Buletin keamanan

Pilih versi dokumentasi:

Untuk mengevaluasi postur keamanan deployment paket RPM AlloyDB Omni di Red Hat Enterprise Linux (RHEL) dan Rocky Linux serta merencanakan upgrade, tinjau kebijakan keamanan, cakupan kerentanan, dan praktik pengungkapan Common Vulnerabilities and Exposures (CVE) di halaman ini.

Untuk menerima catatan rilis dan update keamanan AlloyDB Omni terbaru di pembaca feed Anda, berlanggananlah ke feed catatan rilis AlloyDB Omni.

Pemfilteran cakupan dan tingkat keparahan

Untuk memfokuskan alur kerja perbaikan pada saran keamanan yang dapat ditindaklanjuti dan mengurangi derau pemindai, ringkasan kerentanan AlloyDB Omni dan log CVE yang mendetail mengikuti kebijakan pelaporan berikut:

  • Pemfilteran ketat untuk tingkat keparahan Kritis dan Tinggi: Tabel ringkasan kerentanan dan log CVE mendetail hanya melaporkan CVE dengan tingkat keparahan Kritis dan Tinggi berdasarkan rating tingkat keparahan dari National Vulnerability Database (NVD) dan vendor upstream. Saran dengan tingkat keparahan Rendah dan Sedang dikecualikan dari jumlah ringkasan dan log mendetail.
  • Isolasi khusus versi: Log CVE mendetail diatur ke dalam subhalaman khusus per versi rilis menggunakan skema 4 kolom standar (CVE ID, Severity, AlloyDB Omni version, dan Mitigated in). Dalam setiap log rilis, kerentanan yang diperbaiki dalam rilis berikutnya menampilkan versi rilis mitigasi di kolom Mitigated in.

Penilaian kerentanan dan kebijakan pembaruan

Google secara rutin memindai semua paket RPM AlloyDB Omni yang dipublikasikan terhadap NVD dan Data Keamanan Red Hat. Google memperbarui buletin keamanan AlloyDB Omni saat rilis baru dipublikasikan:

  • CVE yang diperbaiki: Kerentanan yang ada dalam paket RPM AlloyDB Omni sebelumnya dimitigasi dalam rilis minor atau patch berikutnya. Google menerapkan patch keamanan ke versi minor terbaru dari versi utama PostgreSQL 18 dan 17 yang didukung.
  • Paket OS host untuk deployment RPM: Saat Anda men-deploy AlloyDB Omni menggunakan paket RPM, AlloyDB Omni akan mengirimkan kernel database PostgreSQL dan paket ekstensi yang dipaketkan. Distribusi Linux host Anda mengelola library sistem seperti openssl-libs, glibc, libevent, systemd, dan kernel Linux. Terapkan update keamanan OS host secara rutin dengan menjalankan sudo dnf update --security di host RHEL atau Rocky Linux Anda.

Kepatuhan FIPS 140-3 dan patching CVE

Untuk mempertahankan kepatuhan terhadap Federal Information Processing Standards (FIPS) 140-3 sambil terus melakukan patch pada kerentanan keamanan di seluruh rilis minor dan patch, AlloyDB Omni memisahkan modul kriptografi dalam yang divalidasi FIPS dari library kriptografi dan protokol luarnya:

  • Validasi FIPS untuk modul kriptografis: Cryptographic Module Validation Program (CMVP) National Institute of Standards and Technology (NIST) menyertifikasi modul atau penyedia kriptografis internal yang dibekukan dan menerbitkan nomor sertifikat. Mengubah petunjuk apa pun di dalam batas yang divalidasi tersebut akan mengubah checksum integritas Hash-based Message Authentication Code (HMAC) yang disematkan dan membatalkan validitas sertifikat.
  • Kepatuhan FIPS untuk deployment: Deployment AlloyDB Omni beroperasi dalam mode yang mematuhi FIPS 140-3 saat berjalan di OS host yang mendukung FIPS, seperti RHEL 9 dengan file /proc/sys/crypto/fips_enabled yang ditetapkan ke 1. Dalam mode ini, deployment merutekan semua operasi kriptografis yang relevan dengan keamanan melalui modul yang divalidasi FIPS dengan Known-Answer Test (KAT) yang diaktifkan dan pemeriksaan integritas HMAC diaktifkan. Proxy ini juga menerapkan versi Transport Layer Security (TLS) yang disetujui, yaitu TLS 1.2 atau yang lebih baru, cipher suite yang disetujui, dan metode autentikasi sandi scram-sha-256. Paket RPM AlloyDB Omni siap untuk FIPS, dan organisasi Anda bertanggung jawab untuk mengaktifkan dan memverifikasi mode FIPS pada OS host yang mendasarinya.
  • Patching CVE di luar batas FIPS: Library penguraian protokol dan jaringan, seperti mesin status TLS, penguraian sertifikat X.509 dan ASN.1, HTTP/2, dan I/O jaringan, berada di lapisan luar di luar batas modul FIPS yang dibekukan. Karena komponen ini berada di luar batas yang divalidasi, Google menerapkan patch pada CVE lapisan luar di seluruh rilis minor dan patch tanpa mengubah modul kriptografi dalam atau membatalkan sertifikasi NIST CMVP-nya. Hanya kerentanan di dalam implementasi primitif kriptografis tingkat rendah itu sendiri yang memerlukan update pada modul FIPS internal.
Untuk deployment RPM di RHEL atau Rocky Linux, paket database alloydbomni18 dan alloydbomni17 secara dinamis menautkan ke library OpenSSL 3 OS host dalam paket RPM openssl-libs dan menggunakan Penyedia FIPS OpenSSL RHEL 9 host saat mode FIPS diaktifkan di kernel host. Menerapkan update keamanan openssl-libs pada OS host akan memperbaiki kerentanan TLS dan X.509 lapisan luar sekaligus mempertahankan batas Penyedia FIPS OpenSSL yang tersertifikasi.

Langkah berikutnya