ここでは、Apigee に関連するセキュリティに関する公開情報について説明します。
最新のセキュリティに関する公開情報を取得するには、次のいずれかを行います。
- このページの URL をフィード リーダーに追加する
- フィードの URL（
https://cloud.google.com/feeds/apigee-security-bulletins.xml）をフィード リーダーに直接追加する
GCP-2025-023
公開日: 2025 年 5 月 5 日
| 説明 | 重大度 | メモ | ||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
このセキュリティに関する公開情報では、検出、対処されたものの、JavaCallout ポリシーと PythonScript ポリシーで対処されなかった場合に悪用される可能性があった潜在的なセキュリティ ギャップについて説明しています。これらのポリシーにより、Apigee ランタイム環境内で未承認のリモートコード実行（RCE）と権限昇格が発生する可能性がありました。これらの潜在的なエクスプロイトを悪用するには、内部の承認済みユーザー アクセス（プロキシをデプロイする権限を持つユーザー）が必要です。これらの潜在的な脆弱性は、セキュリティ マネージャーをバイパスするために、リフレクションによるアクセスや権限オブジェクトのなりすましなどのシナリオに対するサンドボックス化が不十分であることに起因しています。 影響を受けるプロダクト 影響は JavaCallout ポリシーと PythonScript ポリシーに限定されます。これには、次の Apigee プラットフォームのデプロイが含まれます。
必要な対策 影響を受けるプロダクトごとに、次の操作を行います。 ApigeeGoogle Cloud バージョンの Apigee を使用しているお客様は、特に対応は必要ありません。脆弱性の修正が Apigee リリース 1-14-0-apigee-8 に適用されています。 リリースチームが組織へのリリース ロールアウトを実行できない場合は、TAM またはサポート担当者がお客様に連絡し、影響を受ける JavaCallout プロキシ バンドルを修正します。 Apigee ハイブリッド次のいずれかのセキュリティ パッチ リリースにアップグレードする必要があります。
|
高 |
Apigee Edge for Public Cloud
Apigee Edge を使用しているお客様は、特に対応は必要ありません。最新の Edge ランタイムに修正が適用されています。既知の保留中のアクション アイテムが原因で最新の Edge リリースに更新できないお客様には、カスタマー サポート担当者がご連絡いたします。
Apigee Edge for Private Cloud
Edge for Private Cloud ユーザーは、JavaCallout ポリシーと PythonScript ポリシーを見直して、信頼できるソースのコードとライブラリを使用していることを確認する必要があります。これらのポリシーを変更するには、内部の承認済みアクセス（プロキシをデプロイする権限を持つユーザー）が必要になるため、信頼できるユーザーのみがこのようなアクセス権を保持するように権限を監査することをおすすめします。脆弱性の修正が Edge Private Cloud リリース 4.52.02 と 4.53.00 に適用されています。
GCP-2024-040
公開日: 2024 年 7 月 2 日
この公開情報には、次の Apigee プロダクトのそれぞれに固有の情報が記載されています。
Edge Public Cloud
| 説明 | 重大度 | メモ |
|---|---|---|
|
先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性はリモートシェルへのアクセスの取得に使用可能な競合状態を悪用するため、攻撃者は GKE ノードへのルートアクセスを取得することができます。公開時点では、Apigee Edge for Public Cloud は悪用される可能性はなく、緩和策がすでに講じられています。 この CVE は悪用できませんが、Apigee は上記の CVE に対処するためにワークロードをアップグレードします。 必要な対策 Apigee ユーザーの対応は必要ありません。 ワークロードのパッチ適用が数日以内に行われます。パッチ適用が完了すると、セキュリティに関する公開情報が更新されます。 |
重大 |
Edge Private Cloud
| 説明 | 重大度 | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性はリモートシェルへのアクセスの取得に使用可能な競合状態を悪用するため、攻撃者は VM ノードへのルートアクセスを取得することができます。Edge Private Cloud のユーザーは、Edge Private Cloud がデプロイされている VM / 物理ホストを所有し、管理します。
必要な対策
|
重大 |
Edge Microgateway
| 説明 | 重大度 | メモ | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性はリモートシェルへのアクセスの取得に使用可能な競合状態を悪用するため、攻撃者は VM ノードへのルートアクセスを取得することができます。Edge Microgateway のユーザーは、Edge Microgateway がデプロイされている VM / 物理ホストを所有し、管理します。
必要な対策
|
重大 |
Apigee
| 説明 | 重大度 | メモ |
|---|---|---|
|
