セキュリティに関する公開情報
ここでは、Application Integration に関連するすべてのセキュリティに関する公開情報について説明します。
GCP-2026-074
公開日: 2026 年 10 月 28 日
説明
| 説明 | 重大度 | メモ |
|---|---|---|
|
2026 年 9 月 11 日より前の Application Integration バージョンの 必要な対策お客様による対応は必要ありません。この脆弱性は 2026 年 9 月 11 日にパッチが適用されました。 対処されている脆弱性認証されたユーザーが、悪意を持って作成されたシリアル化オブジェクトを使用して任意のコードを実行する可能性があります。 |
重大 | CVE-2026-93327 |
GCP-2026-068
公開日: 2026-10-14
更新日: 2026 年 11 月 5 日
説明
| 説明 | 重大度 | メモ |
|---|---|---|
|
2026 年 8 月 27 日より前の Application Integration バージョンの 必要な対策この脆弱性を解決するために、お客様による対応は必要ありません。この脆弱性は 2026 年 8 月 27 日にパッチが適用されました。 認可の脆弱性に対するセキュリティを強化するため、Application Integration では公開とテストの要件が更新されました。
詳細については、今後の承認の変更に備えるをご覧ください。 対処されている脆弱性認証されたユーザーが権限を昇格し、 Google Cloud プロジェクトのサービス アカウントになりすます可能性があります。 |
高 | CVE-2026-85298 |
GCP-2026-066
公開日: 2026-09-28
| 説明 | 重大度 | メモ |
|---|---|---|
|
2026 年 6 月 30 日より前の Application Integration バージョンのメールタスク コンポーネントで、混乱した代理の脆弱性が検出されました。 必要な対策お客様による対応は必要ありません。この脆弱性は 2026 年 6 月 30 日にパッチが適用されました。 対処されている脆弱性認証された攻撃者が、細工された添付ファイルパスを使用して、Google 内部の任意のファイルを読み取り、引き出す可能性があります。 |
高 | CVE-2026-81375 |
GCP-2026-065
公開日: 2026-09-28
| 説明 | 重大度 | メモ |
|---|---|---|
|
2026 年 6 月 28 日より前の Application Integration バージョンの JavaScript タスクで、信頼できないデータのデシリアライズの脆弱性が検出されました。 必要な対策お客様による対応は必要ありません。この脆弱性は 2026 年 6 月 28 日にパッチが適用されました。 対処されている脆弱性標準権限を持つ認証済みユーザーが、特別に細工されたスクリプトを使用して、共有の本番環境サーバーで任意のコードを実行する可能性があります。 |
重大 | CVE-2026-81867 |
GCP-2026-064
公開日: 2026-09-28
| 説明 | 重大度 | メモ |
|---|---|---|
|
2026 年 6 月 17 日より前の Application Integration バージョンのタスク構成で、不適切な認可の脆弱性が発見されました。 必要な対策お客様による対応は必要ありません。この脆弱性は 2026 年 6 月 17 日にパッチが適用されました。 対処されている脆弱性認証されたユーザーが、内部専用のタスクタイプを使用して、Google 内部の本番環境ネットワークから特権 ID で任意の内部 RPC を実行する可能性があります。 |
重大 | CVE-2026-19759 |
GCP-2026-044
公開日: 2026 年 6 月 25 日
| 説明 | 重大度 | メモ |
|---|---|---|
|
Rhino JavaScript エンジンを使用していた Application Integration の JavaScript タスクで脆弱性が検出されました。この問題は、2025 年 1 月より前に公開されたタスクにのみ影響しました。 必要な対策Google は、Application Integration の JavaScript タスクに、より安全な V8 JavaScript エンジンを導入しました。2025 年 1 月以降、新しく公開された統合はすべて V8 エンジンを使用しており、2026 年 3 月 30 日をもって Rhino エンジンは完全に非推奨となりました。Rhino エンジンを使用した実行もブロックされるようになりました。 2025 年 1 月より前に公開された統合がある場合は、JavaScript タスクを確認して、Rhino エンジンに依存しているタスクがないことを確認してください。Rhino を使用するように構成されたタスクは実行されなくなるため、V8 エンジンに移行する必要があります。移行手順については、JavaScript タスクを移行するをご覧ください。 対処されている脆弱性この脆弱性（CVE-2025-0982）により、JavaScript タスクの作成と実行の権限を持つユーザーが、Application Integration 実行環境内で任意のコードを実行できる可能性がありました。 JavaScript タスクは、以前は Rhino JavaScript エンジンを使用して、ユーザーが指定した JavaScript を実行していました。Rhino では、Java リフレクションの使用とメモリ内権限オブジェクトの変更が許可されていました。これらを組み合わせることで、Java セキュリティ マネージャーをバイパスし、意図された実行サンドボックスからエスケープすることが可能でした。Google は、2025 年 1 月に V8 JavaScript エンジンに移行し、2026 年 3 月 30 日に Rhino エンジンを完全に非推奨にしてブロックすることで、この問題を修正しました。 |
高 | CVE-2025-0982 |