Bulletins de sécurité

Nous publions occasionnellement des bulletins de sécurité relatifs à Compute Engine. Tous les bulletins de sécurité pour Compute Engine sont décrits ici.

Utilisez ce flux XML pour vous abonner aux bulletins de sécurité Compute Engine.

GCP-2026-073

Date de publication  : 26/10/2026

Description

Description	Gravité	Remarques
Une faille d'autorisation incorrecte a été découverte dans Compute Engine avant le 31 août 2026. Que dois-je faire ? Aucune action n'est requise de votre part. Cette faille a été corrigée le 31 août 2026. Quelles failles sont corrigées ? Une faille d'autorisation incorrecte dans les versions de Compute Engine antérieures au 31 août 2026 permet à un utilisateur d'exfiltrer des données de disque sans les autorisations IAM requises.	Élevée	CVE-2026-85299

GCP-2026-054

Date de publication  : 11/08/2026

Description

Description	Gravité	Remarques
Une faille (CVE-2026-6726, également appelée TCGVRT0010) a été identifiée dans le code d'implémentation de référence TPM 2.0 du Trusted Computing Group, qui affecte toutes les révisions publiées du code (v1.16, v1.38, v1.59, v1.83, v184). Que dois-je faire ? Aucune action n'est requise de la part du client. Google mettra à jour vos systèmes de manière proactive pendant vos intervalles de maintenance standards et planifiés. Quelles failles sont corrigées ? La faille CVE-2026-6726 pourrait permettre à un pirate informatique local disposant de droits d'accès d'obtenir des identifiants auprès d'une autorité de certification (CA) compatible avec le TPM pour une clé TPM falsifiée, telle qu'une clé d'attestation (AK), une clé DevID ou une clé d'authentification TLS. Cela pourrait permettre la création d'attestations TPM 2.0 frauduleuses à l'aide de la clé falsifiée.	Élevée	CVE-2026-6726

GCP-2026-036

Date de publication  : 09/06/2026

Description

Description	Gravité	Remarques
ARM a annoncé la CVE-2025-10263, un problème d'architecture affectant certains cœurs ARM qui permet à un pirate d'ignorer les étapes de traduction ou les protections GPT dans certaines conditions. Cette faille permet à un pirate informatique disposant d'un niveau d'exception inférieur d'écrire dans la mémoire d'un niveau d'exception supérieur, ce qui lui permet d'élever ses privilèges. Ce problème n'affecte pas les lectures de mémoire. Bien que Google ait sécurisé l'infrastructure contre les attaques de VM à VM et de VM à hyperviseur, vous devez obtenir des correctifs au niveau de l'OS invité auprès de vos fournisseurs d'OS. Ces mises à jour sont essentielles pour se défendre contre les menaces au sein de l'environnement invité, telles que les attaques de processus à processus ou de processus à noyau. Les mesures d'atténuation pour les invités de Container-Optimized OS sont en cours de développement et seront ajoutées aux notes de version de COS une fois qu'elles seront prêtes. Que dois-je faire ? Cette faille affecte plusieurs familles de cœurs Arm utilisées dans Google Cloud, y compris Neoverse V1, V2 et N1, ce qui affecte C4A, T2A, A4X et A4X Max. Si vous exécutez des charges de travail sur des instances Arm concernées, vous devez mettre à niveau vos images d'OS invité vers les versions sécurisées dès qu'elles sont disponibles. Vous devez contacter les fournisseurs de votre distribution pour appliquer un correctif à votre système d'exploitation invité concernant la faille CVE-2025-10263.	Élevée	CVE-2025-10263

GCP-2026-032

Date de publication  : 12/05/2026

Description

Description	Gravité	Remarques
AMD a identifié une faille au niveau matériel dans les processeurs à microarchitecture Zen 2 (y compris les séries EPYC et Ryzen) impliquant une corruption potentielle dans le cache de micro-opérations (OP). Dans des conditions spécifiques, ce problème (AMD-SN-7052/CVE-2025-54518) peut entraîner un contournement des limites de sécurité ou un accès non autorisé aux données. Nous avons déployé des correctifs sur l'infrastructure Google pour atténuer ces problèmes.	Élevée	CVE-2025-54518

GCP-2026-031

Date de publication : 12/05/2026

Description

Description	Gravité	Remarques
Des chercheurs ont découvert une faille dans le micrologiciel AMD qui, en raison d'une protection manquante, pourrait permettre à un hyperviseur malveillant d'exécuter du code arbitraire sur le processeur sécurisé AMD (ASP). Cela permet l'escalade des autorisations de lecture et d'écriture des entrées/sorties mappées en mémoire (MMIO), ce qui compromet la confidentialité et l'intégrité des invités SEV-SNP. Google a appliqué une correction qui évite ces problèmes. Que dois-je faire ? Aucune action n'est requise de la part du client. Des mesures d'atténuation ont déjà été appliquées aux instances Confidential VM avec AMD SEV-SNP. Quelles failles sont corrigées ? Pour en savoir plus, consultez l'avis AMD AMD-SB-3030.	Moyenne	CVE-2025-61971 CVE-2025-61972 CVE-2024-36315

GCP-2026-021

Date de publication : 14/04/2026

Description

Description	Gravité	Remarques
AMD a signalé une faille dans son micrologiciel qui aurait pu permettre à un hyperviseur malveillant d'ordonner à l'IOMMU d'écrire dans la mémoire d'invité des instances compatibles avec AMD SEV-SNP, compromettant ainsi l'intégrité des données d'invité. Google a déployé une correction pour les instances Confidential VM vulnérables sur lesquelles AMD SEV-SNP est activé. Que dois-je faire ? Aucune action n'est requise de la part du client. La correction a déjà été appliquée aux instances Confidential VM sur lesquelles AMD SEV-SNP est activé. Pour en savoir plus, consultez l'avis AMD AMD-SB-3016.	Moyenne	CVE-2023-20585

GCP-2026-019

Date de publication  : 14/04/2026

Description

Description	Gravité	Remarques
Des chercheurs ont découvert une faille dans le micrologiciel AMD qui pourrait permettre à un hyperviseur malveillant de modifier les paramètres du BIOS et les configurations de routage des entrées/sorties mappées en mémoire (MMIO), compromettant ainsi la confidentialité et l'intégrité des Confidential VMs avec des invités AMD SEV-SNP. Google a mis en œuvre la correction qui permet d'éviter ce problème. Que dois-je faire ? Aucune action n'est requise de la part du client. Des mesures d'atténuation ont déjà été appliquées aux instances Confidential VM avec AMD SEV-SNP. Quelles failles sont corrigées ? Pour en savoir plus, consultez l'avis AMD AMD-SB-3034.	Moyenne	CVE-2025-54510

GCP-2026-015

Date de publication  : 27/03/2026

Description

Description	Gravité	Remarques
Une faille a été découverte dans le noyau Linux, qui peut entraîner une élévation des privilèges sur les nœuds Container-Optimized OS. Que dois-je faire ? Nous vous recommandons de mettre à niveau votre nœud Container-Optimized OS (COS) vers la version cos-125-19216-220-57, qui inclut un correctif pour cette faille. Pour obtenir des instructions de mise à niveau, consultez l'un des articles suivants : Si vous gérez directement des VM Container-Optimized OS, vous devez recréer vos VM à l'aide des images mises à jour. Pour en savoir plus, consultez Créer une VM à partir d'une image publique. Si vous utilisez Container-Optimized OS via un service géré (tel que GKE, Dataflow ou Cloud SQL), reportez-vous aux instructions de mise à niveau spécifiques à ce service. Remarque : Des correctifs sont en cours de développement pour les versions 117 et 121 de Container-Optimized OS. Quelles failles sont corrigées ? La faille CrackArmor dans AppArmor, CVE-2026-23268, permet aux utilisateurs non privilégiés de contourner les protections du noyau, d'obtenir des privilèges racine et de briser l'isolation des conteneurs locaux.	Élevée	CVE-2026-23268

GCP-2026-004

Date de publication  : 14/01/2026

Description

Description	Gravité	Remarques
L'instruction CPP RCTX sur certains processeurs Arm peut être utilisée par un pirate informatique disposant d'un accès privilégié au noyau invité pour empêcher l'application des invalidations TLB. Cela permet à l'attaquant de lire potentiellement des données sensibles auxquelles il n'est pas autorisé à accéder. La faille affecte les VM Compute Engine Arm suivantes : C4A, A4X. Que dois-je faire ? Aucune action n'est requise de la part du client. Des mesures d'atténuation ont déjà été appliquées au parc de serveurs Arm Google Cloud . Quelles failles sont corrigées ? Pour en savoir plus, consultez CVE-2025-0647.	Moyenne	CVE-2025-0647

GCP-2025-058

Publié : 2025-10-20

Description

Description	Gravité	Remarques
Une faille a été découverte dans l'instruction RDSEED des processeurs AMD Zen 5 (Turin). Cette instruction permet de générer des nombres aléatoires cryptographiques. Dans certaines conditions de charge du système, les versions 16 et 32 bits de RDSEED peuvent échouer de manière silencieuse, ce qui peut compromettre les applications qui s'appuient sur la génération de nombres aléatoires. Les clients qui utilisent la version 64 bits de RDSEED ne sont pas concernés. Que dois-je faire ? AMD enquête sur la faille. Il est important de noter que le noyau Linux 64 bits utilise la version 64 bits sécurisée de l'instruction RDSEED, qui alimente les nombres aléatoires obtenus à partir de /dev/[u]random. Ces nombres aléatoires ne sont pas affectés par cette faille. Si vous disposez d'un code d'application qui synthétise lui-même des nombres aléatoires à l'aide de l'instruction RDSEED, sachez que les versions 16 bits et 32 bits de l'instruction ne sont pas sécurisées. La version 64 bits de l'instruction est sécurisée. Quelles failles sont corrigées ? Cette faille permet à un pirate informatique de provoquer l'échec silencieux de RDSEED, ce qui peut compromettre la génération de nombres aléatoires dans les applications.	Élevée	CVE-2025-62626