先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性はリモートシェルへのアクセスの取得に使用可能な競合状態を悪用するため、攻撃者は GKE ノードへのルートアクセスを取得することができます。公開時点では、Apigee は悪用される可能性はなく、すでに緩和策が講じられています。 この CVE は悪用できませんが、Apigee は CVE-2024-6387 に対処するためにワークロードをアップグレードします。 必要な対策 Apigee ユーザーの対応は必要ありません。ワークロードのパッチ適用が数日以内に行われます。パッチ適用が完了すると、セキュリティに関する公開情報が更新されます。 注: ユーザーのプロジェクトにノースバウンド ロード バランシング（特に InternalRouting（VPC）と ExternalRouting（MIG））用にマネージド インスタンス グループがデプロイされている場合は、インストールされている OpenSSH のバージョンを確認します。この CVE の脆弱性があるバージョンを使用している場合は、ご自身で OpenSSH バージョン 9.8p1（2024 年 7 月 1 日リリース）に更新してください。Apigee はこれらの MIG を管理していません。 |
重大 |
Apigee ハイブリッド
| 説明 | 重大度 | メモ | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性はリモートシェルへのアクセスの取得に使用可能な競合状態を悪用するため、攻撃者は GKE ノードへのルートアクセスを取得することができます。公開時点では、OpenSSH がハイブリッド コンテナ イメージにパッケージ化されていないため、ハイブリッド イメージは脆弱ではありません。ただし、ホストまたは GKE ノード OS で、以下の脆弱なバージョンの OpenSSH を実行している場合、ハイブリッド クラスタは悪用される可能性があります。
必要な対策 この問題は、Google Cloud カスタマーケア セキュリティに関する公開情報 GCP-2024-040 で解決されています。 手順と詳細については、次の公開情報をご覧ください。
|
重大 |
GCP-2024-006
公開日: 2024 年 2 月 5 日
| 説明 | 重大度 | メモ |
|---|---|---|
|
Apigee API Management プロキシがターゲット エンドポイントまたはターゲット サーバーに接続した際に、デフォルトでは、プロキシはターゲット エンドポイントまたはターゲット サーバーによって提示された証明書のホスト名を検証しません。次のいずれかのオプションを使用してホスト名検証を有効にしていない場合、ターゲット エンドポイントまたはターゲット サーバーに接続している Apigee プロキシが、承認済みユーザーによる中間者攻撃を受けるリスクがあります。詳細については、Edge からバックエンドへの TLS の構成（Cloud、Private Cloud）をご覧ください。 影響を受けるプロダクト 次の Apigee プラットフォームの Apigee プロキシのデプロイが影響を受けます。
必要な対策 この検証を有効にするには、次のいずれかのオプションを使用します。 オプション 1 - プロキシに構成を追加する ターゲット エンドポイントまたはターゲット サーバーの検証を有効にするには、プロキシ構成の <HTTPTargetConnection>
<SSLInfo>
<Enabled>true</Enabled>
<TrustStore>ref://mytruststoreref</TrustStore>
<CommonName>*.example.com</CommonName>
</SSLInfo>
<URL>https://my.example.com/</URL>
</HTTPTargetConnection>この構成がプロキシ構成の Apigee では、このアプローチをおすすめします。プロキシを個別にテストして、トラフィックの中断を最小限に抑えながら、検証が意図したとおりに実行されていることを確認できます。プロキシでのホスト名検証のテストと障害の表示の詳細については、Trace ツールの使用をご覧ください。 オプション 2 - 組織レベルのフラグを設定する Apigee の組織レベルのフラグを設定して、組織内にデプロイされているすべてのプロキシとターゲットのホスト名検証を有効にできます。組織のプロパティで 注: このオプションを使用すると、組織全体でこの機能を有効にできますが、ターゲットが想定どおりの証明書を提示しない場合、ホスト名の検証でエラーが発生する可能性があります。
検証が意図したとおりに機能し、本番環境の停止につながらないことを確認するため、この変更はまず非本番環境で実装することをおすすめします。ターゲットのホスト名の検証でエラーが発生した場合は、次の障害メッセージが返されます。 {"fault":{"faultstring":"SSL Handshake failed java.security.cert.CertificateException: No subject alternative DNS name matching example.com found.","detail":{"errorcode":"messaging.adaptors.http.flow.SslHandshakeFailed"}}} |
高 |
GCP-2023-032
公開日: 2023 年 10 月 13 日
更新日時: 2023 年 11 月 3 日
| 説明 | 重大度 | メモ |
|---|---|---|
|
2023 年 11 月 3 日更新: Apigee Edge for Private Cloud の既知の問題を追加しました。 先ごろ、サービス拒否攻撃（DoS）の脆弱性が HTTP/2 プロトコル（CVE-2023-44487）の複数の実装で発見されました。これには、Apigee X と Apigee ハイブリッドで使用されている Apigee Ingress（Cloud Service Mesh）サービスも含まれます。この脆弱性により、Apigee API 管理機能の DoS が発生する可能性があります。 影響を受けるプロダクト
影響を受けないプロダクト
必要な対策
これらのパッチで対処される脆弱性 脆弱性 CVE-2023-44487 は Apigee API 管理機能の DoS につながる可能性があります。 |
高 | CVE-2023-44487 |