下文介绍了与 Apigee 相关的安全公告。
如需接收最新安全公告，请执行以下操作之一：
- 将此页面的网址添加到您的 Feed 阅读器。
- 直接将 Feed 网址添加到您的 Feed 阅读器：
https://cloud.google.com/feeds/apigee-security-bulletins.xml
GCP-2025-023
发布日期： 2025-05-05
| 说明 | 严重级别 | 备注 | ||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
此公告旨在解决 JavaCallout 和 PythonScript 政策中已发现和处理的潜在安全漏洞，若未及时处理，这些漏洞可能被利用。这些政策可能会导致 Apigee 运行时环境中出现未经授权的远程代码执行 (RCE) 和权限升级。这些可能的漏洞需要内部授权用户（有权部署代理的用户）才能利用。这些潜在的漏洞源于沙盒不足，例如通过反射进行访问和欺骗权限对象以绕过安全管理器。 受影响的产品 影响仅限于 JavaCallout 和 PythonScript 政策。这包括在以下 Apigee 平台上的部署：
该怎么做？ 针对每件受影响的商品执行以下操作： Apigee使用 Google Cloud 版 Apigee 的客户无需执行任何操作。已将漏洞修复应用于 Apigee 版本 1-14-0-apigee-8。 如果发布团队无法为您的组织推出版本，TAM 或支持代表会与您联系，以修复任何受影响的 JavaCallout 代理软件包。 Apigee Hybrid您必须升级到以下某个安全补丁版本：
|
高 |
适用于公有云的 Apigee Edge
Apigee Edge 客户无需采取任何行动。我们已对最新的 Edge 运行时应用了修复。如果您是因已知待处理事项而无法更新到最新 Edge 版本的客户，客户支持代表会与您联系。
适用于私有云的 Apigee Edge
如果您是 Edge for Private Cloud 用户，则应检查 JavaCallout 和 PythonScript 政策，确保您使用的代码和库来自可信来源。对此类政策的修改需要内部授权访问权限（有权部署代理的用户），因此建议您审核自己的权限，以确保只有可信用户保留此类访问权限。漏洞修复已应用于 Edge Private Cloud 版本 4.52.02 和 4.53.00。
GCP-2024-040
发布日期：2024 年 7 月 2 日
此公告包含与以下每款 Apigee 产品相关的具体详情：
Edge Public Cloud
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞使用的竞态条件可用于获取远程 shell 访问权限，使攻击者有可能获取 GKE 节点的 root 访问权限。在本文发布时，Apigee Edge for Public Cloud 无法被利用，并且已采取缓解措施。 尽管此 CVE 无法被利用，但 Apigee 仍会升级工作负载以解决上述 CVE。 该怎么做？ Apigee 用户无需执行任何操作。 我们将在未来几天内为工作负载打补丁，并在打补丁完成后更新安全公告。 |
严重 |
Edge Private Cloud
| 说明 | 严重级别 | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞使用的竞态条件可用于获取远程 shell 访问权限，使攻击者有可能获取虚拟机节点的 root 访问权限。Edge Private Cloud 客户拥有并管理部署 Edge Private Cloud 的虚拟机/物理主机。
该怎么做？ 通过发出命令 |
严重 |
Edge Microgateway
| 说明 | 严重级别 | 备注 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞使用的竞态条件可用于获取远程 shell 访问权限，使攻击者有可能获取虚拟机节点的 root 访问权限。Edge Microgateway 客户拥有并管理部署 Edge Microgateway 的虚拟机/物理主机。
该怎么做？ 请通过发出命令 |
严重 |
Apigee
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞使用的竞态条件可用于获取远程 shell 访问权限，使攻击者有可能获取 GKE 节点的 root 访问权限。在本文发布时，Apigee 无法被利用，并且已采取缓解措施。 尽管此 CVE 无法被利用，但 Apigee 仍会升级工作负载以解决 CVE-2024-6387。 该怎么做？ Apigee 用户无需执行任何操作。我们将在未来几天内为工作负载打补丁，并在打补丁完成后更新安全公告。 注意：如果托管式实例组已部署到客户项目中以实现北向负载均衡（具体而言是 InternalRouting [VPC] 和 ExternalRouting [MIG]），请验证其中安装的 OpenSSH 版本。如果该版本易受 CVE 影响，请自行更新到 2024 年 7 月 1 日发布的 OpenSSH 9.8p1 版，因为 Apigee 不会管理这些 MIG。 |
