以下說明與 Apigee 相關的安全性公告。
如要接收最新的安全公告，請執行下列任一操作：
- 將本頁面的網址加入動態消息閱讀器。
- 直接將動態消息網址新增至動態消息閱讀器：
https://cloud.google.com/feeds/apigee-security-bulletins.xml
GCP-2026-010
發布日期：2026-02-13
說明
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
我們在 Apigee 平台中發現一項安全漏洞，如果惡意行為人在自己的 Apigee 環境中擁有管理員或開發人員層級的權限，就可能藉此提升權限，並存取跨租戶資料。 具體來說，Apigee X 的沙箱技術存在漏洞，導致使用者可透過本機連結端點，存取客戶租戶專案中的服務帳戶權杖 (P4SA)。理論上，攻擊者可以利用這個身分，讀取其他 Apigee 機構 (租戶) 的分析中繼資料，或竄改內部監控記錄。 我該怎麼做？ 顧客無須採取任何行動。Google 已實施多層級的緩解策略，以解決這個問題：
Google 已確認，雖然理論上可以存取內部監控記錄，但這些記錄僅供 Google 內部使用，不會影響 Apigee 中客戶資料的安全性或完整性。 |
高 | CVE-2025-13292 |
GCP-2025-023
發布日期：2025-05-05
| 說明 | 嚴重性 | 附註 | ||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
本公告說明已發現並解決的 JavaCallout 和 PythonScript 政策問題，這些問題可能導致安全性漏洞，因此請務必修正。這些政策可能會導致未經授權的遠端程式碼執行 (RCE) 和權限提升。這些可能的攻擊需要內部授權使用者存取權 (有權部署 Proxy 的使用者) 才能發動。這些潛在安全漏洞源自於沙箱不足，無法因應存取反射和模擬權限物件等情況，導致安全管理員遭到規避。 受影響的產品 影響範圍僅限於 JavaCallout 和 PythonScript 政策。這包括下列 Apigee 平台上的部署作業：
我該怎麼做？ 請針對每個受影響的產品採取下列行動： Apigee使用 Google Cloud 版 Apigee 的客戶無須採取任何行動。 Apigee 版本 1-14-0-apigee-8 已套用安全漏洞修正程式。 如果發布團隊無法為貴機構推出版本，客戶技術管理團隊或支援代表會與您聯絡，修正任何受影響的 JavaCallout 代理套件。 Apigee Hybrid您必須升級至下列其中一個安全性修補程式版本：
|
高 |
Apigee Edge Public Cloud
Apigee Edge 客戶無須採取任何行動。修正檔已套用至最新版 Edge 執行階段。如果您是客戶，且因已知待處理事項而無法更新至最新版 Edge，客戶支援代表會與您聯絡。
Apigee Edge for Private Cloud
如果您是 Edge for Private Cloud 使用者，請檢查 JavaCallout 和 PythonScript 政策，確保您使用的程式碼和程式庫來自可信來源。如要修改這類政策，必須具備內部授權存取權 (有權部署 Proxy 的使用者)，因此建議您稽核權限，確保只有信任的使用者保留這類存取權。 Edge Private Cloud 版本 4.52.02 和 4.53.00 已套用安全性弱點修正程式。
GCP-2024-040
發布日期：2024-07-02
本公告包含下列各項 Apigee 產品的詳細資訊：
Edge Public Cloud
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件，取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的根存取權。發布時，Apigee Edge for Public Cloud 不會遭到利用，且已採取防範措施。 雖然這個 CVE 無法遭到利用，但 Apigee 仍會升級工作負載，以解決上述 CVE。 我該怎麼做？ Apigee 使用者無須採取任何行動。 我們將在近期為工作負載套用修補程式，並在完成後更新安全公告。 |
重大 |
Edge Private Cloud
| 說明 | 嚴重性 | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭情況，取得遠端殼層的存取權，讓攻擊者取得 VM 節點的根存取權。Edge Private Cloud 客戶擁有並管理部署 Edge Private Cloud 的 VM/實體主機。
我該怎麼做？ 發出 |
重大 |
Edge Microgateway
| 說明 | 嚴重性 | 附註 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭情況，取得遠端殼層的存取權，讓攻擊者取得 VM 節點的根存取權。Edge Microgateway 客戶擁有並管理部署 Edge Microgateway 的 VM/實體主機。
我該怎麼做？ 請發出 |
重大 |
Apigee
