以下是與 Apigee 相關的安全性公告。
如要接收最新的安全性公告，請執行下列任一操作：
- 將本頁面的網址加入動態饋給閱讀器。
- 直接將動態消息網址新增至動態消息閱讀器：
https://cloud.google.com/feeds/apigee-security-bulletins.xml
GCP-2025-023
發布日期：2025-05-05
| 說明 | 嚴重性 | 附註 | ||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
本公告說明瞭潛在的安全漏洞，如果未在已發現並解決的 JavaCallout 和 PythonScript 政策中解決這些漏洞，就可能遭到濫用。這些政策可能會導致未經授權的遠端程式碼執行 (RCE)，並在 Apigee 執行階段環境中提升權限。這些潛在的漏洞需要內部授權使用者存取權 (具有部署 Proxy 權限的使用者) 才能利用。這些潛在的安全漏洞源自於沙箱功能不足，無法處理透過反射和偽造權限物件存取的情況，以便規避安全性管理員。 受影響的產品 這項異動僅影響 JavaCallout 和 PythonScript 政策。這包括在下列 Apigee 平台上進行部署：
我該怎麼做？ 請針對每項受影響的產品採取下列行動： Apigee使用 Google Cloud 版 Apigee 的客戶無須採取任何行動。 安全漏洞修正項目已套用至 Apigee 版本 1-14-0-apigee-8。 如果發布團隊無法為貴機構發布更新，客戶技術管理團隊或支援代表會與您聯絡，以修正任何受影響的 JavaCallout 代理程式套件。 Apigee Hybrid您必須升級至下列任一安全性修補程式版本：
|
高 |
適用於公用雲端的 Apigee Edge
Apigee Edge 客戶無須採取任何行動。我們已將修正項目套用至最新的 Edge 執行階段。如果您是因已知待處理事項而無法更新至最新 Edge 版本的客戶，客戶支援團隊代表會與您聯絡。
私人雲端適用的 Apigee Edge
如果您是 Edge for Private Cloud 使用者，請檢查 JavaCallout 和 PythonScript 政策，確保您使用的是來自可信來源的程式碼和程式庫。如要修改這類政策，您必須具備內部授權存取權 (使用者必須具備部署 Proxy 的權限)，因此建議您稽核權限，確保只有信任的使用者保留這類存取權。我們已針對 Edge Private Cloud 的 4.52.02 和 4.53.00 版本修復安全漏洞。
GCP-2024-040
發布日期：2024-07-02
本公告包含各個 Apigee 產品的詳細資訊：
Edge Public Cloud
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
我們最近在 OpenSSH 中發現一個遠端程式碼執行漏洞 CVE-2024-6387。這個安全漏洞會利用競爭狀態，取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 root 存取權。在本公告發布時，Apigee Edge for Public Cloud 無法遭到濫用，且已採取因應措施。 雖然這個 CVE 無法遭到濫用，但 Apigee 會升級工作負載，以解決上述 CVE。 我該怎麼做？ Apigee 使用者不需要採取任何行動。 我們會在未來幾天內為工作負載進行修補，並在修補完成後更新安全性公告。 |
重大 |
Edge Private Cloud
| 說明 | 嚴重性 | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
我們最近在 OpenSSH 中發現一個遠端程式碼執行漏洞 CVE-2024-6387。這個漏洞會利用競爭狀態，取得遠端殼層的存取權，讓攻擊者取得 VM 節點的根目錄存取權。Edge Private Cloud 客戶擁有並管理部署 Edge Private Cloud 的 VM/實體主機。
我該怎麼做？ 請發出 |
重大 |
Edge Microgateway
| 說明 | 嚴重性 | 附註 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
我們最近在 OpenSSH 中發現一個遠端程式碼執行漏洞 CVE-2024-6387。這個漏洞會利用競爭狀態，取得遠端殼層的存取權，讓攻擊者取得 VM 節點的根目錄存取權。Edge Microgateway 客戶擁有並管理部署 Edge Microgateway 的 VM/實體主機。
我該怎麼做？ 請發出指令 |
重大 |
Apigee
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
