Red Hat Enterprise Linux（RHEL）と Rocky Linux での AlloyDB Omni RPM オーケストレーターのデプロイのセキュリティ ポスチャーを評価し、アップグレードを計画するには、このページでセキュリティ ポリシー、脆弱性の範囲、共通脆弱性識別子（CVE）の開示方法を確認してください。
フィード リーダーで AlloyDB Omni の最新のリリースノートとセキュリティ アップデートを受け取るには、AlloyDB Omni リリースノート フィードに登録します。
範囲と重大度によるフィルタリング
修復ワークフローを、対応可能なセキュリティ アドバイザリに集中させ、スキャナのノイズを低減するため、AlloyDB Omni の脆弱性の概要と詳細な CVE ログは、次のレポート ポリシーに従います。
- 重大度が「重大」と「高」の厳格なフィルタリング: 脆弱性の概要テーブルと詳細な CVE ログには、National Vulnerability Database（NVD）とアップストリーム ベンダーの重大度評価に基づいて、重大度が「重大」と「高」の CVE のみが報告されます。重大度が「低」と「中」のアドバイザリは、概要のカウントと詳細ログから除外されます。
- バージョン固有の分離: 詳細な CVE ログは、標準化された 4 列のスキーマ（
CVE ID、Severity、AlloyDB Omni version、Mitigated in）を使用して、リリース バージョンごとに専用のサブページに整理されます。各リリースログ内で、 後続のリリースで修正された脆弱性にはMitigated in列に緩和策のリリース バージョンが表示されます。
脆弱性評価と更新ポリシー
Google は、公開されているすべての AlloyDB Omni RPM オーケストレーターとデータベース RPM パッケージを、NVD、Red Hat セキュリティ データ、Go 脆弱性データベースと照合して定期的にスキャンします。Google は、新しいリリースが公開されると、AlloyDB Omni のセキュリティに関する公開情報を更新します。- 修正済みの CVE: 以前の AlloyDB Omni RPM オーケストレーターまたはデータベース RPM パッケージに存在していた脆弱性が、以降のマイナー リリースまたはパッチリリースで軽減されています。Google は、サポートされている PostgreSQL メジャー バージョン 18 の最新マイナー バージョンと、サポートされている最新の AlloyDB Omni RPM オーケストレーター リリースにセキュリティ パッチを適用します。
- RPM デプロイ用のホスト OS パッケージ: RPM オーケストレーターを使用して AlloyDB Omni をデプロイすると、AlloyDB Omni は PostgreSQL データベース カーネルとバンドルされた拡張機能パッケージを配信します。ホストの Linux ディストリビューションは、
openssl-libs、glibc、libevent、systemdなどのシステム ライブラリと Linux カーネルを管理します。RHEL または Rocky Linux ホストでsudo dnf update --securityを実行して、ホスト OS のセキュリティ アップデートを定期的に適用します。
FIPS 140-3 準拠と CVE パッチ適用
連邦情報処理標準（FIPS）140-3 への準拠を維持しながら、マイナー リリースとパッチリリース全体でセキュリティの脆弱性に継続的にパッチを適用するため、AlloyDB Omni は、内部の FIPS 認定暗号モジュールを外部の暗号ライブラリとプロトコル ライブラリから分離します。
- 暗号モジュールの FIPS 検証: 米国国立標準技術研究所（NIST）の暗号モジュール検証プログラム（CMVP）は、フリーズされた内部暗号モジュールまたはプロバイダを認定し、証明書番号を発行します。検証済みの境界内の命令を変更すると、埋め込まれたハッシュベースのメッセージ認証コード（HMAC）の整合性チェックサムが変更され、証明書が無効になります。
- デプロイの FIPS コンプライアンス: AlloyDB Omni デプロイは、FIPS 対応のホスト OS（
/proc/sys/crypto/fips_enabledファイルが1に設定された RHEL 9 など）で実行されると、FIPS 140-3 準拠モードで動作します。このモードでは、デプロイは、電源投入時の既知回答テスト（KAT）と HMAC 完全性チェックが有効になっている FIPS 検証済みモジュールを介して、セキュリティ関連のすべての暗号オペレーションをルーティングします。また、承認済みの Transport Layer Security（TLS）バージョン（TLS 1.2 以降）、承認済みの暗号スイート、scram-sha-256パスワード認証方法も適用されます。AlloyDB Omni RPM オーケストレーターとデータベース RPM パッケージは FIPS に対応しています。組織は、基盤となるホスト OS で FIPS モードを有効にして検証する責任を負います。詳細については、セキュリティと FIPS コンプライアンスをご覧ください。 - FIPS 境界外の CVE パッチ適用: TLS ステート マシン、X.509 および ASN.1 証明書解析、HTTP/2、ネットワーク I/O などのプロトコル解析ライブラリとネットワーキング ライブラリは、凍結された FIPS モジュール境界の外側のレイヤにあります。これらのコンポーネントは検証済みの境界の外側にあるため、Google は内部の暗号モジュールを変更したり、NIST CMVP 認証を無効にしたりすることなく、マイナー リリースとパッチリリースで外側のレイヤの CVE にパッチを適用します。低レベルの暗号プリミティブ実装自体の内部に脆弱性がある場合にのみ、内部 FIPS モジュールの更新が必要になります。
alloydbomni18 データベース パッケージは、openssl-libs RPM パッケージ内のホスト OS OpenSSL 3 ライブラリに動的にリンクし、ホストカーネルで FIPS モードが有効になっている場合は、ホスト RHEL 9 OpenSSL FIPS プロバイダを使用します。ホスト OS に openssl-libs セキュリティ アップデートを適用すると、認定された OpenSSL FIPS プロバイダの境界を維持しながら、外層の TLS と X.509 の脆弱性が修正されます。