GCP-2025-044

Date de publication  : 12/08/2025

Description

Description	Gravité	Remarques
Intel a informé Google de deux nouvelles failles de sécurité. CVE-2025-21090 : cette faille affecte les processeurs Intel suivants : Sapphire Rapids : familles de VM C3, Z3, H3, A3, v5p Emerald Rapids : familles de VM N4, C4, M4, A3 Ultra, A4 Granite Rapids : famille de VM N4, C4 CVE-2025-22840 : cette faille affecte le processeur Intel suivant : Granite Rapids : famille de VM N4, C4 Que dois-je faire ? Aucune action n'est requise de la part des clients pour ces deux failles. Google mettra à jour vos systèmes de manière proactive pendant vos intervalles de maintenance standards et planifiés. Pour le moment, aucune preuve d'exploitation n'a été trouvée ni signalée à Google. Quelles failles sont corrigées ? La faille CVE-2025-21090 permet à un acteur non privilégié d'utiliser l'instruction de processeur AMX, conjointement avec l'instruction de processeur AVX, pour rendre la machine hôte inopérante. La faille CVE-2025-22840 permet à un acteur non privilégié d'utiliser l'instruction CPU prefetchit pour charger du contenu en mémoire auquel il n'aurait pas accès autrement, ce qui peut entraîner l'exécution de code à distance.	Moyenne	CVE-2025-21090 CVE-2025-22840

GCP-2025-042

Date de publication  : 11/08/2025

Description

Description	Gravité	Remarques
Des chercheurs ont découvert une faille de sécurité dans certains processeurs Intel, y compris ceux basés sur les microarchitectures Skylake, Broadwell et Haswell. Cette faille permet à un pirate informatique de lire des données sensibles directement à partir du cache L1 du processeur, auquel il n'est pas autorisé à accéder. Cette faille a été initialement divulguée dans CVE-2018-3646 en 2018. Dès la découverte de cette faille, Google a immédiatement mis en œuvre des mesures d'atténuation pour répondre aux risques connus. Les informations concernant la faille et les premiers correctifs ont été publiées à ce moment-là. Depuis, nous avons étudié le risque résiduel et collaboré avec la communauté Linux en amont pour y remédier. Nous avons récemment collaboré avec des chercheurs universitaires en sécurité pour évaluer l'état des mesures de sécurité des processeurs et les techniques d'attaque potentielles qui n'avaient pas été envisagées en 2018. Google a appliqué des correctifs aux éléments concernés, y compris Google Cloud, pour atténuer le problème. Que dois-je faire ? Aucune action n'est requise de la part du client. Des mesures d'atténuation ont déjà été appliquées au parc de serveurs Google. Quelles failles sont corrigées ? Pour en savoir plus, consultez l'avis d'Intel INTEL-SA-00161 et la faille CVE-2018-3646.	Élevée	CVE-2018-3646

GCP-2025-031

Date de publication  : 10/06/2025

Description

Description	Gravité	Remarques
Le Trusted Computing Group (TCG) a signalé une faille logicielle du module TPM (Trusted Platform Module), qui affecte les VM protégées utilisant un TPM virtuel (vTPM). Cette faille permet à un pirate informatique local authentifié de lire des données vTPM sensibles ou d'affecter la disponibilité du vTPM. L'accès au vTPM est généralement privilégié. Toutefois, certaines configurations peuvent autoriser un accès vTPM plus large. Que dois-je faire ? Aucune action n'est requise de la part du client. Google mettra à jour vos systèmes de manière proactive pendant vos intervalles de maintenance standards et planifiés. Toutefois, vous pouvez limiter l'accès au vTPM aux utilisateurs administratifs (racine). Cette action permet de réduire les risques pour vos VM protégées. Quelles failles sont corrigées ? La faille CVE-2025-2884 permet à un pirate informatique local ayant accès à l'interface vTPM d'envoyer des commandes malveillantes. Ces commandes exploitent une incohérence, qui lit la mémoire vTPM hors limites (OOB). Cette action peut exposer des données sensibles.	Élevée	CVE-2025-2884

GCP-2025-025

Date de publication  : 13/05/2025

Description

Description	Gravité	Remarques
Intel a informé Google d'une nouvelle faille de canal auxiliaire affectant les processeurs Intel suivants : CascadeLake, Ice Lake XeonSP, Ice Lake XeonD, Sapphire Rapids et Emerald Rapids. Google a appliqué des correctifs aux éléments concernés, y compris Google Cloud, pour s'assurer que les clients sont protégés. Pour le moment, aucune preuve d'exploitation n'a été trouvée ni signalée à Google. Que dois-je faire ? Aucune action n'est requise de la part du client. Des correctifs ont déjà été appliqués au parc de serveurs Google pour protéger les clients. Quelles failles sont corrigées ? CVE-2024-45332. Pour en savoir plus, consultez l'avis d'Intel INTEL-SA-01247. Nous sommes là pour vous aider Pour toute question, ou si vous avez besoin d'aide, veuillez contacter Cloud Customer Care en indiquant la référence 417536835.	Élevée	CVE-2024-45332

GCP-2025-024

Date de publication  : 12/05/2025

Mise à jour  : 13/05/2025

Description

Description	Gravité	Remarques
Mise à jour du 13 mai 2025 : pour toute question ou si vous avez besoin d'aide, veuillez contacter Cloud Customer Care en indiquant la référence 417458390. Intel a informé Google d'une nouvelle faille d'exécution spéculative affectant les processeurs Intel Cascade Lake et Intel Ice Lake. Google a appliqué des correctifs aux éléments concernés, y compris Google Cloud, pour s'assurer que les clients sont protégés. À l'heure actuelle, aucune preuve d'exploitation n'a été trouvée ni signalée à Google. Que dois-je faire ? Aucune action n'est requise de la part du client. Des mesures d'atténuation ont déjà été appliquées au parc de serveurs Google. D'autres mesures d'atténuation des fabricants d'équipement d'origine (OEM) d'Intel et d'autres partenaires de systèmes d'exploitation seront déployées dès qu'elles seront disponibles pour atténuer la vulnérabilité de sélection de cible indirecte (ITS) en mode identique. Une fois les mesures d'atténuation du système d'exploitation appliquées, les clients disposant de VM de 3e génération ou ultérieure de longue durée peuvent subir une dégradation involontaire des performances. Quelles failles sont corrigées ? CVE-2024-28956. Pour en savoir plus, consultez l'avis de sécurité Intel INTEL-SA-01153.	Élevée	CVE-2024-28956

GCP-2024-040

Date de publication : 01/07/2024
Dernière mise à jour : 20/08/2024

Description	Gravité	Remarques
Mise à jour : 20/08/2024	Critique	CVE-2024-6387
20/08/2024 : inclusion de correctifs pour les TPU. Appliquez les mises à jour des distributions Linux dès qu'elles sont disponibles. Veuillez vous reporter aux conseils des distributions Linux. Si vous utilisez des TPU, veuillez passer à l'une des versions corrigées suivantes : tpu-ubuntu2204-base v2-alpha-tpuv5 v2-alpha-tpuv5-lite Une faille (CVE-2024-6387) a été découverte dans OpenSSH. L'exploitation de cette faille permet à un pirate informatique distant non authentifié d'exécuter du code arbitraire en tant qu'utilisateur racine sur la machine cible. Il est recommandé d'analyser toutes les VM Compute Engine qui utilisent une distribution Linux basée sur glibc et dont OpenSSH est exposé pour détecter les versions vulnérables. Que dois-je faire ? Appliquez les mises à jour des distributions Linux dès qu'elles sont disponibles. Veuillez vous reporter aux conseils des distributions Linux. Pour Container-Optimized OS de Google, veuillez passer à l'une des versions corrigées suivantes : cos-113-18244-85-49 cos-109-17800-218-69 cos-105-17412-370-67 cos-101-17162-463-55 Si vous utilisez Container-Optimized OS via un service géré par Google (par exemple, GKE), veuillez consulter le bulletin de sécurité de ce service pour connaître la disponibilité des correctifs. Si la mise à jour n'est pas possible, envisagez de désactiver OpenSSH jusqu'à ce qu'il puisse être corrigé. Le réseau par défaut est prérempli avec une règle de pare-feu default-allow-ssh pour autoriser l'accès SSH depuis l'Internet public. Pour supprimer cet accès, les clients peuvent : Si vous le souhaitez, créez des règles pour autoriser tout accès SSH dont vous avez besoin depuis des réseaux de confiance vers des nœuds GKE ou d'autres VM Compute Engine du projet. Désactivez la règle de pare-feu par défaut à l'aide de la commande suivante : gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT Si vous avez créé d'autres règles de pare-feu susceptibles d'autoriser l'accès SSH via TCP sur le port 22, désactivez-les ou limitez les adresses IP sources aux réseaux de confiance. Vérifiez que vous ne pouvez plus vous connecter en SSH à vos VM depuis Internet. Cette configuration de pare-feu atténue la faille. Si OpenSSH doit rester activé, vous pouvez également exécuter une mise à jour de la configuration qui élimine la condition de concurrence pour l'exploitation. Il s'agit d'une atténuation de l'environnement d'exécution. Pour appliquer les modifications apportées à la configuration sshd, ce script redémarrera le service sshd. #!/bin/bash set -e SSHD_CONFIG_FILE=/etc/ssh/sshd_config # -c: count the matches # -q: don't print to console # -i: sshd_config keywords are case insensitive. if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE" echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE" else sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE" fi # Restart the sshd service to apply the new config. systemctl restart sshd Enfin, surveillez toute activité réseau inhabituelle impliquant des serveurs SSH.	Critique	CVE-2024-6387