我們最近在 OpenSSH 中發現一個遠端程式碼執行漏洞 CVE-2024-6387。這個安全漏洞會利用競爭狀態，取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 root 存取權。在本文發布時，Apigee 已無法遭到濫用，且已採取因應措施。 雖然這個 CVE 無法遭到利用，但 Apigee 會升級工作負載，以解決 CVE-2024-6387 問題。 我該怎麼做？ Apigee 使用者不需要採取任何行動。我們會在未來幾天內為工作負載進行修補，並在修補完成後更新安全性公告。 注意：如果在客戶專案中部署受控執行個體群組，用於北向負載平衡 (特別是 InternalRouting (VPC) 和 ExternalRouting (MIG))，請確認這些群組已安裝 OpenSSH 版本。如果該版本容易受到 CVE 攻擊，請自行更新至 2024 年 7 月 1 日發布的 OpenSSH 9.8p1 版，因為 Apigee 不會管理這些 MIG。 |
重大 |
Apigee Hybrid
| 說明 | 嚴重性 | 附註 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
我們最近在 OpenSSH 中發現一個遠端程式碼執行漏洞 CVE-2024-6387。這個漏洞會利用競爭狀態，取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 root 存取權。在本文發布時，混合式映像檔並未受到影響，因為 OpenSSH 並未封裝至任何混合式容器映像檔。不過，如果主機/GKE 節點 OS 執行的是下列有安全漏洞的 OpenSSH 版本，混合叢集就會遭到攻擊。
我該怎麼做？ 這個問題已在 Google Cloud Customer Care 安全性公告 GCP-2024-040 中解決。 如需操作說明和更多詳細資訊，請參閱下列公告：
|
重大 |
GCP-2024-006
發布日期：2024-2-5
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
當 Apigee API Management Proxy 連線至目標端點或 目標伺服器時，Proxy 預設不會針對目標端點或目標伺服器提供的憑證執行主機名稱驗證。如果未使用下列任一選項啟用主機名稱驗證功能，連線至目標端點或目標伺服器的 Apigee Proxy 可能會遭到授權使用者中間人攻擊。詳情請參閱「從 Edge 到後端 (Cloud 和 Private Cloud) 設定 TLS」。 受影響的產品 以下 Apigee 平台上的 Apigee Proxy 部署作業受到影響：
我該怎麼做？ 客戶可以使用下列任一選項啟用這項驗證功能： 方法 1：在 Proxy 中新增設定 如要啟用目標端點或目標伺服器的驗證功能，請在Proxy 設定的 <HTTPTargetConnection>
<SSLInfo>
<Enabled>true</Enabled>
<TrustStore>ref://mytruststoreref</TrustStore>
<CommonName>*.example.com</CommonName>
</SSLInfo>
<URL>https://my.example.com/</URL>
</HTTPTargetConnection>如果 Proxy 設定的 Apigee 建議採用這種做法。您可以個別測試 Proxy，確認驗證功能是否正常運作，並盡量減少對流量造成的潛在中斷。如要進一步瞭解如何測試代理伺服器中的主機名稱驗證，以及查看錯誤，請參閱「使用追蹤記錄工具」。 選項 2：設定機構層級旗標 您可以設定 Apigee 機構層級標記，為貴機構中所有已部署的 Proxy 和目標啟用主機名稱驗證功能。如果組織屬性中的 注意：雖然這個選項可協助您在整個機構中啟用這項功能，但如果目標未提供預期的憑證，就可能發生主機名稱驗證失敗的情況。
Apigee 建議您先在非實際工作環境中實作這項變更，確保驗證功能正常運作，且不會導致正式環境中斷。如果任何目標的主機名稱驗證失敗，系統會傳回以下錯誤訊息： {"fault":{"faultstring":"SSL Handshake failed java.security.cert.CertificateException: No subject alternative DNS name matching example.com found.","detail":{"errorcode":"messaging.adaptors.http.flow.SslHandshakeFailed"}}} |
高 |
GCP-2023-032
發布日期：2023-10-13
更新日期：2023-11-03
| 說明 | 嚴重性 | 附註 |
|---|---|---|
|
2023-11-03 更新：新增 Apigee Edge for Private Cloud 的 已知問題。 我們最近在多個 HTTP/2 通訊協定 (CVE-2023-44487) 實作中發現阻斷服務 (DoS) 安全漏洞，包括 Apigee X 和 Apigee hybrid 使用的 Apigee Ingress (Cloud Service Mesh) 服務。這個安全漏洞可能會導致 Apigee API 管理功能遭到 DoS 攻擊。 受影響的產品
不受影響的產品
我該怎麼做？
這些修補程式修正了哪些安全漏洞？ CVE-2023-44487 漏洞可能會導致 Apigee API 管理功能遭到阻斷服務攻擊。 |
高 | CVE-2023-44487 |