um módulo validado pelo FIPS com testes de resposta conhecida (KATs, na sigla em inglês) de inicialização e verificações de integridade HMAC ativadas. Ele também aplica versões aprovadas do Transport Layer Security (TLS) do TLS 1.2 ou posterior, conjuntos de criptografia aprovados e o método de autenticação de senha scram-sha-256. As imagens de contêiner do kernel do banco de dados (-ubi9) da Red Hat Universal Base Image 9 (UBI 9) estão prontas para o FIPS, e sua organização é responsável por ativar e verificar o modo FIPS no SO host subjacente.
  • Aplicação de patches de CVE fora do limite do FIPS: as bibliotecas de análise de protocolo e de rede, como máquinas de estado TLS, análise de certificados X.509 e ASN.1, HTTP/2 e E/S de rede, residem na camada externa fora do limite do módulo FIPS congelado. Como esses componentes estão fora do limite validado, o Google corrige as CVEs da camada externa em versões secundárias e de patch sem modificar o módulo criptográfico interno ou invalidar a certificação CMVP do NIST. Somente uma vulnerabilidade dentro da implementação primitiva criptográfica de baixo nível requer uma atualização para o módulo FIPS interno.
A tabela a seguir descreve as pilhas criptográficas nas imagens de contêiner do kernel do banco de dados do AlloyDB Omni Red Hat UBI 9 (-ubi9), incluindo o limite interno congelado do FIPS e a camada criptográfica e de protocolo externa que é corrigida em todas as versões:

Pilha criptográfica Imagem do contêiner do kernel do banco de dados Binários Módulo ou provedor interno validado pelo FIPS Camada externa de criptografia e protocolo
BoringSSL e BoringCrypto alloydbomni (-ubi9) Binários C postgres e pgbackrest Módulo BoringCrypto do Google (BCM) Pacotes BoringSSL libssl e não BCM libcrypto x509, asn1, pem e bio para postgres e pgbackrest
OpenSSL 3 Camada do SO base do Red Hat UBI 9 de alloydbomni (-ubi9) Utilitários e bibliotecas compartilhadas do SO de base Provedor FIPS do OpenSSL do RHEL 9 /lib64/libssl.so.3 e /lib64/libcrypto.so.3 no pacote RPM openssl-libs

A seguir