GCP-2024-021

Date de publication : 03/04/2024

Description	Gravité	Remarques
Compute Engine n'est pas concerné par la faille CVE-2024-3094, qui affecte les versions 5.6.0 et 5.6.1 du package xz-utils dans la bibliothèque liblzma et qui pourrait compromettre l'utilitaire OpenSSH. Que dois-je faire ? Les images publiques compatibles et proposées par Compute Engine ne sont pas concernées par cette faille CVE. Si vous utilisez des images publiques Compute Engine pour vos VM, aucune action n'est requise. Vous pourriez être exposé à un risque si vous avez créé une image personnalisée qui utilisait les versions 5.6.0 et 5.6.1 du package xz-utils, comme les systèmes d'exploitation suivants : Fedora 41 et Fedora Rawhide Debian testing/unstable openSUSE tumbleweed Pour limiter ce risque, arrêtez toutes les VM qui utilisent ces systèmes d'exploitation ou d'autres qui auraient pu utiliser les systèmes d'exploitation concernés. Si vous disposez de VM créées à partir d'images personnalisées d'autres systèmes d'exploitation, contactez le fournisseur de votre OS pour savoir si vos VM sont concernées. Quelles failles sont corrigées ? CVE-2024-3094	Moyenne	CVE-2024-3094

GCP-2024-001

Publié : 2024-01-09

Description	Gravité	Remarques
Plusieurs failles ont été découvertes dans le micrologiciel UEFI TianoCore EDK II. Ce micrologiciel est utilisé dans les VM Google Compute Engine. Si elles sont exploitées, ces failles peuvent permettre de contourner le démarrage sécurisé, ce qui fournirait de fausses mesures dans le processus de démarrage sécurisé, y compris lorsqu'il est utilisé dans des VM protégées. Que dois-je faire ? Aucune action n'est requise. Google a corrigé cette faille dans Compute Engine, et toutes les VM sont protégées contre cette faille. Quelles failles ce correctif permet-il de résoudre ? Le correctif a permis d'atténuer les failles suivantes : CVE-2022-36763 CVE-2022-36764 CVE-2022-36765	Moyenne	CVE-2022-36763 CVE-2022-36764 CVE-2022-36765

GCP-2023-44

Date de publication : 15/11/2023

Description	Gravité	Remarques
Le 14 novembre, AMD a révélé plusieurs failles qui affectent différents processeurs de serveur AMD. Plus précisément, les failles affectent les processeurs de serveur EPYC exploitant les générations de cœur Zen 2 "Rome", Zen 3 "Milan" et Zen 4 "Genoa". Google a appliqué des correctifs aux éléments concernés, y compris Google Cloud, pour s'assurer que les clients sont protégés. Pour le moment, aucune preuve d'exploitation n'a été trouvée ni signalée à Google. Que dois-je faire ? Aucune action n'est requise de la part du client. Des correctifs ont déjà été appliqués au parc de serveurs Google pour Google Cloud, y compris Google Compute Engine. Quelles failles ce correctif permet-il de résoudre ? Le correctif a permis d'atténuer les failles suivantes : CVE-2022-23820 CVE-2021-46774 CVE-2023-20533 CVE-2023-20519 CVE-2023-20592 CVE-2023-20566 CVE-2023-20521 CVE-2021-46766 CVE-2022-23830 CVE-2023-20526 CVE-2021-26345 Pour en savoir plus, consultez l'avis de sécurité d'AMD AMD-SN-3005 : "AMD INVD Instruction Security Notice", également publié sous le nom de CacheWarp, et AMD-SN-3002 : "AMD Server Vulnerabilities – November 2023".	Moyenne	CVE-2022-23820 CVE-2021-46774 CVE-2023-20533 CVE-2023-20519 CVE-2023-20592 CVE-2023-20566 CVE-2022-23830 CVE-2023-20526 CVE-2021-26345

GCP-2023-004

Date de publication : 26/04/2023

Description	Gravité	Remarques
Deux failles (CVE-2023-1017 et CVE-2023-1018) ont été détectées dans le module de plate-forme sécurisée (TPM) 2.0. Ces failles auraient pu permettre à un pirate informatique d'exploiter une lecture/écriture hors limites de 2 octets sur certaines VM Compute Engine. Que dois-je faire ? Un correctif a été appliqué automatiquement à toutes les VM vulnérables. Aucune action n'est requise de la part du client. Quelles failles ce correctif permet-il de résoudre ? Le correctif a permis d'atténuer les failles suivantes : CVE-2023-1017 Avec la faille CVE-2023-2017, un dépassement de tampon peut être déclenché dans la routine de déchiffrement des paramètres vTPM. Un pirate informatique local exécutant une VM vulnérable pourrait s'en servir pour déclencher un déni de service ou éventuellement exécuter du code arbitraire dans le contexte du vTPM. CVE-2023-1018 Avec la faille CVE-2023-2018, une lecture hors limites existait dans la routine de déchiffrement des paramètres vTPM. Un pirate informatique local exécutant une VM vulnérable pourrait l'utiliser pour divulguer indirectement des données limitées du contexte vTPM.	Moyenne	CVE-2023-1017 CVE-2023-1018

GCP-2021-026

Date de publication : 14/12/2021

Description	Gravité	Remarques
L'utilitaire Apache Log4j est un composant couramment utilisé pour journaliser les requêtes. Le 9 décembre 2021, une faille a été signalée et pourrait permettre le piratage d'un système exécutant Apache Log4j version 2.14.1 ou une version antérieure, permettant ainsi à un pirate informatique d'exécuter du code arbitraire. Le 10 décembre 2021, le NIST a publié une alerte sur les failles et l'exposition, CVE-2021-44228. Plus précisément, les fonctionnalités JNDI (Java Name Directory Interface) utilisées pour la configuration, les messages de journal et les paramètres ne protègent pas contre le LDAP contrôlé par le pirate informatique et les autres points de terminaison associés à JNDI. Un pirate informatique qui peut contrôler les messages de journal ou les paramètres des messages de journal peut exécuter du code arbitraire chargé à partir de serveurs distants lorsque la substitution de recherche de messages est activée. Que dois-je faire ? M4CE v4.x : l'équipe Migrate for Compute Engine (M4CE) a fourni une nouvelle version le 13 décembre 2021. Les chefs de projet doivent remplacer le déploiement existant par la nouvelle version, y compris le gestionnaire M4CE dans le cloud et le backend M4CE sur site. Pour en savoir plus sur le déploiement de la version 4.11, consultez le guide d'utilisation. M2VMs v5.x : le problème a été corrigé dans M2VMs v5.0 et versions ultérieures. Aucune action n'est requise.	Critique	CVE-2021-44228

GCP-2021-001

Date de publication : 28/01/2021

Description	Gravité	Remarques
Une faille a été récemment découverte dans l'utilitaire Linux sudo. Cette faille, décrite dans CVE-2021-3156, peut permettre à un pirate informatique disposant d'un accès non privilégié à une interface système locale sur un système avec sudo installé de remonter jusqu'à l'accès racine du système. Impact sur Compute Engine L'infrastructure sous-jacente qui exécute Compute Engine n'est pas affectée par cette faille. Les VM Compute Engine exécutant Linux doivent envisager de mettre à jour leur système d'exploitation invité. Par exemple, si vous utilisez un Container-Optimized OS, nous vous recommandons de passer à l'une des images suivantes : cos-85-13310-1209-7, cos-81-12871-1245-6, cos-dev-89-16091-0-0 ou une version ultérieure.	Aucun	CVE-2021-3156

