보안 게시판

문서 버전을 선택합니다.

Red Hat Enterprise Linux(RHEL) 및 Rocky Linux에서 AlloyDB Omni RPM 조정자 배포의 보안 상황을 평가하고 업그레이드를 계획하려면 이 페이지에서 보안 정책, 취약점 범위, 일반적인 취약점 및 노출(CVE) 공개 관행을 검토하세요.

피드 리더에서 최신 AlloyDB Omni 출시 노트 및 보안 업데이트를 받으려면 AlloyDB Omni 출시 노트 피드를 구독하세요.

범위 및 심각도 필터링

해결 워크플로를 실행 가능한 보안 권고에 집중하고 스캐너 노이즈를 줄이기 위해 AlloyDB Omni 취약점 요약 및 자세한 CVE 로그는 다음 보고 정책을 따릅니다.

  • 엄격한 심각 및 높음 심각도 필터링: 취약점 요약 테이블 및 상세 CVE 로그는 국가 취약점 데이터베이스(NVD) 및 업스트림 공급업체 심각도 등급을 기준으로 심각 및 높음 심각도 CVE만 보고합니다. 심각도가 낮음 및 중간인 권고는 요약 수 및 세부 로그에서 제외됩니다.
  • 버전별 격리: 상세 CVE 로그는 표준화된 4열 스키마(CVE ID, Severity, AlloyDB Omni version, Mitigated in)를 사용하여 출시 버전별 전용 하위 페이지로 구성됩니다. 각 출시 로그 내에서 후속 출시에서 해결된 취약점은 Mitigated in 열에 완화 출시 버전을 표시합니다.

취약점 평가 및 새로고침 정책

Google은 게시된 모든 AlloyDB Omni RPM 조정자 및 데이터베이스 RPM 패키지를 NVD, Red Hat 보안 데이터, Go 취약점 데이터베이스와 비교하여 정기적으로 스캔합니다. Google은 새 버전이 게시되면 AlloyDB Omni 보안 게시판을 새로고침합니다.

  • 수정된 CVE: 이전 AlloyDB Omni RPM 조정자 또는 데이터베이스 RPM 패키지에 있던 취약점이 후속 부 버전 또는 패치 출시 버전에서 완화됩니다. Google은 지원되는 PostgreSQL 메이저 버전 18의 최신 마이너 버전과 지원되는 최신 AlloyDB Omni RPM 조정자 버전에 보안 패치를 적용합니다.
  • RPM 배포용 호스트 OS 패키지: RPM 조정자를 사용하여 AlloyDB Omni를 배포하면 AlloyDB Omni가 PostgreSQL 데이터베이스 커널과 번들 확장 프로그램 패키지를 제공합니다. 호스트 Linux 배포판은 openssl-libs, glibc, libevent, systemd, Linux 커널과 같은 시스템 라이브러리를 관리합니다. RHEL 또는 Rocky Linux 호스트에서 sudo dnf update --security를 실행하여 호스트 OS 보안 업데이트를 정기적으로 적용합니다.

FIPS 140-3 규정 준수 및 CVE 패치

부 버전 및 패치 버전에 걸쳐 보안 취약점을 지속적으로 패치하면서 미국 연방 정보 처리 표준(FIPS) 140-3 규정 준수를 유지하기 위해 AlloyDB Omni는 내부 FIPS 검증 암호화 모듈을 외부 암호화 및 프로토콜 라이브러리에서 분리합니다.

  • 암호화 모듈에 대한 FIPS 검증: 미국 국립표준기술연구소(NIST) 암호화 모듈 검증 프로그램(CMVP)은 고정된 내부 암호화 모듈 또는 제공업체를 인증하고 인증서 번호를 발급합니다. 검증된 경계 내의 명령어를 수정하면 삽입된 해시 기반 메시지 인증 코드(HMAC) 무결성 체크섬이 변경되고 인증서가 무효화됩니다.
  • 배포의 FIPS 규정 준수: AlloyDB Omni 배포는 /proc/sys/crypto/fips_enabled 파일이 1로 설정된 RHEL 9와 같은 FIPS 지원 호스트 OS에서 실행될 때 FIPS 140-3 규정 준수 모드로 작동합니다. 이 모드에서 배포는 전원 켜기 KAT(Known-Answer Test) 및 HMAC 무결성 검사가 사용 설정된 FIPS 검증 모듈을 통해 모든 보안 관련 암호화 작업을 라우팅합니다. 또한 TLS 1.2 이상의 승인된 전송 계층 보안(TLS) 버전, 승인된 암호화 스위트, scram-sha-256 비밀번호 인증 방법을 적용합니다. AlloyDB Omni RPM 조정자 및 데이터베이스 RPM 패키지는 FIPS를 지원하며, 기본 호스트 OS에서 FIPS 모드를 사용 설정하고 확인하는 것은 조직의 책임입니다. 자세한 내용은 보안 및 FIPS 규정 준수를 참조하세요.
  • FIPS 경계 외부의 CVE 패치: TLS 상태 머신, X.509 및 ASN.1 인증서 파싱, HTTP/2, 네트워크 I/O와 같은 프로토콜 파싱 및 네트워킹 라이브러리는 고정된 FIPS 모듈 경계 외부의 외부 레이어에 있습니다. 이러한 구성요소는 검증된 경계 외부에 있으므로 Google은 내부 암호화 모듈을 수정하거나 NIST CMVP 인증을 무효화하지 않고 마이너 및 패치 출시 전반에 걸쳐 외부 레이어 CVE를 패치합니다. 하위 수준 암호화 프리미티브 구현 자체의 취약점만 내부 FIPS 모듈 업데이트가 필요합니다.
RHEL 또는 Rocky Linux의 RPM 조정자 배포의 경우 alloydbomni18 데이터베이스 패키지는 openssl-libs RPM 패키지의 호스트 OS OpenSSL 3 라이브러리에 동적으로 연결되고 호스트 커널에서 FIPS 모드가 사용 설정된 경우 호스트 RHEL 9 OpenSSL FIPS 제공업체를 사용합니다. 호스트 OS에 openssl-libs 보안 업데이트를 적용하면 인증된 OpenSSL FIPS 제공업체 경계를 유지하면서 외부 레이어 TLS 및 X.509 취약점이 해결됩니다.

다음 단계