Sicherheitsbulletins

Im Folgenden werden alle Sicherheitsbulletins im Zusammenhang mit Application Integration beschrieben.

GCP-2026-044

Veröffentlicht: 25.06.2026

Beschreibung	Schweregrad	Hinweise
In der JavaScript-Aufgabe von Application Integration, in der die Rhino JavaScript-Engine verwendet wurde, wurde eine Sicherheitslücke entdeckt. Dies betraf nur Aufgaben, die vor Januar 2025 veröffentlicht wurden. Wie gehe ich am besten vor? Google hat für JavaScript-Aufgaben in Application Integration auf die sicherere V8-JavaScript-Engine umgestellt. Seit Januar 2025 wird für alle neu veröffentlichten Integrationen die V8-Engine verwendet. Am 30. März 2026 wurde die Rhino-Engine vollständig eingestellt. Auch Ausführungen mit der Rhino-Engine werden jetzt blockiert. Wenn Sie Integrationen haben, die vor Januar 2025 veröffentlicht wurden, überprüfen Sie Ihre JavaScript-Aufgaben, um sicherzustellen, dass keine mehr auf die Rhino-Engine angewiesen sind. Alle Aufgaben, die noch für die Verwendung von Rhino konfiguriert sind, werden nicht mehr ausgeführt und müssen auf die V8-Engine migriert werden. Eine Anleitung zur Migration finden Sie unter JavaScript-Aufgaben migrieren. Welche Sicherheitslücken werden behoben? Über die Sicherheitslücke CVE-2025-0982 konnte ein Nutzer mit der Berechtigung, JavaScript-Aufgaben zu erstellen und auszuführen, beliebigen Code in der Application Integration-Ausführungsumgebung ausführen. Für die JavaScript-Aufgabe wurde bisher die Rhino JavaScript-Engine verwendet, um benutzerdefiniertes JavaScript auszuführen. Rhino erlaubte die Verwendung von Java-Reflection und die Änderung von Berechtigungsobjekten im Arbeitsspeicher. Diese konnten kombiniert werden, um den Java-Sicherheitsmanager zu umgehen und die vorgesehene Ausführungssandbox zu verlassen. Google hat dieses Problem behoben, indem im Januar 2025 auf die V8-JavaScript-Engine umgestellt und die Rhino-Engine am 30. März 2026 vollständig eingestellt und blockiert wurde.	Hoch	CVE-2025-0982