Boletins de segurança
Confira a seguir todos os boletins de segurança relacionados à Application Integration.
GCP-2026-074
Publicado em: 28/10/2026
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de desserialização de dados não confiáveis foi descoberta
na tarefa O que fazer?Nenhuma ação do cliente é necessária. Essa vulnerabilidade foi corrigida em 11 de setembro de 2026. Quais vulnerabilidades estão sendo abordadas?Um usuário autenticado pode usar um objeto serializado criado com intenções maliciosas para executar um código arbitrário. |
Crítico | CVE-2026-93327 |
GCP-2026-068
Publicado em: 14/10/2026
Atualizado em: 24/10/2026
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de autorização incorreta no ambiente de execução de validação e integração do O que fazer?Nenhuma ação do cliente é necessária para resolver essa vulnerabilidade. Essa vulnerabilidade foi corrigida em 27 de agosto de 2026. Para melhorar a segurança contra vulnerabilidades de autorização,
a partir de 15 de outubro de 2026, o Application Integration
vai exigir a permissão Quais vulnerabilidades estão sendo abordadas?Um usuário autenticado pode escalonar privilégios e personificar uma conta de serviço no projeto do Google Cloud . |
Alta | CVE-2026-85298 |
GCP-2026-066
Publicado em: 28/09/2026
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de Confused Deputy foi descoberta no componente de tarefa de e-mail nas versões do Application Integration anteriores a 30 de junho de 2026. O que fazer?Nenhuma ação do cliente é necessária. Essa vulnerabilidade foi corrigida em 30 de junho de 2026. Quais vulnerabilidades estão sendo abordadas?Um invasor autenticado pode ler e exfiltrar arquivos internos do Google arbitrários usando um caminho de anexo criado. |
Alta | CVE-2026-81375 |
GCP-2026-065
Publicado em: 28/09/2026
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de desserialização de dados não confiáveis foi descoberta na tarefa do JavaScript nas versões do Application Integration anteriores a 28 de junho de 2026. O que fazer?Nenhuma ação do cliente é necessária. Essa vulnerabilidade foi corrigida em 28 de junho de 2026. Quais vulnerabilidades estão sendo abordadas?Um usuário autenticado com permissões padrão poderia usar um script especialmente criado para executar código arbitrário nos servidores de produção compartilhados. |
Crítico | CVE-2026-81867 |
GCP-2026-064
Publicado em: 28/09/2026
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de autorização incorreta foi descoberta na configuração da tarefa nas versões do Application Integration anteriores a 17 de junho de 2026. O que fazer?Nenhuma ação do cliente é necessária. Essa vulnerabilidade foi corrigida em 17 de junho de 2026. Quais vulnerabilidades estão sendo abordadas?Um usuário autenticado pode usar um tipo de tarefa somente interno para executar RPCs internas arbitrárias da rede de produção interna do Google com uma identidade privilegiada. |
Crítico | CVE-2026-19759 |
GCP-2026-044
Publicado em: 25/06/2026
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade foi detectada na tarefa JavaScript da Application Integration, que usava o mecanismo JavaScript Rhino. Isso afetou apenas as tarefas publicadas antes de janeiro de 2025. O que fazer?O Google fez a transição para o mecanismo JavaScript V8, que é mais seguro, para tarefas de JavaScript na Application Integration. Desde janeiro de 2025, todas as integrações recém-publicadas usam o mecanismo V8. Em 30 de março de 2026, o mecanismo Rhino foi totalmente descontinuado. As execuções que usam o mecanismo Rhino também estão bloqueadas. Se você tiver integrações publicadas antes de janeiro de 2025, revise suas tarefas em JavaScript para confirmar que nenhuma delas ainda depende do mecanismo Rhino. As tarefas que ainda estiverem configuradas para usar o Rhino não serão mais executadas e precisarão ser migradas para o mecanismo V8. Para ver as etapas de migração, consulte Migrar tarefas do JavaScript. Quais vulnerabilidades estão sendo abordadas?A vulnerabilidade, CVE-2025-0982, permitia que um usuário com autorização para criar e executar tarefas em JavaScript executasse código arbitrário no ambiente de execução do Application Integration. A tarefa do JavaScript usava o mecanismo JavaScript Rhino para executar o JavaScript fornecido pelo usuário. O Rhino permitia o uso da reflexão do Java e a modificação de objetos de permissão na memória, que podiam ser combinados para ignorar o gerenciador de segurança do Java e escapar do sandbox de execução pretendido. O Google corrigiu isso ao migrar para o mecanismo JavaScript V8 em janeiro de 2025 e descontinuar e bloquear totalmente o mecanismo Rhino em 30 de março de 2026. |
Alta | CVE-2025-0982 |