Date de publication : 27/08/2020

Description	Gravité	Remarques
Eclypsium a divulgué la faille de sécurité suivante : CVE-2020-10713. Failles En réponse au rapport initial sur les failles, un examen plus approfondi a été appliqué au code GRUB2 et les failles supplémentaires suivantes ont été découvertes par Canonical : CVE-2020-14308 CVE-2020-14309 CVE-2020-14310 CVE-2020-14311 CVE-2020-15705 CVE-2020-15706 CVE-2020-15707 Ces failles, collectivement appelées BootHole, permettent à des pirates disposant de droits d'administrateur de charger des binaires non signés, désactivant ainsi l'application du démarrage sécurisé. Impact sur Compute Engine L'infrastructure hôte qui exécute Compute Engine est protégée contre les attaques connues. Nous encourageons les clients Compute Engine qui utilisent le démarrage sécurisé à mettre à jour les systèmes d'exploitation invités sur leurs instances afin d'éviter toute exploitation au sein de leurs environnements invités. Pour en savoir plus, consultez la correction recommandée par le fournisseur de votre OS invité. Images corrigées et ressources des fournisseurs Nous fournirons ici des liens vers les informations de correctif de chaque fournisseur de système d'exploitation dès qu'elles seront disponibles. Les versions antérieures de ces images publiques ne contiennent pas ces correctifs et n'atténuent pas les attaques potentielles : Projet centos-cloud : Informations sur les correctifs CentOS centos-7-v20200811 centos-8-v20200811 Projet cos-cloud : cos-77-12371-1072-0 cos-81-12871-1185-0 cos-rc-85-13310-1028-0 cos-dev-86-15103-0-0 Si vous utilisez COS via un service géré (par exemple, GKE), veuillez suivre les instructions de ce service pour appliquer les mises à jour. Projet debian-cloud : DSA-4753 debian-10-buster-v20200805 Projet coreos-cloud : coreos-alpha-2163-2-1-v20190617 coreos-beta-2135-3-1-v20190617 coreos-stable-2079-6-0-v20190617 rhel-cloud/rhel-sap-cloud: Réponse aux failles Red Hat rhel-7-v20200811 rhel-7-4-sap-v20200811 rhel-7-6-sap-v20200811 rhel-7-7-sap-v20200811 rhel-8-v20200811 Projet suse-cloud/suse-sap-cloud: : SUSE KB sles-12-sp5-v20200813 sles-15-sp2-v20200804 sles-12-sp4-sap-v20200804 sles-12-sp5-sap-v20200813 sles-15-sap-v20200803 sles-15-sp1-sap-v20200803 Sles-15-sp2-sap-v20200804 Projet ubuntu-os-cloud : Wiki Ubuntu ubuntu-1604-xenial-v20200729 ubuntu-1804-bionic-v20200729 ubuntu-2004-focal-v20200729	Élevée	CVE-2020-10713 CVE-2020-14308 CVE-2020-14309 CVE-2020-14310 CVE-2020-14311 CVE-2020-15705 CVE-2020-15706 CVE-2020-15707

Date de publication : 19/06/2020

Description	Gravité	Remarques
Les VM pour lesquelles OS Login est activé peuvent être exposées aux failles d'élévation des privilèges. Ces failles permettent aux utilisateurs disposant d'autorisations OS Login (mais pas d'un accès administrateur) d'obtenir un accès racine à la VM. Failles Les trois failles suivantes, dues à des appartenances à des groupes par défaut trop permissives, ont été identifiées pour les images Compute Engine : CVE-2020-8903 : en utilisant l'utilisateur adm, vous pouvez exploiter le XID DHCP pour obtenir des droits d'administrateur. CVE-2020-8907 : en utilisant l'utilisateur docker, vous pouvez installer et modifier le système de fichiers de l'OS hôte pour obtenir des droits d'administrateur. CVE-2020-8933 : en utilisant l'utilisateur lxd, vous pouvez associer des systèmes de fichiers de l'OS hôte et obtenir des droits d'administrateur. Images corrigées et correctifs Toutes les images publiques Compute Engine créées après le v20200506 sont corrigées. Si vous devez résoudre ce problème sans passer à une version ultérieure de votre image, vous pouvez modifier le fichier /etc/security/group.conf et supprimer les utilisateurs adm, lxd et docker de l'entrée OS Login par défaut.	Élevée	CVE-2020-8903 CVE-2020-8907 CVE-2020-8933

Date de publication : 21-01-2020

Description	Gravité	Remarques
Microsoft a divulgué la faille suivante : CVE-2020-0601 : cette faille est également connue sous le nom de faille d'usurpation d'identité de l'API Windows Crypto. Elle peut être exploitée pour faire apparaître des fichiers exécutables malveillants comme étant de confiance, ou permettre à l'attaquant de mener des attaques de l'intercepteur et de déchiffrer des informations confidentielles sur les connexions des utilisateurs au logiciel concerné. Impact sur Compute Engine L'infrastructure sous-jacente qui exécute Compute Engine n'est pas affectée par cette faille. Sauf si vous exécutez Windows Server sur votre machine virtuelle Compute Engine, aucune autre action n'est requise. Les clients qui utilisent des VM Compute Engine exécutant Windows Server doivent s'assurer que leurs instances disposent du dernier correctif Windows. Images corrigées et ressources des fournisseurs Les versions antérieures des images Windows publiques ne contiennent pas les correctifs suivants et ne permettent pas de limiter les attaques potentielles : Projets windows-cloud et windows-sql-cloud Toutes les images publiques Windows Server et SQL Server à partir de la version 20200114	Moyenne	CVE-2020-0601

Date de publication : 12/11/2019

Description	Gravité	Remarques
Intel a divulgué les failles CVE suivantes : CVE-2019-11135 : cette faille est également connue sous le nom de TSX Async Abort (TAA). La TAA offre une autre possibilité d'exfiltration de données en utilisant les mêmes structures de données microarchitecturales que celles exploitées par l'échantillonnage de données microarchitecturales (MDS). CVE-2018-12207 : cette faille CVE est également appelée "Machine Check Error on Page Size Change" (Erreur de vérification de la machine lors du changement de taille de page). Il s'agit d'une faille de déni de service (DoS) affectant les hôtes de machines virtuelles, qui permet à un invité malveillant de faire planter un hôte non protégé. Impact sur Compute Engine CVE-2019-11135 L'infrastructure hôte qui exécute Compute Engine isole les charges de travail des clients. Sauf si vous exécutez du code non fiable dans des VM N2, C2 ou M2, aucune autre action n'est requise. Les clients N2, C2 ou M2 qui exécutent du code non fiable dans leurs propres services mutualisés au sein de machines virtuelles Compute Engine doivent arrêter et démarrer leurs VM afin de s'assurer qu'ils disposent des dernières mesures de sécurité. Un redémarrage, sans arrêt/démarrage, n'est pas suffisant. Ces conseils supposent que vous avez déjà appliqué les mises à jour publiées précédemment concernant la faille MDS. Si ce n'est pas le cas, veuillez suivre les instructions pour appliquer les mises à jour appropriées. Aucune action n'est requise pour les clients qui exécutent des types de machines N1, car cette faille ne représente pas une nouvelle exposition au-delà des failles MDS précédemment divulguées. CVE-2018-12207 L'infrastructure hôte qui exécute Compute Engine est protégée contre cette faille. Aucune action supplémentaire n'est requise.	Moyenne	CVE-2019-11135 CVE-2018-12207

Date de publication : 18-06-2019

Dernière mise à jour : 25/06/2019 à 6h30 (PST)

Description	Gravité	Remarques
Récemment, Netflix a révélé trois failles TCP dans les noyaux Linux : CVE-2019-11477 CVE-2019-11478 CVE-2019-11479 Ces failles CVE sont collectivement désignées sous le nom de NFLX-2019-001. Impact sur Compute Engine L'infrastructure qui héberge Compute Engine est protégée contre cette faille. Les VM Compute Engine exécutant des systèmes d'exploitation Linux non corrigés qui envoient/reçoivent du trafic réseau non approuvé sont vulnérables à cette attaque par déni de service (DoS). Pensez à mettre à jour ces instances de VM dès que des correctifs sont disponibles pour leur système d'exploitation. Les équilibreurs de charge qui ferment les connexions TCP ont été corrigés pour éliminer cette faille. Les instances Compute Engine qui ne reçoivent que du trafic non approuvé via ces équilibreurs de charge ne sont pas vulnérables. Sont inclus les équilibreurs de charge HTTP, ainsi que les équilibreurs de charge proxy SSL et TCP. Les équilibreurs de charge réseau et les équilibreurs de charge internes ne ferment pas les connexions TCP. Les instances Compute Engine non corrigées qui reçoivent du trafic non approuvé via ces équilibreurs de charge sont vulnérables. Images corrigées et ressources des fournisseurs Nous fournirons ici des liens vers les informations de correctif de chaque fournisseur de système d'exploitation dès qu'elles seront disponibles, y compris l'état de chaque CVE. Les versions antérieures de ces images publiques ne contiennent pas ces correctifs et n'atténuent pas les attaques potentielles : Projet debian-cloud : debian-9-stretch-v20190618 Projet centos-cloud : centos-6-v20190619 centos-7-v20190619 Projet cos-cloud : cos-dev-77-12293-0-0 cos-beta-76-12239-21-0 cos-stable-75-12105-77-0 cos-73-11647-217-0 cos-69-10895-277-0 Projet coreos-cloud : coreos-alpha-2163-2-1-v20190617 coreos-beta-2135-3-1-v20190617 coreos-stable-2079-6-0-v20190617 Projet rhel-cloud : rhel-6-v20190618 rhel-7-v20190618 rhel-8-v20190618 Projet rhel-sap-cloud : rhel-7-4-sap-v20190618 rhel-7-6-sap-v20190618 Projet suse-cloud : sles-12-sp4-v20190617 sles-15-v20190617 Projet suse-sap-cloud : sles-12-sp1-sap-v20190617 sles-12-sp2-sap-v20190617 sles-12-sp3-sap-v20190617 sles-12-sp4-sap-v20190617 sles-15-sap-v20190617 Projet ubuntu-cloud : ubuntu-1604-xenial-v20190617 ubuntu-1804-bionic-v20190617 ubuntu-1810-cosmic-v20190618 ubuntu-1904-disco-v20190619 ubuntu-minimal-1604-xenial-v20190618 ubuntu-minimal-1804-bionic-v20190617 ubuntu-minimal-1810-cosmic-v20190618 ubuntu-minimal-1904-disco-v20190618	Moyenne	CVE-2019-11477 CVE-2019-11478 CVE-2019-11479

