Bulletins de sécurité
La section suivante décrit tous les bulletins de sécurité liés à Application Integration.
GCP-2026-074
Publié : 2026-10-28
Description
| Description | Gravité | Remarques |
|---|---|---|
|
Une faille de désérialisation des données non fiables a été détectée dans la tâche Que dois-je faire ?Aucune action n'est requise de la part du client. Cette faille a été corrigée le 11 septembre 2026. Quelles failles sont corrigées ?Un utilisateur authentifié pourrait utiliser un objet sérialisé créé de manière malveillante pour exécuter du code arbitraire. |
Critique | CVE-2026-93327 |
GCP-2026-068
Publié : 14/10/2026
Mise à jour : 05/11/2026
Description
| Description | Gravité | Remarques |
|---|---|---|
|
Une faille d'autorisation incorrecte dans l'environnement d'exécution de validation et d'intégration Que dois-je faire ?Aucune action du client n'est requise pour résoudre cette faille. Cette faille a été corrigée le 27 août 2026. Pour améliorer la sécurité contre les failles d'autorisation, Application Integration a mis à jour ses exigences de publication et de test :
Pour en savoir plus, consultez Se préparer aux modifications d'autorisation à venir. Quelles failles sont corrigées ?Un utilisateur authentifié peut élever ses privilèges et emprunter l'identité d'un compte de service dans le projet Google Cloud . |
Élevée | CVE-2026-85298 |
GCP-2026-066
Date de publication : 28/09/2026
| Description | Gravité | Remarques |
|---|---|---|
|
Une faille de type "Confused Deputy" a été découverte dans le composant de tâche d'envoi d'e-mails dans les versions d'Application Integration antérieures au 30 juin 2026. Que dois-je faire ?Aucune action n'est requise de la part du client. Cette faille a été corrigée le 30 juin 2026. Quelles failles sont corrigées ?Un pirate informatique authentifié pourrait lire et exfiltrer des fichiers internes de Google arbitraires à l'aide d'un chemin d'accès de pièce jointe spécialement conçu. |
Élevée | CVE-2026-81375 |
GCP-2026-065
Date de publication : 28/09/2026
| Description | Gravité | Remarques |
|---|---|---|
|
Une faille de désérialisation des données non fiables a été détectée dans la tâche JavaScript dans les versions d'Application Integration antérieures au 28 juin 2026. Que dois-je faire ?Aucune action n'est requise de la part du client. Cette faille a été corrigée le 28 juin 2026. Quelles failles sont corrigées ?Un utilisateur authentifié disposant d'autorisations standards pourrait utiliser un script spécialement conçu pour exécuter du code arbitraire sur les serveurs de production partagés. |
Critique | CVE-2026-81867 |
GCP-2026-064
Date de publication : 28/09/2026
| Description | Gravité | Remarques |
|---|---|---|
|
Une faille d'autorisation incorrecte a été découverte dans la configuration des tâches dans les versions d'Application Integration antérieures au 17 juin 2026. Que dois-je faire ?Aucune action n'est requise de la part du client. Cette faille a été corrigée le 17 juin 2026. Quelles failles sont corrigées ?Un utilisateur authentifié pouvait utiliser un type de tâche interne uniquement pour exécuter des RPC internes arbitraires à partir du réseau de production interne de Google sous une identité privilégiée. |
Critique | CVE-2026-19759 |
GCP-2026-044
Date de publication : 25/06/2026
| Description | Gravité | Remarques |
|---|---|---|
|
Une faille a été détectée dans la tâche JavaScript d'Application Integration, qui utilisait le moteur JavaScript Rhino. Cela n'a affecté que les tâches publiées avant janvier 2025. Que dois-je faire ?Google est passé au moteur JavaScript V8, plus sécurisé, pour les tâches JavaScript dans Application Integration. Depuis janvier 2025, toutes les intégrations nouvellement publiées utilisent le moteur V8. Depuis le 30 mars 2026, le moteur Rhino est complètement obsolète. Les exécutions utilisant le moteur Rhino sont également bloquées. Si vous avez des intégrations publiées avant janvier 2025, vérifiez vos tâches JavaScript pour vous assurer qu'aucune ne repose encore sur le moteur Rhino. Toute tâche encore configurée pour utiliser Rhino ne s'exécutera plus et devra être migrée vers le moteur V8. Pour connaître les étapes de migration, consultez Migrer des tâches JavaScript. Quelles failles sont corrigées ?La faille CVE-2025-0982 permettait à un utilisateur autorisé à créer et à exécuter des tâches JavaScript d'exécuter du code arbitraire dans l'environnement d'exécution d'Application Integration. La tâche JavaScript utilisait auparavant le moteur JavaScript Rhino pour exécuter le code JavaScript fourni par l'utilisateur. Rhino permettait d'utiliser la réflexion Java et de modifier les objets d'autorisation en mémoire, ce qui pouvait être combiné pour contourner le gestionnaire de sécurité Java et échapper au bac à sable d'exécution prévu. Google a résolu ce problème en passant au moteur JavaScript V8 en janvier 2025, et en abandonnant et en bloquant complètement le moteur Rhino le 30 mars 2026. |
Élevée | CVE-2025-0982 |