严重 |
Apigee Hybrid
| 说明 | 严重级别 | 备注 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞使用的竞态条件可用于获取远程 shell 访问权限，使攻击者有可能获取 GKE 节点的 root 访问权限。在本文发布时，混合映像不存在漏洞，因为 OpenSSH 未打包到任何混合容器映像中。但是，如果您的主机/GKE 节点操作系统运行的是以下存在漏洞的 OpenSSH 版本，则您的混合集群将会容易受到攻击。
该怎么做？ 此问题已在 Google Cloud Customer Care 安全公告 GCP-2024-040 中得到解决。 如需了解相关说明和更多详细信息，请参阅以下公告：
|
严重 |
GCP-2024-006
发布日期：2024-2-5
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
当 Apigee API Management 代理连接到目标端点或目标服务器时，该代理不会对目标端点或目标服务器默认提供的证书执行主机名验证。如果未使用以下选项之一启用主机名验证，则连接到目标端点或目标服务器的 Apigee 代理可能会面临已获授权的用户发起中间人攻击的风险。如需了解详情，请参阅配置从 Edge 到后端（云和私有云）的 TLS。 受影响的产品 以下 Apigee 平台上的 Apigee 代理部署会受到影响：
该怎么做？ 客户可以利用以下任一选项来启用此验证： 选项 1 - 将配置添加到代理 您可以通过将 <HTTPTargetConnection>
<SSLInfo>
<Enabled>true</Enabled>
<TrustStore>ref://mytruststoreref</TrustStore>
<CommonName>*.example.com</CommonName>
</SSLInfo>
<URL>https://my.example.com/</URL>
</HTTPTargetConnection>如果此配置已存在于代理配置的 Apigee 建议使用此方法。您可以单独测试代理，以确认验证按预期执行，同时将可能出现的流量中断降至最低。如需详细了解如何在代理中测试主机名验证并查看错误，请参阅使用跟踪工具。 选项 2 - 设置组织级标志 您可以设置 Apigee 组织级标志，以便为组织中所有已部署的代理和目标启用主机名验证。如果组织属性中的 注意：虽然此选项可以帮助您在整个组织中启用该功能，但如果您的目标未提供预期的证书，则可能会发生主机名验证失败。
Apigee 建议先在非生产环境中实现此更改，以确保验证按预期执行，并且不会导致生产环境服务中断。如果任何目标的主机名验证失败，则系统会返回以下错误消息： {"fault":{"faultstring":"SSL Handshake failed java.security.cert.CertificateException: No subject alternative DNS name matching example.com found.","detail":{"errorcode":"messaging.adaptors.http.flow.SslHandshakeFailed"}}} |
高 |
GCP-2023-032
发布日期：2023-10-13
更新日期：2023-11-03
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
2023 年 11 月 3 日更新：添加了 Apigee Edge for Private Cloud 的已知问题。 最近在 HTTP/2 协议的多个实现中发现了拒绝服务 (DoS) 漏洞 (CVE-2023-44487)，包括 Apigee X 和 Apigee Hybrid 使用的 Apigee Ingress (Cloud Service Mesh) 服务。该漏洞可能会导致 Apigee API 管理功能遭受 DoS 攻击。 受影响的产品
不受影响的产品
该怎么做？
这些补丁解决了哪些漏洞？ 该漏洞 CVE-2023-44487 可能会导致 Apigee API 管理功能遭受 DoS 攻击。 |
高 | CVE-2023-44487 |