Date de publication : 14-05-2019

Dernière mise à jour : 20-05-2019 à 17h00 (PST)

Description	Gravité	Remarques
Intel a divulgué les failles CVE suivantes : CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 CVE-2019-11091 Ces failles CVE sont collectivement désignées sous le nom de "Microarchitectural Data Sampling (MDS)". Ces failles permettent potentiellement d'exposer des données en utilisant l'interaction de l'exécution spéculative avec l'état microarchitectural. Impact sur Compute Engine L'infrastructure hôte qui exécute Compute Engine isole les charges de travail des clients les unes des autres. Sauf si vous exécutez du code non fiable dans vos VM, aucune autre action n'est requise. Pour les clients exécutant du code non approuvé dans leurs propres services mutualisés sur des machines virtuelles Compute Engine, reportez-vous aux recommandations d'atténuation de votre fournisseur d'OS invité, qui peuvent inclure l'utilisation des fonctionnalités Intel d'atténuation du microcode. Nous avons déployé un accès invité direct à la nouvelle fonctionnalité de vidage. Vous trouverez ci-dessous un résumé de la procédure d'atténuation disponible pour les images courantes d'invités. Images corrigées et ressources des fournisseurs Nous fournirons ici des liens vers les informations de correctif de chaque fournisseur de système d'exploitation dès qu'elles seront disponibles, y compris l'état de chaque CVE. Utilisez ces images pour recréer des instances de VM. Les versions antérieures de ces images publiques ne contiennent pas ces correctifs et n'atténuent pas les attaques potentielles : Projet centos-cloud : CESA-2019:1169, CESA-2019:1168 centos-6-v20190515 centos-7-v20190515 Projet coreos-cloud : Atténuations MDS pour CoreOS Container Linux coreos-stable-2079-4-0-v20190515 coreos-beta-2107-3-0-v20190515 coreos-alpha-2135-1-0-v20190515 Projet cos-cloud cos-69-10895-242-0 cos-73-11647-182-0 Projet debian-cloud : DSA-4444 debian-9-stretch-v20190514 Projet rhel-cloud : article de la base de connaissances Red Hat sur MDS rhel-6-v20190515 rhel-7-v20190517 rhel-8-v20190515 Projet rhel-sap-cloud : Article de la base de connaissances Red Hat MDS rhel-7-4-sap-v20190515 rhel-7-6-sap-v20190517 Projet suse-cloud : Base de connaissances SUSE MDS sles-12-sp4-v20190520 sles-15-v20190520 Projet suse-sap-cloud sles-12-sp4-sap-v20190520 sles-15-sap-v20190520 Projet ubuntu-os-cloud : Wiki Ubuntu MDS ubuntu-1404-trusty-v20190514 ubuntu-1604-xenial-v20190514 ubuntu-1804-bionic-v20190514 ubuntu-1810-cosmic-v20190514 ubuntu-1904-disco-v20190514 ubuntu-minimal-1604-xenial-v20190514 ubuntu-minimal-1804-bionic-v20190514 ubuntu-minimal-1810-cosmic-v20190514 ubuntu-minimal-1904-disco-v20190514 Projets windows-cloud et windows-sql-cloud : Microsoft ADV190013 Toutes les images publiques Windows Server et SQL Server portant le numéro de version v20190514. Projet gce-uefi-images centos-7-v20190515 cos-69-10895-242-0 cos-73-11647-182-0 rhel-7-v20190517 ubuntu-1804-bionic-v20190514 Toutes les images publiques Windows Server avec le numéro de version v20190514. Container-Optimized OS Si vous utilisez Container-Optimized OS (COS) en tant que système d'exploitation invité, et que vous exécutez des charges de travail mutualisées non approuvées dans votre machine virtuelle, nous vous recommandons de procéder comme suit : Désactivez l'Hyper-Threading en définissant nosmt sur la ligne de commande du noyau. Sur les VM COS existantes, vous pouvez modifier le grub.cfg comme suit pour définir l'option nosmt, puis redémarrer le système : # Run as root: dir="$(mktemp -d)" mount /dev/sda12 "${dir}" sed -i -e "s|cros_efi|cros_efi nosmt|g" "${dir}/efi/boot/grub.cfg" umount "${dir}" rmdir "${dir}" reboot Pour plus de commodité, vous pouvez exécuter le script ci-dessous pour obtenir le même résultat que l'exécution des commandes précédentes. Nous vous recommandons d'intégrer ce script à votre configuration cloud, à vos scripts de démarrage ou à vos modèles d'instance pour vous assurer que les nouvelles VM utilisent ce nouveau paramètre. Vous trouverez ci-après un exemple de script cloud-config exécutant ce code. Avertissement : À sa première exécution, cette commande entraînera un redémarrage immédiat de l'instance. Les exécutions successives de cette commande sur les instances où la technologie Hyper-Threading est déjà désactivée n'auront aucun effet. # Run as root /bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh) Pour inclure ce code dans le script cloud-config : #cloud-config bootcmd: - /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)" Pour vérifier si l'hyper-threading est désactivé sur votre instance, examinez le résultat des fichiers /sys/devices/system/cpu/smt/active et /sys/devices/system/cpu/smt/control. S'il renvoie 0 pour active et off pour control, l'Hyper-Threading est désactivé : cat /sys/devices/system/cpu/smt/active cat /sys/devices/system/cpu/smt/control Remarque : Si vous avez activé le démarrage sécurisé UEFI sur l'instance, vous devrez recréer l'instance en désactivant cette fonction, exécuter la commande ci-dessus (le démarrage sécurisé UEFI étant désactivé), puis activer le démarrage sécurisé UEFI sur la nouvelle instance. Utiliser la nouvelle version de l'image COS En plus de désactiver l'hyper-threading comme décrit ci-dessus, vous devez également recréer vos instances avec les images mises à jour répertoriées ci-dessus ou des versions plus récentes (lorsqu'elles sont disponibles) des images Container-Optimized OS pour être entièrement protégé contre la faille.	Moyen	CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 CVE-2019-11091

Date de publication : 14-08-2018

Dernière mise à jour : 20-08-2018 à 17h00 (PST)

Description	Gravité	Remarques
Description Intel a divulgué les failles CVE suivantes : CVE-2018-3615 (pour SGX) CVE-2018-3620 (pour les systèmes d'exploitation et SMT) CVE-2018-3646 (pour la virtualisation) Ces failles CVE sont collectivement désignées sous le nom de "L1 Terminal Fault (L1TF)". Ces failles L1TF exploitent l'exécution spéculative en attaquant la configuration des structures de données au niveau du processeur. "L1" fait référence au cache des données L1D (Level-1 Data), une petite ressource sur le cœur qui permet d'accélérer l'accès à la mémoire. Pour en savoir plus sur ces failles et sur les mesures d'atténuation de Compute Engine, consultez l'article de blogGoogle Cloud . Impact sur Compute Engine L'infrastructure hôte qui exécute Compute Engine et qui isole les charges de travail client les unes des autres est protégée contre les attaques connues. Les clients de Compute Engine sont invités à mettre à jour leurs images pour éviter toute possibilité d'exploitation indirecte au sein de leurs environnements invités. Cette mise à jour est particulièrement importante pour les utilisateurs qui exécutent leurs propres services mutualisés sur des machines virtuelles Compute Engine. Les clients Compute Engine peuvent mettre à jour les systèmes d'exploitation invités sur leurs instances à l'aide de l'une des options suivantes : Utiliser des images publiques corrigées pour recréer des instances de VM existantes Sur les instances existantes, installer les correctifs procurés par le fournisseur du système d'exploitation et redémarrer les instances corrigées Images corrigées et ressources des fournisseurs Vous trouverez ici des liens vers les informations sur les correctifs de chaque fournisseur de système d'exploitation dès qu'elles seront disponibles, y compris l'état de chaque faille CVE. Utilisez ces images pour recréer des instances de VM. Les versions antérieures de ces images publiques ne contiennent pas ces correctifs et n'atténuent pas les attaques potentielles : Projet centos-cloud : centos-7-v20180815 centos-6-v20180815 Projet coreos-cloud : coreos-stable-1800-7-0-v20180816 coreos-beta-1855-2-0-v20180816 coreos-alpha-1871-0-0-v20180816 Projet cos-cloud : cos-stable-66-10452-110-0 cos-stable-67-10575-66-0 cos-beta-68-10718-81-0 cos-dev-69-10895-23-0 Projet debian-cloud : debian-9-stretch-v20180820 Projet rhel-cloud : rhel-7-v20180814 rhel-6-v20180814 Projet rhel-sap-cloud : rhel-7-sap-apps-v20180814 rhel-7-sap-hana-v20180814 Projet suse-cloud : sles-15-v20180816 sles-12-sp3-v20180814 sles-11-sp4-v20180816 Projet suse-sap-cloud : sles-15-sap-v20180816 sles-12-sp3-sap-v20180814 sles-12-sp2-sap-v20180816 Projet ubuntu-os-cloud : ubuntu-1804-bionic-v20180814 ubuntu-1604-xenial-v20180814 ubuntu-1404-trusty-v20180814 ubuntu-minimal-1804-bionic-v20180814 ubuntu-minimal-1604-xenial-v20180814 Projets windows-cloud, gce-uefi-images et windows-sql-cloud : Toutes les images publiques Windows Server et SQL Server de version -v201800814 et ultérieure incluent des correctifs.	Élevée	CVE-2018-3615 CVE-2018-3620 CVE-2018-3646

