Bollettini sulla sicurezza
Di seguito sono descritti tutti i bollettini sulla sicurezza relativi ad Application Integration.
GCP-2026-068
Pubblicato: 2026-10-15
| Descrizione | Gravità | Note |
|---|---|---|
|
A partire dal 15 ottobre 2026, Application Integration richiede Che cosa devo fare?Dopo il 15 ottobre 2026, la funzionalità di test e le nuove integrazioni richiedono le autorizzazioni corrette. Le integrazioni esistenti e le relative nuove versioni non sono interessate. Per saperne di più, consulta Prepararsi alle prossime modifiche delle autorizzazioni. Quali vulnerabilità vengono risolte?Una vulnerabilità di autorizzazione errata nella convalida |
Alta | CVE-2026-85298 |
GCP-2026-067
Pubblicato: 2026-10-14
Descrizione
| Descrizione | Gravità | Note |
|---|---|---|
|
Una vulnerabilità di autorizzazione errata nel runtime di esecuzione dell'integrazione e della convalida di Che cosa devo fare?Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 27 agosto 2026. Quali vulnerabilità vengono risolte?Un utente autenticato potrebbe aumentare i privilegi e impersonare un account di servizio nel Google Cloud progetto. |
Alta | CVE-2026-85298 |
GCP-2026-066
Pubblicato: 2026-09-28
| Descrizione | Gravità | Note |
|---|---|---|
|
È stata rilevata una vulnerabilità di Confused Deputy nel componente Attività email nelle versioni di Application Integration precedenti al 30 giugno 2026. Che cosa devo fare?Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 30 giugno 2026. Quali vulnerabilità vengono risolte?Un utente malintenzionato autenticato potrebbe leggere ed esfiltrare file interni di Google arbitrari utilizzando un percorso di allegato creato appositamente. |
Alta | CVE-2026-81375 |
GCP-2026-065
Pubblicato: 2026-09-28
| Descrizione | Gravità | Note |
|---|---|---|
|
È stata rilevata una vulnerabilità di deserializzazione di dati non attendibili nell'attività JavaScript nelle versioni di Application Integration precedenti al 28 giugno 2026. Che cosa devo fare?Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 28 giugno 2026. Quali vulnerabilità vengono risolte?Un utente autenticato con autorizzazioni standard potrebbe utilizzare uno script creato appositamente appositamente per eseguire codice arbitrario sui server di produzione condivisi. |
Critica | CVE-2026-81867 |
GCP-2026-064
Pubblicato: 2026-09-28
| Descrizione | Gravità | Note |
|---|---|---|
|
È stata rilevata una vulnerabilità di autorizzazione errata nella configurazione delle attività nelle versioni di Application Integration precedenti al 17 giugno 2026. Che cosa devo fare?Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 17 giugno 2026. Quali vulnerabilità vengono risolte?Un utente autenticato potrebbe utilizzare un tipo di attività solo interna per eseguire RPC interne arbitrarie dalla rete di produzione interna di Google con un'identità con privilegi. |
Critica | CVE-2026-19759 |
GCP-2026-044
Pubblicato: 2026-06-25
| Descrizione | Gravità | Note |
|---|---|---|
|
È stata rilevata una vulnerabilità nell'attività JavaScript di Application Integration, che utilizzava il motore JavaScript Rhino. Questo ha interessato solo le attività pubblicate prima di gennaio 2025. Che cosa devo fare?Google ha eseguito la transizione al motore JavaScript V8, più sicuro, per le attività JavaScript in Application Integration. Da gennaio 2025, tutte le integrazioni appena pubblicate utilizzano il motore V8 e, a partire dal 30 marzo 2026, il motore Rhino è stato completamente ritirato. Ora anche le esecuzioni che utilizzano il motore Rhino sono bloccate. Se hai integrazioni pubblicate prima di gennaio 2025, esamina le attività JavaScript per verificare che nessuna si basi ancora sul motore Rhino. Qualsiasi attività ancora configurata per l'utilizzo di Rhino non verrà più eseguita e deve essere migrata al motore V8. Per la procedura di migrazione, vedi Eseguire la migrazione delle attività JavaScript. Quali vulnerabilità vengono risolte?La vulnerabilità, CVE-2025-0982, consentiva a un utente autorizzato a creare ed eseguire attività JavaScript di eseguire codice arbitrario nell'ambiente di esecuzione di Application Integration. In precedenza, l'attività JavaScript utilizzava il motore JavaScript Rhino per eseguire il codice JavaScript fornito dall'utente. Rhino consentiva l'utilizzo della reflection Java e la modifica degli oggetti di autorizzazione in memoria, che potevano essere combinati per bypassare il gestore di sicurezza Java e uscire dalla sandbox di esecuzione prevista. Google ha risolto il problema passando al motore JavaScript V8 a gennaio 2025 e ritirando e bloccando completamente il motore Rhino il 30 marzo 2026. |
Alta | CVE-2025-0982 |