עדכון אבטחה דחוף

בוחרים גרסת תיעוד:

כדי להעריך את מצב האבטחה של פריסות של AlloyDB Omni RPM orchestrator ב-Red Hat Enterprise Linux‏ (RHEL) וב-Rocky Linux, ולתכנן שדרוגים, כדאי לעיין במדיניות האבטחה, בהיקף נקודות החולשה ובשיטות החשיפה של נקודות חולשה וחשיפות נפוצות (CVE) שבדף הזה.

כדי לקבל את עדכוני האבטחה ונתוני הגרסאות האחרונים של AlloyDB Omni בקורא הפידים, הירשמו לפיד של נתוני הגרסאות של AlloyDB Omni.

סינון לפי היקף וחומרה

כדי למקד את תהליכי העבודה לתיקון בהמלצות אבטחה שניתן לפעול לפיהן ולצמצם את הרעש של הסורק, סיכומי נקודות החולשה ויומני ה-CVE המפורטים של AlloyDB Omni פועלים לפי מדיניות הדיווח הבאה:

  • סינון מחמיר של חומרת סיכון קריטית וגבוהה: טבלאות סיכום של נקודות חולשה ודוחות מפורטים של יומני CVE מדווחים רק על נקודות חולשה קריטיות וגבוהות, על סמך דירוגי החומרה של National Vulnerability Database (NVD)‎ ושל ספקים במעלה הזרם. התראות ברמת חומרה נמוכה ובינונית לא נכללות בסיכומים וביומנים המפורטים.
  • הפרדה לפי גרסה: יומני CVE מפורטים מאורגנים בדפי משנה ייעודיים לכל גרסת הפצה, באמצעות סכימה סטנדרטית של 4 עמודות (CVE ID,‏ Severity,‏ AlloyDB Omni version ו-Mitigated in). בכל יומן הפצה, חולשות אבטחה שתוקנו בהפצה הבאה מוצגות בתור גרסת ההפצה שבה הן תוקנו בעמודה Mitigated in.

מדיניות הערכת נקודות חולשה ורענון

‫Google סורקת באופן קבוע את כל חבילות ה-RPM של מסד הנתונים ושל מנהל התזמור של AlloyDB Omni שפורסמו, בהשוואה למסדי הנתונים של נקודות החולשה של NVD,‏ Red Hat Security Data ו-Go. ‫Google מרעננת את עדכוני האבטחה הדחופים של AlloyDB Omni כשמתפרסמות גרסאות חדשות:

  • תיקון של CVE: פגיעויות שהיו קיימות בחבילת RPM קודמת של מסד הנתונים או של התזמור של AlloyDB Omni RPM, טופלו בגרסה משנית או בתיקון באגים מאוחרים יותר. ‫Google מחילה תיקוני אבטחה על גרסת המשנה האחרונה של גרסה ראשית 18 הנתמכת של PostgreSQL, ועל הגרסה האחרונה הנתמכת של AlloyDB Omni RPM orchestrator.
  • חבילות של מערכת ההפעלה המארחת לפריסות RPM: כשפורסים את AlloyDB Omni באמצעות מתזמר ה-RPM,‏ AlloyDB Omni מספק את הליבה של מסד הנתונים של PostgreSQL ואת חבילות התוספים המצורפות. הפצת ה-Linux המארחת מנהלת את ספריות המערכת, כמו openssl-libs,‏ glibc,‏ libevent,‏ systemd וליבת ה-Linux. כדי להחיל עדכוני אבטחה של מערכת ההפעלה המארחת באופן קבוע, מריצים את הפקודה sudo dnf update --security במארחים של RHEL או Rocky Linux.

תאימות ל-FIPS 140-3 ותיקון CVE

כדי לשמור על תאימות לתקן Federal Information Processing Standards (FIPS) 140-3, ובמקביל להמשיך לתקן נקודות חולשה באבטחה בגרסאות משניות ובתיקוני באגים, ב-AlloyDB Omni יש הפרדה בין המודולים הקריפטוגרפיים הפנימיים שאושרו על ידי FIPS לבין הספריות הקריפטוגרפיות וספריות הפרוטוקולים החיצוניות:

  • אימות FIPS למודולים קריפטוגרפיים: התוכנית לאימות מודולים קריפטוגרפיים (CMVP) של המכון הלאומי לתקנים וטכנולוגיה (NIST) מאשרת מודול או ספק קריפטוגרפי פנימי קפוא ומנפיקה מספר אישור. שינוי של הוראה כלשהי בתוך הגבול המאומת הזה משנה את סיכום הביקורת (checksum) של קוד אימות ההודעות המבוסס על גיבוב (HMAC) שמוטמע בו, ומבטל את תוקף האישור.
  • תאימות לפריסות של FIPS: פריסה של AlloyDB Omni פועלת במצב תואם ל-FIPS 140-3 כשהיא פועלת במערכת הפעלה מארחת שתומכת ב-FIPS, כמו RHEL 9 עם הקובץ /proc/sys/crypto/fips_enabled שמוגדר ל-1. במצב הזה, הפריסה מנתבת את כל הפעולות הקריפטוגרפיות שקשורות לאבטחה דרך מודול מאומת FIPS, עם בדיקות KAT (בדיקות תשובה ידועה) ובדיקות תקינות של HMAC שמופעלות בהפעלה. הוא גם אוכף גרסאות מאושרות של Transport Layer Security ‏(TLS) – גרסה 1.2 ואילך, סט אלגוריתמים להצפנה (cipher suite) מאושרים ושיטת אימות הסיסמה של scram-sha-256. חבילות ה-RPM של מסד הנתונים ושל התזמור ב-AlloyDB Omni תואמות ל-FIPS, והארגון שלכם אחראי להפעיל ולאמת את מצב FIPS במערכת ההפעלה המארחת הבסיסית. מידע נוסף זמין במאמר אבטחה ותאימות ל-FIPS.
  • תיקון CVE מחוץ לגבולות FIPS: ניתוח פרוטוקולים וספריות רשת, כמו מכונות מצב של TLS, ניתוח אישורי X.509 ו-ASN.1,‏ HTTP/2 וקלט/פלט של רשת, נמצאים בשכבה החיצונית מחוץ לגבולות מודול FIPS הקפוא. מכיוון שהרכיבים האלה נמצאים מחוץ לגבולות המאומתים, Google מתקנת את נקודות החולשה והחשיפה (CVE) בשכבה החיצונית בגרסאות משניות ובתיקוני באגים, בלי לשנות את המודול הקריפטוגרפי הפנימי או לבטל את אישור ה-NIST CMVP שלו. רק אם יש נקודת חולשה בתוך ההטמעה של הפרימיטיב הקריפטוגרפי ברמה הנמוכה, צריך לעדכן את מודול ה-FIPS הפנימי.
בפריסות של RPM orchestrator ב-RHEL או ב-Rocky Linux, חבילת מסד הנתונים alloydbomni18 מקושרת באופן דינמי לספריות OpenSSL 3 של מערכת ההפעלה המארחת בחבילת ה-RPM‏ openssl-libs, ומשתמשת ב-RHEL 9 OpenSSL FIPS Provider של המארח כשמצב FIPS מופעל בליבת המארח. החלת עדכוני אבטחה של openssl-libs במערכת ההפעלה המארחת מתקנת נקודות חולשה בשכבה החיצונית של TLS ו-X.509, תוך שמירה על הגבולות של ספק OpenSSL FIPS המאושר.

המאמרים הבאים