以下內容描述了與 Apigee 相關的安全公告。
如要接收最新的安全公告，請執行下列任一操作：
- 將本頁面的網址加入動態消息閱讀器。
- 直接將訂閱源 URL 新增至您的訂閱源閱讀器：
https://cloud.google.com/feeds/apigee-security-bulletins.xml
GCP-2026-041
發布日期：2026-06-24
說明
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
我們最近針對 Apigee Edge for Private Cloud 中回報的 log4j 安全漏洞 (CVE-2026-34480 和 CVE-2026-34477) 進行安全調查。Google 已確定 Apigee Edge for Private Cloud 是不易受攻擊針對這些 CVE。顧客無須採取任何行動。 CVE-2026-34480:Apache Log4j Core 的 CVE-2026-34477: 解決了使用 SMTP、Socket 或 Syslog appender 時，TLS 連線可能容易受到攔截的主機名稱驗證問題。 緩解說明: Apigee Edge for Private Cloud 僅在網關元件中提供 log4j 函式庫，但實際上並未使用它們，而是使用了 logback。此外，Apigee Edge for Private Cloud 不使用 log4j 的 SMTP、Socket 或 Syslog appender 功能。因此，這兩項安全漏洞都不適用於 Apigee Edge for Private Cloud。 受影響產品
我該怎麼辦？ Apigee Edge for Private Cloud顧客無須採取任何行動。Apigee Edge for Private Cloud 不受這些漏洞的影響。 針對 Apigee Edge 私有雲部署執行漏洞掃描器的客戶可能會看到 CVE-2026-34480 和 CVE-2026-34477 被標記，因為 log4j 庫存在於磁碟上。客戶可以在掃描器發現項目例外狀況的過程中引用此安全性公告，將這些 CVE 標記為不適用於其 Apigee Edge for Private Cloud 部署。 |
高 |
CVE-2026-34480 CVE-2026-34477 |
GCP-2026-034
發布日期：2026-05-20
說明
| 說明 | 嚴重性 | 附註 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
Apigee 中發現了一個安全漏洞， 受影響產品 影響僅限於
我該怎麼辦？ 針對每個受影響的產品，採取以下措施： ApigeeNo action is required for customers using the Google Cloud Apigee 的版本。Apigee 版本 1-16-0-apigee-5 已套用漏洞修復。 Apigee Hybrid您必須升級至下列其中一個安全性修補程式版本：
|
高 | CVE-2026-2264 |
GCP-2026-010
發布日期：2026-02-13
說明
| 說明 | 嚴重性 | 附註 | ||||||
|---|---|---|---|---|---|---|---|---|
|
我們在 Apigee 平台中發現一項安全漏洞，如果惡意行為人在自己的 Apigee 環境中擁有管理員或開發人員層級的權限，就可能藉此提升權限，並存取跨租戶資料。 具體來說，Apigee 沙箱技術中的安全漏洞允許使用本機連結端點，存取客戶租戶專案中的服務帳戶權杖 (P4SA)。理論上，攻擊者可以利用這個身分，讀取其他 Apigee 機構 (租戶) 的分析中繼資料，或竄改內部監控記錄。 我該怎麼做？ 請針對每個受影響的產品採取下列行動： Apigee使用 Google Cloud 版 Apigee 的客戶無須採取任何行動。Apigee 版本 1-16-0-apigee-3 已修正安全漏洞。 Apigee Hybrid如要解決這項安全漏洞，客戶必須啟用以 Pub/Sub 為基礎的資料分析管道，並升級至支援的混合式版本：
|
高 | CVE-2025-13292 |
GCP-2025-023
發布日期：2025-05-05
| 說明 | 嚴重性 | 附註 | ||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