Date de publication : 06-08-2018

Dernière mise à jour : 05/09/2018 à 17h00 PST

Description	Gravité	Remarques
Mise à jour du 05/09/2018 La faille CVE-2018-5391 a été divulguée le 14 août 2018 par l'US-CERT. Tout comme CVE-2018-5390, il s'agit d'une faille réseau au niveau du noyau. Celle-ci rend les attaques par déni de service (DoS) plus efficaces dans les systèmes vulnérables. La principale différence réside dans le fait que la faille CVE-2018-5391 est exploitable sur les connexions IP. Nous avons mis à jour ce bulletin afin de traiter ces deux failles. Description CVE-2018-5390 ("SegmentSmack") fait référence à une faille réseau au niveau du noyau. Celle-ci rend les attaques de déni de service (DoS) plus efficaces dans les systèmes vulnérables, via les connexions TCP. CVE-2018-5391 ("FragmentSmack") fait référence à une faille réseau au niveau du noyau. Celle-ci rend les attaques de déni de service (DoS) plus efficaces dans les systèmes vulnérables, via les connexions IP. Impact sur Compute Engine L'infrastructure hôte qui exécute les VM Compute Engine ne court aucun risque. L'infrastructure réseau qui gère le trafic vers et depuis les VM Compute Engine est protégée contre cette faille. Les VM Compute Engine qui n'envoient ou ne reçoivent du trafic réseau non approuvé qu'à l'aide d'équilibreurs de charge HTTP(S), SSL ou TCP sont protégées contre cette faille. Les VM Compute Engine exécutant des systèmes d'exploitation non corrigés qui envoient/reçoivent directement du trafic réseau non fiable, ou qui utilisent des équilibreurs de charge réseau, sont vulnérables à cette attaque DoS. Pensez à mettre à jour vos instances de VM dès que des correctifs sont disponibles pour leurs systèmes d'exploitation. Les clients Compute Engine peuvent mettre à jour les systèmes d'exploitation invités sur leurs instances en suivant l'une de ces méthodes : Utiliser des images publiques corrigées pour recréer des instances de VM existantes (voir la liste des images publiques corrigées ci-dessous) Sur les instances existantes, installer les correctifs procurés par le fournisseur du système d'exploitation et redémarrer les instances corrigées Images corrigées et ressources des fournisseurs Vous trouverez ici des liens vers les informations sur les correctifs de chaque fournisseur de système d'exploitation dès qu'elles seront disponibles. Projet centos-cloud (CVE-2018-5390 uniquement) : centos-7-v20180815 centos-6-v20180815 Projet coreos-cloud (CVE-2018-5390 et CVE-2018-5391) : coreos-stable-1800-7-0-v20180816 coreos-beta-1855-2-0-v20180816 coreos-alpha-1871-0-0-v20180816 Projet cos-cloud (CVE-2018-5390 et CVE-2018-5391) : cos-stable-65-10323-98-0 cos-stable-66-10452-109-0 cos-stable-67-10575-65-0 cos-beta-68-10718-76-0 cos-dev-69-10895-16-0 Projet debian-cloud (CVE-2018-5390 et CVE-2018-5391) : debian-9-stretch-v20180814 Projet rhel-cloud (CVE-2018-5390 uniquement) : rhel-7-v20180814 rhel-6-v20180814 Projet suse-cloud (CVE-2018-5390 et CVE-2018-5391) : sles-15-v20180816 sles-12-sp3-v20180814 Projet suse-sap-cloud (CVE-2018-5390 et CVE-2018-5391) : sles-15-sap-v20180816 sles-12-sp3-sap-v20180814 sles-12-sp2-sap-v20180816 Projet ubuntu-os-cloud (CVE-2018-5390 et CVE-2018-5391) : ubuntu-1804-bionic-v20180814 ubuntu-1604-xenial-v20180814 ubuntu-1404-trusty-v20180814 ubuntu-minimal-1804-bionic-v20180814 ubuntu-minimal-1604-xenial-v20180814	Élevée	CVE-2018-5390 CVE-2018-5391

Date de publication : 03-01-2018

Dernière mise à jour : 21-05-2018 à 15h00 (PST)

Description	Gravité	Remarques
Mise à jour du 21/05/2018 Les variantes 3a et 4, respectivement CVE-2018-3640 et CVE-2018-3639, ont été divulguées par Intel. Comme avec les trois premières variantes de Spectre et Meltdown, l'infrastructure qui exécute les instances de VM Compute Engine est protégée et les instances de VM client sont isolées et protégées les unes des autres. De plus, Compute Engine prévoit de déployer les correctifs du microcode d'Intel sur notre infrastructure, ce qui permettra aux clients exécutant des charges de travail non approuvées ou mutualisées au sein d'une même instance de VM d'appliquer d'autres protections au sein des VM dès qu'elles seront mises à disposition par les fournisseurs du système d'exploitation. Compute Engine déploiera les correctifs du microcode une fois qu'Intel les aura certifiés et après que Compute Engine aura testé et validé les correctifs pour notre environnement de production. Nous publierons un calendrier plus précis et les mises à jour sur cette page dès qu'ils seront disponibles. Description Ces failles CVE sont des variantes d'une nouvelle catégorie d'attaque exploitant la technologie d'exécution spéculative disponible dans de nombreux processeurs. Cette catégorie d'attaque peut fournir un accès non autorisé en lecture seule aux données de la mémoire dans plusieurs cas. Compute Engine a fait appel à la technologie de migration à chaud des VM pour mettre à jour le système hôte et l'hyperviseur sans impact sur l'utilisateur, sans intervalle de maintenance forcée et sans redémarrage en masse. Cependant, tous les systèmes d'exploitation invités et toutes les versions doivent être corrigés pour les protéger contre cette nouvelle catégorie d'attaque, quel que soit l'emplacement d'exécution de ces systèmes. Pour en savoir plus sur cette méthode d'attaque, consultez l'article de blog Project Zero. Pour en savoir plus sur les mesures d'atténuation de Google, y compris toutes les informations spécifiques aux produits, consultez l'article de blog Google Security. Impact sur Compute Engine L'infrastructure hôte qui exécute Compute Engine et qui isole les instances de VM client les unes des autres est protégée contre les attaques connues. Nos protections empêchent l'accès non autorisé à nos systèmes hôtes à partir d'applications exécutées dans les instances de VM. Elles empêchent également l'accès non autorisé entre les instances de VM exécutées sur le même système hôte. Pour empêcher tout accès non autorisé au sein de vos instances de VM, vous devez mettre à jour les systèmes d'exploitation invités sur ces instances en procédant de l'une des façons suivantes : Utiliser des images publiques corrigées pour recréer vos instances de VM existantes (voir la liste des images publiques corrigées ci-dessous) Sur les instances existantes, installer les correctifs procurés par le fournisseur du système d'exploitation et redémarrer les instances corrigées (consulter les liens vers les informations sur les correctifs de chaque fournisseur de système d'exploitation ci-dessous) Images corrigées et ressources des fournisseurs Remarque : Les images corrigées peuvent ne pas inclure les correctifs pour toutes les failles CVE répertoriées dans ce bulletin de sécurité. De plus, différentes images peuvent inclure différentes méthodes de protection contre ces types d'attaque. Renseignez-vous auprès du fournisseur de votre système d'exploitation pour connaître les failles CVE traitées dans ses correctifs et les méthodes de protection qu'il utilise. Projet cos-cloud : inclut des correctifs qui empêchent les attaques de variante 2 (CVE-2017-5715) et de variante 3 (CVE-2017-5754). Google a utilisé Retpoline dans ces images pour atténuer les attaques de variante 2. cos-stable-63-10032-71-0 ou famille d'images cos-stable Projet centos-cloud : Informations sur les correctifs CentOS centos-7-v20180104 ou famille d'images centos-7 centos-6-v20180104 ou famille d'images centos-6 Projet coreos-cloud : Informations sur les correctifs CoreOS coreos-stable-1576-5-0-v20180105 ou famille d'images coreos-stable coreos-beta-1632-1-0-v20180105 ou famille d'images coreos-beta coreos-alpha-1649-0-0-v20180105 ou famille d'images coreos-alpha Projet debian-cloud : Informations sur les correctifs Debian debian-9-stretch-v20180105 ou famille d'images debian-9 debian-8-jessie-v20180109 ou famille d'images debian-8 Projet rhel-cloud : Informations sur les correctifs RHEL rhel-7-v20180104 ou famille d'images rhel-7 rhel-6-v20180104 ou famille d'images rhel-6 suse-cloud du projet : Informations sur les correctifs SUSE sles-12-sp3-v20180104 ou famille d'images sles-12 sles-11-sp4-v20180104 ou famille d'images sles-11 suse-sap-cloud du projet : Informations sur les correctifs SUSE sles-12-sp3-sap-v20180104 ou famille d'images sles-12-sp3-sap sles-12-sp2-sap-v20180104 ou famille d'images sles-12-sp2-sap ubuntu-os-cloud : Informations sur les correctifs Ubuntu ubuntu-1710-artful-v20180109 ou famille d'images ubuntu-1710 ubuntu-1604-xenial-v20180109 ou famille d'images ubuntu-1604-lts ubuntu-1404-trusty-v20180110 ou famille d'images ubuntu-1404-lts Projets windows-cloud et windows-sql-cloud : Toutes les images publiques Windows Server et SQL Server de version -v20180109 et ultérieure incluent des correctifs. Toutefois, vous devez suivre les actions recommandées par Microsoft dans le bulletin d'assistance Conseils pour Windows Server afin d'activer et de vérifier ces mesures d'atténuation sur vos instances existantes et nouvellement créées. Utilisez ces images pour recréer vos instances de VM. Les versions antérieures de ces images publiques ne contiennent pas ces correctifs et n'atténuent pas les attaques potentielles. Correctifs des fournisseurs de matériel NVIDIA fournit des pilotes corrigés pour protéger des attaques potentielles les systèmes sur lesquels un logiciel pilote NVIDIA® est installé. Pour connaître les versions de pilote corrigées, lisez le bulletin de sécurité sur les mises à jour de sécurité pour les pilotes d'affichage des GPU NVIDIA publié par NVIDIA. Historique des révisions : 21/05/2018 14h00 (PST) : ajout d'informations sur les deux nouvelles variantes divulguées le 21 mai 2018 10/01/2018 15h00 (PST) : ajout d'informations sur les images publiques corrigées Windows Server et SQL Server 10/01/2018 10h15 (PST) : ajout de plusieurs images Ubuntu à la liste des images publiques corrigées 10/01/2018 9h50 (PST) : ajout d'instructions sur les correctifs des fournisseurs de matériel Entre le 03/01/2018 et le 09/01/2018 : ajout de plusieurs révisions à la liste des images publiques corrigées	Élevé	CVE-2017-5753 CVE-2017-5715 CVE-2017-5754 CVE-2018-3640 CVE-2018-3639

