安全性公告

如要評估獨立 AlloyDB Omni 部署項目的資安態勢，並規劃資料庫升級，請查看本頁面的安全性政策、安全漏洞範圍、揭露做法，以及聯邦資訊處理標準 (FIPS) 140-3 密碼編譯模組邊界：

如要在動態消息閱讀器中接收最新的 AlloyDB Omni 版本資訊和安全性更新，請訂閱 AlloyDB Omni 版本資訊動態消息。

範圍和嚴重性篩選

為確保修復工作流程著重於可採取行動的安全諮詢，並減少掃描器雜訊，AlloyDB Omni 漏洞摘要和詳細 CVE 記錄會遵循下列回報政策：

  • 嚴格篩選「重大」和「高」嚴重性：安全漏洞摘要表格和詳細 CVE 記錄，只會根據美國國家安全漏洞資料庫 (NVD) 和上游供應商的嚴重性評等，回報「重大」和「高」嚴重性的 CVE。嚴重性為「低」和「中」的公告不會計入摘要計數，也不會列入詳細記錄。
  • 資料庫核心和控制層報告分開：獨立的 AlloyDB Omni 安全性公告會報告資料庫核心容器映像檔 (18.x、17.x、16.x 和 15.x) 專屬的安全漏洞。Kubernetes 運算子和 sidecar 容器公告會分開追蹤，詳情請參閱Kubernetes 中的 AlloyDB Omni 安全性公告。
  • 版本專屬隔離：詳細的 CVE 記錄會使用標準化的 4 欄結構定義 (CVE ID、Severity、Impacted images 和 Mitigated in)，依發布版本整理至專屬子頁面。在每個發布記錄中， Mitigated in 欄則會顯示後續發布版本，代表安全漏洞已在該版本中修復。

安全漏洞評估和更新政策

Google 會定期根據 NVD、Red Hat 安全性資料、Debian 安全性追蹤工具和 Go 安全漏洞資料庫，掃描所有已發布的 AlloyDB Omni 容器映像檔。Google 會在發布新版本時更新 AlloyDB Omni 安全性公告：

  • 已修正的 CVE：後續的次要或修補程式版本，已緩解 AlloyDB Omni 資料庫核心容器映像檔先前版本中的安全漏洞。Google 會將安全性修補程式套用至支援的 PostgreSQL 主要版本 18、17、16 和 15 的最新子版本。
  • 已取代的容器映像檔：當新版 AlloyDB Omni 緩解舊版中的 CVE 時，Google 會將已取代的容器映像檔摘要標示為已淘汰。請一律提取與最新支援版本對應的資料庫核心映像檔。

FIPS 140-3 法規遵循和 CVE 修補

為維持符合聯邦資訊處理標準 (FIPS) 140-3 規範，同時持續修補次要版本和修補程式版本中的安全漏洞，AlloyDB Omni 會將內部通過 FIPS 驗證的加密編譯模組，與外部加密編譯和通訊協定程式庫分離：

  • 密碼編譯模組的 FIPS 驗證：美國國家標準與技術研究院 (NIST) 的密碼編譯模組驗證計畫 (CMVP) 會認證凍結的內部密碼編譯模組或供應商，並核發憑證編號。修改該驗證邊界內的任何指令，都會改變其內嵌的雜湊式訊息驗證碼 (HMAC) 完整性核對和，並使憑證失效。
  • 部署作業符合 FIPS 規範：AlloyDB Omni 部署作業在啟用 FIPS 的主機 OS (例如 Red Hat Enterprise Linux (RHEL) 9，且 /proc/sys/crypto/fips_enabled 檔案設為 1) 上執行時，會以符合 FIPS 140-3 規範的模式運作。在這種模式下，部署作業會透過 FIPS 驗證模組，轉送所有與安全性相關的加密編譯作業，並啟用開機已知答案測試 (KAT) 和 HMAC 完整性檢查。此外，也會強制執行核准的傳輸層安全標準 (TLS) 版本 (TLS 1.2 以上版本)、核准的加密套件，以及 scram-sha-256 密碼驗證方式。Red Hat Universal Base Image 9 (UBI 9) 資料庫核心容器映像檔 (-ubi9) 支援 FIPS，貴組織必須在基礎主機 OS 啟用及驗證 FIPS 模式。
  • FIPS 邊界外的 CVE 修補：通訊協定剖析和網路程式庫 (例如 TLS 狀態機器、X.509 和 ASN.1 憑證剖析、HTTP/2 和網路 I/O) 位於凍結 FIPS 模組邊界外的外層。由於這些元件位於經過驗證的邊界之外，Google 會在次要版本和修補程式版本中修補外層 CVE，而不會修改內部密碼編譯模組或撤銷其 NIST CMVP 認證。只有在低階密碼編譯原始碼實作本身存在安全漏洞時，才需要更新內部 FIPS 模組。
下表說明 AlloyDB Omni Red Hat UBI 9 資料庫核心容器映像檔 (-ubi9) 的密碼編譯堆疊，包括凍結的內部 FIPS 邊界，以及在各版本中修補的外部密碼編譯和通訊協定層：

密碼編譯堆疊 資料庫核心容器映像檔 二進位檔 內部 FIPS 驗證模組或供應商 外部加密和通訊協定層
BoringSSL 和 BoringCrypto alloydbomni (-ubi9) postgres 和 pgbackrest C 二進位檔 Google BoringCrypto 模組 (BCM) BoringSSL libssl 和非 BCM libcrypto 套件 x509、asn1、pem 和 bio，適用於 postgres 和 pgbackrest
OpenSSL 3 alloydbomni 的 Red Hat UBI 9 基本 OS 層 (-ubi9) 基本 OS 共用程式庫和公用程式 RHEL 9 OpenSSL FIPS 供應商 openssl-libs RPM 套件中的 /lib64/libssl.so.3 和 /lib64/libcrypto.so.3

後續步驟