עדכון אבטחה דחוף

בוחרים גרסת תיעוד:

כדי להעריך את מצב האבטחה של פריסות חבילות RPM של AlloyDB Omni ב-Red Hat Enterprise Linux‏ (RHEL) וב-Rocky Linux, ולתכנן שדרוגים, כדאי לעיין במדיניות האבטחה, בהיקף נקודות החולשה ובשיטות הגילוי של נקודות חולשה וחשיפות נפוצות (CVE) שבדף הזה.

כדי לקבל את עדכוני האבטחה ונתוני הגרסאות האחרונים של AlloyDB Omni בקורא הפידים, הירשמו לפיד של נתוני הגרסאות של AlloyDB Omni.

סינון לפי היקף וחומרה

כדי למקד את תהליכי העבודה לתיקון בהמלצות אבטחה שניתן לפעול לפיהן ולצמצם את הרעש של הסורק, סיכומי נקודות החולשה ויומני ה-CVE המפורטים של AlloyDB Omni פועלים לפי מדיניות הדיווח הבאה:

  • סינון מחמיר של חומרת סיכון קריטית וגבוהה: טבלאות סיכום של נקודות חולשה ודוחות מפורטים של יומני CVE מדווחים רק על נקודות חולשה קריטיות וגבוהות, על סמך דירוגי החומרה של National Vulnerability Database (NVD)‎ ושל ספקים במעלה הזרם. התראות ברמת חומרה נמוכה ובינונית לא נכללות בסיכומים וביומנים המפורטים.
  • הפרדה לפי גרסה: יומני CVE מפורטים מאורגנים בדפי משנה ייעודיים לכל גרסת הפצה, באמצעות סכימה סטנדרטית של 4 עמודות (CVE ID,‏ Severity,‏ AlloyDB Omni version ו-Mitigated in). בכל יומן הפצה, חולשות אבטחה שתוקנו בהפצה הבאה מוצגות בתור גרסת ההפצה שבה הן תוקנו בעמודה Mitigated in.

מדיניות הערכת נקודות חולשה ורענון

‫Google סורקת באופן קבוע את כל חבילות ה-RPM של AlloyDB Omni שפורסמו, בהשוואה ל-NVD ולנתוני האבטחה של Red Hat. ‫Google מרעננת את עדכוני האבטחה הדחופים של AlloyDB Omni כשמתפרסמות גרסאות חדשות:

  • תיקון של CVE: נקודות חולשה שהיו קיימות בחבילת RPM קודמת של AlloyDB Omni, וטופלו בגרסה משנית או בתיקון מאוחרים יותר. ‫Google מחילה תיקוני אבטחה על הגרסה המשנית האחרונה של גרסאות PostgreSQL הראשיות הנתמכות 18 ו-17.
  • חבילות של מערכת ההפעלה המארחת לפריסות של RPM: כשפורסים את AlloyDB Omni באמצעות חבילות RPM,‏ AlloyDB Omni מספק את הליבה של מסד הנתונים של PostgreSQL ואת חבילות התוספים המצורפות. הפצת ה-Linux המארחת מנהלת את ספריות המערכת, כמו openssl-libs,‏ glibc,‏ libevent,‏ systemd וליבת ה-Linux. כדי להחיל עדכוני אבטחה של מערכת ההפעלה המארחת באופן קבוע, מריצים את הפקודה sudo dnf update --security במארחים של RHEL או Rocky Linux.

תאימות ל-FIPS 140-3 ותיקון CVE

כדי לשמור על תאימות לתקן Federal Information Processing Standards (FIPS) 140-3, ובמקביל להמשיך לתקן נקודות חולשה באבטחה בגרסאות משניות ובתיקוני באגים, ב-AlloyDB Omni יש הפרדה בין המודולים הקריפטוגרפיים הפנימיים שאושרו על ידי FIPS לבין הספריות הקריפטוגרפיות וספריות הפרוטוקולים החיצוניות:

  • אימות FIPS למודולים קריפטוגרפיים: התוכנית לאימות מודולים קריפטוגרפיים (CMVP) של המכון הלאומי לתקנים וטכנולוגיה (NIST) מאשרת מודול או ספק קריפטוגרפי פנימי קפוא ומנפיקה מספר אישור. שינוי של הוראה כלשהי בתוך הגבול המאומת הזה משנה את סיכום הביקורת (checksum) של קוד אימות ההודעות המבוסס על גיבוב (HMAC) שמוטמע בו, ומבטל את תוקף האישור.
  • תאימות לפריסות של FIPS: פריסה של AlloyDB Omni פועלת במצב תואם ל-FIPS 140-3 כשהיא פועלת במערכת הפעלה מארחת שתומכת ב-FIPS, כמו RHEL 9 עם הקובץ /proc/sys/crypto/fips_enabled שמוגדר ל-1. במצב הזה, הפריסה מנתבת את כל הפעולות הקריפטוגרפיות שקשורות לאבטחה דרך מודול מאומת FIPS, עם בדיקות KAT (בדיקות תשובה ידועה) ובדיקות תקינות של HMAC שמופעלות בהפעלה. הוא גם אוכף גרסאות מאושרות של Transport Layer Security ‏(TLS) – גרסה 1.2 ואילך, סט אלגוריתמים להצפנה (cipher suite) מאושרים ושיטת אימות הסיסמה של scram-sha-256. חבילות AlloyDB Omni RPM תואמות ל-FIPS, והארגון שלכם אחראי להפעיל ולאמת את מצב FIPS במערכת ההפעלה המארחת הבסיסית.
  • תיקון CVE מחוץ לגבולות FIPS: ניתוח פרוטוקולים וספריות רשת, כמו מכונות מצב של TLS, ניתוח אישורי X.509 ו-ASN.1,‏ HTTP/2 וקלט/פלט של רשת, נמצאים בשכבה החיצונית מחוץ לגבולות מודול FIPS הקפוא. מכיוון שהרכיבים האלה נמצאים מחוץ לגבולות המאומתים, Google מתקנת את נקודות החולשה והחשיפה (CVE) בשכבה החיצונית בגרסאות משניות ובתיקוני באגים, בלי לשנות את המודול הקריפטוגרפי הפנימי או לבטל את אישור ה-NIST CMVP שלו. רק אם יש נקודת חולשה בתוך ההטמעה של הפרימיטיב הקריפטוגרפי ברמה הנמוכה, צריך לעדכן את מודול ה-FIPS הפנימי.
בפריסות RPM ב-RHEL או ב-Rocky Linux, חבילות מסד הנתונים alloydbomni18 ו-alloydbomni17 מקושרות באופן דינמי לספריות OpenSSL 3 של מערכת ההפעלה המארחת בחבילת ה-RPM‏ openssl-libs, ומשתמשות ב-FIPS Provider של OpenSSL ב-RHEL 9 המארח כשמצב FIPS מופעל בליבה (kernel) המארחת. החלת עדכוני אבטחה של openssl-libs במערכת ההפעלה המארחת מתקנת נקודות חולשה בשכבה החיצונית של TLS ו-X.509, תוך שמירה על הגבולות של ספק OpenSSL FIPS המאושר.

המאמרים הבאים