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件，取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的根存取權。發布時，Apigee 不會遭到利用，且已採取緩解措施。 雖然這個 CVE 無法遭到利用，但 Apigee 仍會升級工作負載，以解決 CVE-2024-6387。 我該怎麼做？ Apigee 使用者無須採取任何行動。我們將在近期為工作負載套用修補程式，並在完成後更新安全公告。 注意：如果 Managed Instance Groups 部署在客戶專案中，用於北向負載平衡，特別是 InternalRouting (VPC) 和 ExternalRouting (MIG)，請確認安裝在這些執行個體上的 OpenSSH 版本。如果該版本容易受到 CVE 影響，請自行更新至 2024 年 7 月 1 日發布的 OpenSSH 9.8p1 版，因為 Apigee 不會管理這些 MIG。 |
重大 |
Apigee Hybrid
| 說明 | 嚴重性 | 附註 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的根存取權。發布時，混合式映像檔並無安全漏洞，因為 OpenSSH 並未封裝至任何混合式容器映像檔。不過，如果主機/GKE 節點 OS 執行的是下列有安全漏洞的 OpenSSH 版本，混合式叢集就會遭到攻擊。
我該怎麼做？ Google Cloud Customer Care 安全性公告 GCP-2024-040 已解決這個問題。 如需操作說明和更多詳細資訊，請參閱下列公告：
|
重大 |
GCP-2024-006
發布日期：2024-2-5
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
當 Apigee API 管理 Proxy 連線至目標端點或 目標伺服器時，Proxy 預設不會對目標端點或目標伺服器提供的憑證執行主機名稱驗證。如果未使用下列任一選項啟用主機名稱驗證，連線至目標端點或目標伺服器的 Apigee Proxy 可能會遭到授權使用者發動的攔截式攻擊。詳情請參閱「從 Edge 到後端 (Cloud 和 Private Cloud) 設定 TLS」。 受影響的產品 下列 Apigee 平台上的 Apigee Proxy 部署作業會受到影響：
我該怎麼做？ 顧客可以透過下列任一選項啟用這項驗證： 方法 1 - 在 Proxy 中新增設定 如要啟用目標端點或目標伺服器的驗證功能，請在Proxy 設定的 <HTTPTargetConnection>
<SSLInfo>
<Enabled>true</Enabled>
<TrustStore>ref://mytruststoreref</TrustStore>
<CommonName>*.example.com</CommonName>
</SSLInfo>
<URL>https://my.example.com/</URL>
</HTTPTargetConnection>如果這個設定位於 Proxy 設定的 Apigee 建議採用這種做法。您可以個別測試 Proxy，確認驗證作業是否正常運作，並將流量中斷的可能性降至最低。如要進一步瞭解如何在 Proxy 中測試主機名稱驗證及查看錯誤，請參閱「使用追蹤工具」。 方法 2 - 設定機構層級的旗標 您可以設定 Apigee 機構層級的旗標，為機構中所有已部署的 Proxy 和目標啟用主機名稱驗證。如果 注意：這個選項有助於在整個機構啟用這項功能，但如果目標未提供預期憑證，可能會發生主機名稱驗證失敗的情況。
Apigee 建議您先在非正式環境中實作這項變更，確保驗證作業正常運作，且不會導致正式環境中斷。如果任何目標的主機名稱驗證失敗，系統會傳回下列錯誤訊息： {"fault":{"faultstring":"SSL Handshake failed java.security.cert.CertificateException: No subject alternative DNS name matching example.com found.","detail":{"errorcode":"messaging.adaptors.http.flow.SslHandshakeFailed"}}} |
高 |
GCP-2023-032
發布日期：2023-10-13
更新日期：2023 年 11 月 3 日
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
2023 年 11 月 3 日更新：新增 Apigee Edge Private Cloud 的 已知問題。 最近在 HTTP/2 通訊協定的多項實作中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-44487)，包括 Apigee X 和 Apigee Hybrid 使用的 Apigee Ingress (Cloud Service Mesh) 服務。這項安全漏洞可能會導致 Apigee API 管理功能發生 DoS 攻擊。 受影響的產品
不受影響的產品
我該怎麼做？
這些修補程式修正了哪些安全漏洞？ 這個漏洞 (CVE-2023-44487) 可能會導致 Apigee API 管理功能發生 DoS 攻擊。 |
高 | CVE-2023-44487 |