Date de publication : 02-10-2017

Description	Gravité	Remarques
Les fonctionnalités de Dnsmasq permettent de fournir des services DNS et DHCP, de diffuser des annonces de routeurs et de démarrer le réseau. Ce logiciel est généralement installé sur des systèmes aussi variés que des distributions Linux pour ordinateur (comme Ubuntu), des routeurs domestiques et des appareils IoT. Dnsmasq est couramment utilisé sur l'Internet ouvert et en interne sur les réseaux privés. Nous avons identifié sept problèmes distincts au cours de nos contrôles internes réguliers de la sécurité. Après avoir déterminé la gravité de ces problèmes, nous avons étudié leur impact et leur exploitabilité, puis nous avons réalisé des démonstrations de faisabilité internes pour chacun d'entre eux. Nous avons également travaillé avec le responsable de Dnsmasq, Simon Kelly, au développement de correctifs appropriés et à l'atténuation des problèmes. Notre examen nous a permis de détecter trois exécutions potentielles de code à distance, une fuite d'informations et trois failles de déni de service affectant la dernière version sur le serveur Git du projet (en date du 5 septembre 2017). Ces correctifs sont intégrés en amont et sont validés dans le dépôt Git du projet. Impact sur Compute Engine Par défaut, Dnsmasq n'est installé que sur les images qui utilisent NetworkManager et est désactivé. Les images publiques Compute Engine suivantes disposent de Dnsmasq : Ubuntu 16.04, 16.10 et 17.04 CentOS 7 RHEL 7 Toutefois, Dnsmasq peut être installé sur d'autres images en tant que dépendance pour d'autres packages. Nous vous recommandons de mettre à jour vos instances Debian, Ubuntu, CentOS, RHEL, SLES et OpenSuse de manière à utiliser la dernière image du système d'exploitation. CoreOS et Container-Optimized OS ne sont pas affectés. Les images Windows ne sont pas concernées non plus. Pour les instances fonctionnant sous Debian et Ubuntu, vous pouvez effectuer une mise à jour en exécutant les commandes suivantes : sudo apt-get -y update sudo apt-get -y dist-upgrade Pour les instances Red Hat Enterprise Linux et CentOS, exécutez la commande suivante : sudo yum -y upgrade Pour les images SLES et OpenSUSE, exécutez la commande suivante : sudo zypper up Au lieu d'exécuter manuellement des commandes de mise à jour, vous pouvez recréer des instances de VM à l'aide des familles d'images du système d'exploitation correspondant.	Élevé	CVE-2017-14491 CVE-2017-14492 CVE-2017-14493 CVE-2017-14494 CVE-2017-14495 CVE-2017-14496 CVE-2017-13704

Date de publication : 26-10-2016

Description	Gravité	Remarques
La faille CVE-2016-5195 est une condition de concurrence dans la façon dont le sous-système de mémoire du noyau Linux gère la rupture de la situation COW des mappages privés en lecture seule lors de l'accès en écriture. Un utilisateur local non privilégié peut utiliser cette faille pour obtenir un accès en écriture à des mappages de mémoire en lecture seule et ainsi augmenter ses privilèges sur le système. Pour en savoir plus, consultez les questions fréquentes relatives à la faille Dirty COW. Impact sur Compute Engine Toutes les distributions et versions de Linux sur Compute Engine sont concernées. La plupart des instances téléchargent et installent automatiquement un noyau plus récent. Cependant, un redémarrage est nécessaire pour appliquer un correctif à votre système en cours d'exécution. Les noyaux corrigés ont déjà été appliqués aux instances nouvelles ou recréées basées sur les images Compute Engine suivantes. centos-6-v20161026 centos-7-v20161025 coreos-alpha-1192-2-0-v20161021 coreos-beta-1185-2-0-v20161021 coreos-stable-1122-3-0-v20161021 debian-8-jessie-v20161020 rhel-6-v20161026 rhel-7-v20161024 sles-11-sp4-v20161021 sles-12-sp1-v20161021 ubuntu-1204-precise-v20161020 ubuntu-1404-trusty-v20161020 ubuntu-1604-xenial-v20161020 ubuntu-1610-yakkety-v20161020	Élevé	CVE-2016-5195

Date de publication : 16-02-2016

Dernière mise à jour : 22/02/2016

Description	Gravité	Remarques
CVE-2015-7547 est une faille dans laquelle le résolveur côté client DNS glibc rend le logiciel vulnérable à un dépassement de tampon basé sur la pile lors de l'utilisation de la fonction de bibliothèque getaddrinfo(). Un pirate peut tirer parti d'un logiciel utilisant cette fonction pour exploiter cette faille via des noms de domaines ou des serveurs DNS qu'ils contrôlent, ou via une attaque de type "homme du milieu". Pour en savoir plus, consultez l'article de blog Google sur la sécurité ou la base de données Common Vulnerabilities and Exposures (CVE). Impact sur Compute Engine Mise à jour (22/02/2016) : Vous pouvez désormais recréer vos instances à l'aide des images CoreOS, SLES et OpenSUSE suivantes : coreos-alpha-962-0-0-v20160218 coreos-beta-899-7-0-v20160218 coreos-stable-835-13-0-v20160218 opensuse-13-2-v20160222 opensuse-leap-42-1-v20160222 sles-11-sp4-v20160222 sles-12-sp1-v20160222 Mise à jour (17/02/2016) : Vous pouvez désormais effectuer une mise à jour sur les instances Ubuntu 12.04 LTS, Ubuntu 14.04 LTS et Ubuntu 15.10 en exécutant les commandes suivantes : user@my-instance:~$ sudo apt-get -y update user@my-instance:~$ sudo apt-get -y dist-upgrade user@my-instance:~$ sudo reboot Au lieu d'exécuter manuellement des commandes de mise à jour, vous pouvez désormais recréer vos instances à l'aide des nouvelles images suivantes : backports-debian-7-wheezy-v20160216 centos-6-v20160216 centos-7-v20160216 debian-7-wheezy-v20160216 debian-8-jessie-v20160216 rhel-6-v20160216 rhel-7-v20160216 ubuntu-1204-precise-v20160217a ubuntu-1404-trusty-v20160217a ubuntu-1510-wily-v20160217 Nous ne connaissons aucune méthode permettant d'exploiter cette faille via les outils de résolution DNS de Compute Engine avec la configuration par défaut de la bibliothèque glibc. Nous vous recommandons de corriger vos instances de machine virtuelle dès que possible, car, comme pour toute nouvelle faille, de nouvelles méthodes d'exploitation peuvent être découvertes au fil du temps. Si vous avez activé EDNS0 (désactivé par défaut), vous devez le désactiver jusqu'à ce que vous appliquiez le correctif à vos instances. Bulletin d'origine : Votre distribution Linux est susceptible d'être vulnérable. Les clients Compute Engine devront mettre à jour les images d'OS de leurs instances pour éliminer cette faille s'ils exécutent un OS Linux. Pour les instances utilisant Debian, vous pouvez effectuer une mise à jour en exécutant les commandes suivantes : user@my-instance:~$ sudo apt-get -y update user@my-instance:~$ sudo apt-get -y dist-upgrade user@my-instance:~$ sudo reboot Nous vous recommandons également d'installer le package UnattendedUpgrades pour vos instances Debian. Pour les instances Red Hat Enterprise Linux : user@my-instance:~$ sudo yum -y upgrade user@my-instance:~$ sudo reboot Nous continuerons à mettre à jour ce bulletin à mesure que d'autres responsables de systèmes d'exploitation publieront des correctifs pour cette faille et que Compute Engine publiera des images d'OS mises à jour.	Élevé	CVE-2015-7547