本公告說明已發現並解決的 JavaCallout 和 PythonScript 政策，以及可能遭有心人士利用的潛在安全性漏洞。這些政策可能會導致未經授權的遠端程式碼執行 (RCE) 和權限提升。這些可能的攻擊需要內部授權使用者存取權 (有權部署 Proxy 的使用者) 才能發動。這些潛在漏洞源自於沙箱不足，無法因應存取反射和模擬權限物件等情況，導致安全管理員遭到規避。 受影響產品 影響範圍僅限於 JavaCallout 和 PythonScript 政策。這包括在下列 Apigee 平台上的部署作業：
我該怎麼做？ 請針對每個受影響的產品採取下列行動： Apigee使用 Google Cloud 版 Apigee 的客戶無須採取任何行動。Apigee 版本 1-14-0-apigee-8 已修正安全漏洞。 如果發布團隊無法為貴機構推出版本，客戶技術管理團隊或支援代表會與您聯絡，修正任何受影響的 JavaCallout 代理套件。 Apigee Hybrid您必須升級至下列其中一個安全性修補程式版本：
|
高 |
Apigee Edge Public Cloud
Apigee Edge 客戶無須採取任何行動。已將修復程式套用至最新的 Edge 執行時間。如果您是客戶，且因已知待處理事項而無法更新至最新版 Edge，客戶支援代表會與您聯絡。
Apigee Edge for Private Cloud
如果您是 Edge for Private Cloud 用戶，則應檢查您的 JavaCallout 和 PythonScript 策略，以確保您使用的是來自可信任來源的程式碼和程式庫。如要修改這類政策，必須具備內部授權存取權 (有權部署 Proxy 的使用者)，因此建議您稽核權限，確保只有信任的使用者保留這類存取權。 Edge Private Cloud 版本 4.52.02 和 4.53.00 已套用安全漏洞修復程式。
GCP-2024-040
發布日期： 2024-07-02
本公告包含每款 Apigee 產品的具體詳細資訊：
邊緣公有雲
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
最近在 OpenSSH 中發現了一個遠端程式碼執行漏洞，CVE-2024-6387。該漏洞利用了競爭條件，攻擊者可以利用該條件來獲取遠端 shell 的存取權限，從而獲得 GKE 節點的 root 權限。發布時，Apigee Edge for Public Cloud 不會遭到利用，且已採取緩解措施。 雖然這個 CVE 無法遭到利用，但 Apigee 仍會升級工作負載，以解決上述 CVE。 我該怎麼做？ Apigee 用戶無需採取任何行動。 我們將在未來幾天內對工作負載進行修補，修補完成後將更新安全性公告。 |
重大 |
邊緣私有雲
| 說明 | 嚴重性 | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中發現了一個遠端程式碼執行漏洞，CVE-2024-6387。這項安全漏洞會利用競爭條件，取得遠端殼層的存取權，讓攻擊者取得 VM 節點的根存取權。Edge 私有雲客戶擁有並管理部署 Edge 私有雲的虛擬機器/實體主機。
我該怎麼做？ 發出 |
重大 |
邊緣微網關
| 說明 | 嚴重性 | 附註 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件，取得遠端殼層的存取權，讓攻擊者取得 VM 節點的根存取權。Edge Microgateway 客戶擁有並管理部署 Edge Microgateway 的 VM/實體主機。
我該怎麼做？ 請透過執行指令 |
重大 |
Apigee
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。該漏洞利用了競爭條件，攻擊者可以利用該條件來獲取遠端 shell 的存取權限，從而獲得 GKE 節點的 root 權限。發布時，Apigee 不會遭到利用，且已採取緩解措施。 即使此 CVE 無法利用，Apigee 仍將升級工作負載以解決 CVE-2024-6387。 我該怎麼做？ Apigee 用戶無需採取任何行動。我們將在未來幾天內對工作負載進行修補，修補完成後將更新安全公告。 注意：如果客戶專案中部署了託管實例群組用於 北向負載平衡，特別是 內部路由 (VPC) 和 外部路由 (MIG)，請驗證其上安裝的 OpenSSH 版本。如果該版本有 CVE 漏洞，請自行更新至 2024 年 7 月 1 日發布的 OpenSSH 版本 9.8p1，因為 Apigee 不管理這些 MIG。 |
重大 |
