עדכוני אבטחה דחופים
כאן מפורטים כל עדכוני האבטחה הדחופים שקשורים ל-Application Integration.
GCP-2026-074
תאריך פרסום: 28 באוקטובר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
במשימה מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-11 בספטמבר 2026. אילו נקודות חולשה טופלו?משתמש מאומת יכול להשתמש באובייקט סדרתי שנוצר באופן זדוני כדי להריץ קוד שרירותי. |
קריטית | CVE-2026-93327 |
GCP-2026-068
תאריך פרסום: 14 באוקטובר 2026
תאריך עדכון: 5 בנובמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
פרצת אבטחה שקשורה להרשאה שגויה ב- מה לעשות?אין צורך בפעולה של הלקוח כדי לפתור את נקודת החולשה הזו. נקודת החולשה הזו תוקנה ב-27 באוגוסט 2026. כדי לשפר את האבטחה מפני נקודות חולשה בהרשאות, עדכנו את דרישות הפרסום והבדיקה של Application Integration:
מידע נוסף זמין במאמר הכנה לקראת השינויים הקרובים בהרשאות. אילו נקודות חולשה טופלו?משתמש מאומת יכול להסלים הרשאות (privilege escalation) ולהתחזות לחשבון שירות בפרויקט Google Cloud . |
גבוהה | CVE-2026-85298 |
GCP-2026-066
תאריך פרסום: 28 בספטמבר 2026
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסאות של Application Integration שקדמו ל-30 ביוני 2026, התגלתה נקודת חולשה מסוג Confused Deputy ברכיב Email Task. מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-30 ביוני 2026. אילו נקודות חולשה טופלו?תוקף מאומת יכול לקרוא ולחלץ קבצים פנימיים של Google באמצעות נתיב קובץ מצורף שנוצר במיוחד. |
גבוהה | CVE-2026-81375 |
GCP-2026-065
תאריך פרסום: 28 בספטמבר 2026
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
במשימת JavaScript בגרסאות של Application Integration שקדמו ל-28 ביוני 2026, התגלתה נקודת חולשה שקשורה לביטול סריאליזציה של נתונים לא מהימנים. מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-28 ביוני 2026. אילו נקודות חולשה טופלו?משתמש מאומת עם הרשאות רגילות יכול להשתמש בסקריפט שנוצר במיוחד כדי להריץ קוד שרירותי בשרתי הייצור המשותפים. |
קריטית | CVE-2026-81867 |
GCP-2026-064
תאריך פרסום: 28 בספטמבר 2026
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסאות של Application Integration שפורסמו לפני 17 ביוני 2026, נמצאה נקודת חולשה שקשורה להרשאה שגויה בהגדרת המשימה. מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-17 ביוני 2026. אילו נקודות חולשה טופלו?משתמש מאומת יכול להשתמש בסוג משימה פנימי בלבד כדי להפעיל קריאות RPC פנימיות שרירותיות מרשת הייצור הפנימית של Google, באמצעות זהות עם הרשאות. |
קריטית | CVE-2026-19759 |
GCP-2026-044
תאריך פרסום: 25 ביוני 2026
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
זוהתה נקודת חולשה במשימת JavaScript של Application Integration, שהשתמשה במנוע Rhino JavaScript. הבעיה הזו השפיעה רק על משימות שפורסמו לפני ינואר 2025. מה לעשות?Google עברה למנוע JavaScript V8 המאובטח יותר למשימות JavaScript ב-Application Integration. החל מינואר 2025, כל השילובים החדשים שפורסמו משתמשים במנוע V8, והחל מ-30 במרץ 2026, מנוע Rhino הוצא משימוש באופן מלא. גם הרצות באמצעות מנוע Rhino חסומות עכשיו. אם יש לכם שילובים שפורסמו לפני ינואר 2025, בדקו את משימות ה-JavaScript כדי לוודא שאף אחת מהן לא מסתמכת על מנוע Rhino. משימות שעדיין מוגדרות לשימוש ב-Rhino לא יפעלו יותר, וצריך להעביר אותן למנוע V8. איך מעבירים משימות JavaScript אילו נקודות חולשה טופלו?נקודת החולשה, CVE-2025-0982, אפשרה למשתמש עם הרשאה ליצור ולהריץ משימות JavaScript להריץ קוד שרירותי בסביבת ההפעלה של Application Integration. בעבר, משימת ה-JavaScript השתמשה במנוע Rhino JavaScript כדי להריץ קוד JavaScript שסופק על ידי המשתמש. Rhino אפשר שימוש ב-Java reflection ושינוי של אובייקטים של הרשאות בזיכרון, שאפשר לשלב כדי לעקוף את מנהל האבטחה של Java ולצאת מארגז החול המיועד להרצה. כדי לפתור את הבעיה, Google עברה למנוע JavaScript V8 בינואר 2025, והוציאה משימוש וחסמה לחלוטין את מנוע Rhino ב-30 במרץ 2026. |
גבוהה | CVE-2025-0982 |