Buletin keamanan

Berikut adalah penjelasan semua buletin keamanan yang terkait dengan Application Integration.

GCP-2026-074

Dipublikasikan: 28-10-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Deserialisasi Data yang Tidak Tepercaya ditemukan dalam tugas SubWorkflow di Application Integration versi sebelum 11 September 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 11 September 2026.

Kerentanan apa yang sedang ditangani?

Pengguna yang diautentikasi dapat menggunakan objek serial yang dibuat secara berbahaya untuk mengeksekusi kode arbitrer.

 Kritis CVE-2026-93327

GCP-2026-068

Dipublikasikan: 14-10-2026

Diperbarui: 05-11-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Otorisasi yang Salah dalam runtime eksekusi validasi dan integrasi AuthConfig di Application Integration versi sebelum 27 Agustus 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun untuk mengatasi kerentanan ini. Kerentanan ini telah di-patch pada 27 Agustus 2026.

Untuk meningkatkan keamanan terhadap kerentanan otorisasi, Application Integration telah memperbarui persyaratan publikasi dan pengujiannya:

  • Semua integrasi: Memerlukan izin iam.serviceAccounts.actAs di akun layanan run-as.
  • Integrasi yang dibuat pada atau setelah 15 Oktober 2026: Harus memiliki akun layanan run-as untuk menggunakan pemicu terjadwal atau pemicu peristiwa.
  • Integrasi yang sudah ada yang dibuat sebelum 15 Oktober 2026: Juga akan memerlukan akun layanan run-as untuk pemicu terjadwal atau peristiwa mulai 15 Januari 2027 (UTC).

Untuk mengetahui informasi selengkapnya, lihat Bersiap untuk perubahan otorisasi mendatang.

Kerentanan apa yang sedang ditangani?

Pengguna yang diautentikasi dapat mengeskalasi hak istimewa dan meniru identitas akun layanan di project Google Cloud .

 Tinggi CVE-2026-85298

GCP-2026-066

Dipublikasikan: 28-09-2026

Deskripsi Keparahan Catatan

Kerentanan Confused Deputy ditemukan di komponen Email Task di Application Integration versi sebelum 30 Juni 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 30 Juni 2026.

Kerentanan apa yang sedang ditangani?

Penyerang yang diautentikasi dapat membaca dan mengeksfiltrasi file internal Google arbitrer menggunakan jalur lampiran yang dibuat.

 Tinggi CVE-2026-81375

GCP-2026-065

Dipublikasikan: 28-09-2026

Deskripsi Keparahan Catatan

Kerentanan Deserialisasi Data yang Tidak Tepercaya ditemukan di Tugas JavaScript di Application Integration versi sebelum 28 Juni 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 28 Juni 2026.

Kerentanan apa yang sedang ditangani?

Pengguna yang diautentikasi dengan izin standar dapat menggunakan skrip yang dibuat khusus untuk menjalankan kode arbitrer di server produksi bersama.

 Kritis CVE-2026-81867

GCP-2026-064

Dipublikasikan: 28-09-2026

Deskripsi Keparahan Catatan

Kerentanan Otorisasi yang Salah ditemukan dalam konfigurasi tugas di Application Integration versi sebelum 17 Juni 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 17 Juni 2026.

Kerentanan apa yang sedang ditangani?

Pengguna yang diautentikasi dapat menggunakan jenis tugas khusus internal untuk mengeksekusi RPC internal arbitrer dari jaringan produksi internal Google dengan identitas istimewa.

 Kritis CVE-2026-19759

GCP-2026-044

Dipublikasikan: 25-06-2026

Deskripsi Keparahan Catatan

Kerentanan terdeteksi dalam tugas JavaScript Application Integration, yang menggunakan mesin JavaScript Rhino. Hal ini hanya memengaruhi tugas yang dipublikasikan sebelum Januari 2025.

Apa yang harus saya lakukan?

Google telah beralih ke mesin JavaScript V8 yang lebih aman untuk tugas JavaScript di Application Integration. Sejak Januari 2025, semua integrasi yang baru dipublikasikan menggunakan mesin V8, dan mulai 30 Maret 2026, mesin Rhino tidak digunakan lagi sepenuhnya. Eksekusi yang menggunakan mesin Rhino juga kini diblokir.

Jika Anda memiliki integrasi yang dipublikasikan sebelum Januari 2025, tinjau tugas JavaScript Anda untuk mengonfirmasi bahwa tidak ada yang masih mengandalkan mesin Rhino. Tugas apa pun yang masih dikonfigurasi untuk menggunakan Rhino tidak akan dijalankan lagi dan harus dimigrasikan ke mesin V8. Untuk mengetahui langkah-langkah migrasi, lihat Memigrasikan tugas JavaScript.

Kerentanan apa yang sedang ditangani?

Kerentanan, CVE-2025-0982, memungkinkan pengguna dengan otorisasi untuk menulis dan menjalankan tugas JavaScript guna mengeksekusi kode arbitrer dalam lingkungan eksekusi Application Integration.

Tugas JavaScript sebelumnya menggunakan mesin JavaScript Rhino untuk menjalankan JavaScript yang disediakan pengguna. Rhino mengizinkan penggunaan refleksi Java dan modifikasi objek izin dalam memori, yang dapat digabungkan untuk mengabaikan pengelola keamanan Java dan keluar dari sandbox eksekusi yang dimaksud. Google telah memperbaiki masalah ini dengan beralih ke mesin JavaScript V8 pada Januari 2025 serta menghentikan penggunaan dan memblokir sepenuhnya mesin Rhino pada 30 Maret 2026.

 Tinggi CVE-2025-0982