Apigee Hybrid
| 說明 | 嚴重性 | 附註 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
最近在 OpenSSH 中發現了一個遠端程式碼執行漏洞，CVE-2024-6387。該漏洞利用了競爭條件，攻擊者可以利用該條件來獲取遠端 shell 的存取權限，從而使攻擊者能夠獲得 GKE 節點的 root 權限。截至發稿時，混合鏡像不存在漏洞，因為 OpenSSH 沒有打包到任何混合容器映像中。不過，如果主機/GKE 節點 OS 執行的是下列有安全漏洞的 OpenSSH 版本，混合式叢集就會遭到攻擊。
我該怎麼做？ Google Cloud Customer Care 安全性公告 GCP-2024-040 已解決這個問題。 有關操作說明和更多詳情，請參閱以下公告：
|
重大 |
GCP-2024-006
發布日期：2024-2-5
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
當 Apigee API 管理平台 代理程式連接到 目標端點 或 目標伺服器 時，預設情況下，代理程式不會對目標端點或目標伺服器提供的憑證執行主機名稱驗證。如果未使用下列任一選項啟用主機名稱驗證，連線至目標端點或目標伺服器的 Apigee Proxy 可能會遭到授權使用者發動的中間人攻擊。詳情請參閱「從 Edge 到後端 (Cloud 和 Private Cloud) 設定 TLS」。 受影響的產品 下列 Apigee 平台上的 Apigee Proxy 部署作業會受到影響：
我該怎麼做？ 客戶可以使用下列任一選項啟用此驗證： 選項 1 - 新增配置 您可以透過在 proxy 設定 的 <HTTPTargetConnection>
<SSLInfo>
<Enabled>true</Enabled>
<TrustStore>ref://mytruststoreref</TrustStore>
<CommonName>*.example.com</CommonName>
</SSLInfo>
<URL>https://my.example.com/</URL>
</HTTPTargetConnection>如果代理程式配置的 Apigee 建議採用這種做法。您可以個別測試 Proxy，確認驗證作業是否正常運作，並將流量中斷的可能性降至最低。如要進一步瞭解如何在 Proxy 中測試主機名稱驗證及查看錯誤，請參閱「使用追蹤工具」。 方法 2：設定機構層級的旗標 您可以設定 Apigee 機構層級的旗標，為機構中所有已部署的 Proxy 和目標啟用主機名稱驗證。如果在組織屬性中將 注意：雖然此選項可以幫助您在整個組織中啟用該功能，但如果目標未提供預期的證書，則可能會出現主機名稱驗證失敗的情況。
Apigee 建議您先在非正式環境中實作這項變更，確保驗證作業正常運作，不會導致正式環境中斷。如果任何目標的主機名稱驗證失敗，系統會傳回下列錯誤訊息： {"fault":{"faultstring":"SSL Handshake failed java.security.cert.CertificateException: No subject alternative DNS name matching example.com found.","detail":{"errorcode":"messaging.adaptors.http.flow.SslHandshakeFailed"}}} |
高 |
GCP-2023-032
發布日期：2023-10-13
更新日期：2023 年 11 月 3 日
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
2023 年 11 月 3 日更新：新增 Apigee Edge Private Cloud 的已知問題。 最近在 HTTP/2 通訊協定的多項實作中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-44487)，包括 Apigee X 和 Apigee Hybrid 使用的 Apigee Ingress (Cloud Service Mesh) 服務。這項安全漏洞可能會導致 Apigee API 管理功能發生 DoS 攻擊。 受影響產品
未受影響的產品
我該怎麼辦？
這些補丁修復了哪些漏洞？ 此安全漏洞 CVE-2023-44487 可能導致 Apigee API 管理功能遭受 DoS 攻擊。 |
高 | CVE-2023-44487 |