安全性公告

以下說明與 Cloud Build 相關的所有安全性公告。

如要接收最新的安全公告，請執行下列任一操作：

GCP-2026-042

發布日期：2026-06-24

說明

說明 嚴重性 附註

建立或更新存放區連線時，Cloud Build 會使用 Secret Manager 密鑰向第三方 Git 供應商進行驗證。如果是 GitLab Enterprise (GLE) 和 Bitbucket Data Center (BBDC) 連線，這些參照的密鑰先前是由 Cloud Build 服務代理程式 (P4SA) 代表您擷取。這表示系統會根據 P4SA 的憑證 (而非呼叫主體的憑證) 執行權限檢查。這樣一來，權限有限的主體就能將存放庫連線主機 URI 指向攻擊者控制的端點，進而讀取參照的 Secret Manager 密鑰。

為減輕這項安全漏洞的影響，並遵守最低權限安全原則，Cloud Build 現在會同時根據呼叫主體的憑證 (使用使用者憑證) 和 P4SA 檢查權限，以便呼叫 GitLab Enterprise (GLE) 和 Bitbucket Data Center (BBDC) 連線的存放區連線 API。具體來說，伺服器現在會驗證呼叫者和 P4SA 是否都擁有參照的 Secret Manager 密鑰的 secretmanager.versions.access IAM 權限。

我該怎麼做？

現有的存放區連線無須採取任何行動。如果建立或更新 GitLab Enterprise (GLE) 或 Bitbucket Data Center (BBDC) 存放區連線時發生權限錯誤，請將參照的密鑰的 Secret Manager Secret Accessor (roles/secretmanager.secretAccessor) 角色授予建立或更新連線的使用者或服務帳戶。

這個修補程式修正了哪些安全漏洞？

這項安全漏洞允許具備存放區連線管理員存取權的使用者讀取參照的 Secret Manager 密鑰，因為系統只會根據 P4SA 的憑證執行權限檢查。針對 GitLab Enterprise (GLE) 和 Bitbucket Data Center (BBDC) 連線，系統會要求對呼叫主體 (使用使用者憑證) 和 P4SA 進行權限檢查，因此只有在密碼上獲得 secretmanager.versions.access IAM 權限 (除了 P4SA 本身) 的授權使用者，才能在存放區連線中使用密碼。

 低

GCP-2023-013

發布日期：2023-06-08

說明

說明 嚴重性 附註

在專案中啟用 Cloud Build API 時，Cloud Build 會自動建立預設服務帳戶，代表您執行建構作業。這個 Cloud Build 舊版服務帳戶先前具有 logging.privateLogEntries.list IAM 權限，因此預設可讓建構作業存取私人記錄。為遵循最小權限原則，我們已撤銷 Cloud Build 服務帳戶的這項權限。

我該怎麼做？

使用者無須採取進一步行動。logging.privateLogEntries.list 已撤銷 Cloud Build 舊版服務帳戶的 IAM 權限，並推出修正程式。

這個修補程式修正了哪些安全漏洞？

這項安全漏洞授予了列出私密記錄的權限。 由於 logging.privateLogEntries.listIAM 權限已從 Cloud Build 舊版服務帳戶撤銷，建構作業預設無法再列出私人記錄。

 低