Date de publication : 19-03-2015

Description	Gravité	Remarques
La faille CVE-2015-1427 concerne le moteur de script Groovy d'Elasticsearch, avant la version 1.3.8 et toutes les versions 1.4.x antérieures à la version 1.4.3. Elle permet aux pirates distants de contourner le mécanisme de protection du bac à sable et d'exécuter des commandes d'interface système arbitraires. Pour en savoir plus, consultez la National Vulnerability Database (NVD) ou la base de données Common Vulnerabilities and Exposures (CVE). Impact sur Compute Engine Si vous exécutez Elasticsearch sur vos instances Compute Engine, vous devez passer à Elasticsearch version 1.4.3 ou ultérieure. Si vous avez déjà mis à jour votre logiciel Elasticsearch, vous êtes protégé contre cette faille. Si vous n'avez pas installé Elasticsearch version 1.4.3 ou ultérieure, vous pouvez effectuer une mise à niveau progressive. Si vous avez déployé Elasticsearch à l'aide du déploiement par clic dans Google Cloud console, vous pouvez supprimer le déploiement pour supprimer les instances exécutant Elasticsearch. L'équipe Google Cloud travaille sur un correctif afin de déployer une version mise à jour d'Elasticsearch. Toutefois, le correctif n'est pas encore disponible pour la fonctionnalité de déploiement par clic dans Google Cloud console.	Élevée	CVE-2015-1427

Date de publication : 29-01-2015

Description	Gravité	Remarques
La faille CVE-2015-0235 (Ghost) concerne la bibliothèque glibc. Les clients App Engine, Cloud Storage, BigQuery et Cloud SQL n'ont aucune action à effectuer. Les serveurs Google ont été mis à jour et sont protégés contre cette faille. Les clients de Compute Engine devront peut-être mettre à jour leurs images d'OS. Impact sur Compute Engine Votre distribution Linux est susceptible d'être vulnérable. Les clients Compute Engine devront mettre à jour les images de l'OS de leurs instances pour éliminer cette faille s'ils exécutent Debian 7, Debian 7 backports, Ubuntu 12.04 LTS, Red Hat Enterprise Linux, CentOS ou SUSE Linux Enterprise Server 11 SP3. Cette faille n'affecte pas Ubuntu 14.04 LTS, Ubuntu 14.10 ni SUSE Linux Enterprise Server 12. Nous vous recommandons de mettre à jour vos distributions Linux. Pour les instances Debian 7, de rétroportages Debian 7 ou Ubuntu 12.04 LTS, vous pouvez effectuer une mise à jour en exécutant les commandes suivantes : user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot Pour les instances Red Hat Enterprise Linux ou CentOS : user@my-instance:~$ sudo yum -y upgrade user@my-instance:~$ sudo reboot Pour les instances de SUSE Linux Enterprise Server 11 SP3 : user@my-instance:~$ sudo zypper --non-interactive up user@my-instance:~$ sudo reboot Au lieu d'exécuter manuellement les commandes de mise à jour ci-dessus, les utilisateurs peuvent désormais recréer leurs instances à l'aide des nouvelles images suivantes : debian-7-wheezy-v20150127 backports-debian-7-wheezy-v20150127 centos-6-v20150127 centos-7-v20150127 rhel-6-v20150127 rhel-7-v20150127 sles-11-sp3-v20150127 ubuntu-1204-precise-v20150127 Impact sur les VM gérées de Google Les utilisateurs de VM gérées qui utilisent gcloud preview app deploy doivent mettre à jour leurs conteneurs Docker de base avec gcloud preview app setup-managed-vms et redéployer chacune de leurs applications en cours d'exécution à l'aide de gcloud preview app deploy. Les utilisateurs qui déploient avec appcfg n'ont rien à faire et seront mis à niveau automatiquement.	Élevée	CVE-2015-0235

Date de publication : 15-10-2014

Dernière mise à jour : 17/10/2014

Description	Gravité	Remarques
La faille CVE-2014-3566 (ou POODLE) correspond à un problème dans la conception de SSL version 3.0. Cette vulnérabilité permet à un pirate réseau de calculer le texte brut des connexions sécurisées. Pour en savoir plus, consultez notre article de blog sur cette faille. Les clients App Engine, Cloud Storage, BigQuery et Cloud SQL n'ont aucune action à effectuer. Les serveurs Google ont été mis à jour et sont protégés contre cette faille. Les clients de Compute Engine doivent mettre à jour leurs images d'OS. Impact sur Compute Engine Mise à jour (17/10/2014) : Vous pouvez être vulnérable si vous utilisez SSLv3. Les clients Compute Engine devront mettre à jour les images d'OS de leurs instances pour éliminer cette faille. Nous vous recommandons de mettre à jour vos distributions Linux. Pour les instances utilisant Debian, vous pouvez effectuer une mise à jour en exécutant les commandes suivantes : user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot Pour les instances CentOS : user@my-instance:~$ sudo yum -y upgrade user@my-instance:~$ sudo reboot Au lieu d'exécuter manuellement les commandes de mise à jour ci-dessus, les utilisateurs peuvent désormais recréer leurs instances à l'aide des nouvelles images suivantes : centos-6-v20141016 centos-7-v20141016 debian-7-wheezy-v20141017 backports-debian-7-wheezy-v20141017 Nous mettrons à jour le bulletin pour les images RHEL et SLES une fois que nous les aurons reçues. En attendant, les utilisateurs de RHEL peuvent consulter directement le site de Red Hat pour en savoir plus. Bulletin d'origine : Les clients Compute Engine devront mettre à jour les images d'OS de leurs instances pour éliminer cette faille. Nous mettrons à jour ce bulletin de sécurité en y ajoutant des instructions une fois que les nouvelles images d'OS seront disponibles.	Moyen	CVE-2014-3566

Date de publication : 24-09-2014

Dernière mise à jour : 29/09/2014

Description	Gravité	Remarques
Le bug (CVE-2014-6271) dans l'interface système bash permet l'exécution de code à distance basée sur l'analyse de toutes les variables d'environnement contrôlées par le pirate. Le vecteur d'exploitation le plus probable est l'utilisation de requêtes HTTP malveillantes envoyées à des scripts CGI exposés sur un serveur Web. Pour en savoir plus, consultez la description du bug. Les bugs Bash ont été corrigés pour les produits Google Cloud , à l'exception des images de l'OS invité Compute Engine datant d'avant le 26/09/2014. Veuillez suivre les instructions ci-dessous pour limiter les risques de bugs pour vos images Compute Engine. Impact sur Compute Engine Ce bug peut affecter pratiquement tous les sites Web utilisant des scripts CGI. En outre, elle affectera probablement les sites Web qui s'appuient sur PHP, Perl, Python, SSI, Java, C++ et des servlets similaires qui appellent des commandes shell à l'aide d'appels tels que popen, system, shell_exec ou des API similaires. Cela peut également affecter les systèmes qui tentent d'autoriser un accès contrôlé aux utilisateurs restreints à l'aide de mécanismes tels que la limitation des commandes SSH ou l'interface système restreinte bash. Mise à jour (29/09/2014) : Au lieu d'exécuter les commandes de mise à jour manuelle ci-dessous, les utilisateurs peuvent désormais recréer leurs instances avec des images qui atténuent les failles supplémentaires liées au bug de sécurité Bash, y compris CVE-2014-7169, CVE-2014-6277, CVE-2014-6278, CVE-2014-7186 et CVE-2014-7187. Utilisez les nouvelles images suivantes pour recréer vos instances : centos-6-v20140926 centos-7-v20140926 debian-7-wheezy-v20140926 backports-debian-7-wheezy-v20140926 rhel-6-v20140926 Mise à jour (25/09/2014) : Les utilisateurs peuvent désormais choisir de recréer leurs instances au lieu d'effectuer une mise à jour manuelle. Pour cela, utilisez les nouvelles images suivantes qui contiennent des correctifs pour ce bug de sécurité : backports-debian-7-wheezy-v20140924 debian-7-wheezy-v20140924 rhel-6-v20140924 centos-6-v20140924 centos-7-v20140924 Pour les images RHEL et SUSE, vous pouvez également effectuer des mises à jour manuellement en exécutant les commandes suivantes sur vos instances : # RHEL instances user@my-instance:~$ sudo yum -y upgrade # SUSE instances user@my-instance:~$ sudo zypper --non-interactive up Bulletin d'origine : Nous vous recommandons de mettre à jour vos distributions Linux. Pour les instances utilisant Debian, vous pouvez effectuer une mise à jour en exécutant les commandes suivantes : user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade Pour les instances CentOS : user@my-instance:~$ sudo yum -y upgrade Pour obtenir des informations détaillées, consultez l'annonce relative à la distribution Linux correspondante : Correctifs d'origine : http://ftp.gnu.org/gnu/bash/ (voir la dernière entrée dans *-patches pour connaître la version appropriée) Debian : [SECURITY] [DSA 3032-1] bash security update RHEL : RHSA-2014:1293-01 RHSA-2014:1294-01 CentOS 5 : [CentOS-announce] CESA-2014:1293 CentOS 6 : [CentOS-announce] CESA-2014:1293 CentOS 7 : [CentOS-announce] CESA-2014:1293	Élevé	CVE-2014-7169, CVE-2014-6271, CVE-2014-6277, CVE-2014-6278 CVE-2014-7186, CVE-2014-7187

Date de publication : 25-07-2014

Description	Gravité	Remarques
Elasticsearch Logstash est vulnérable à l'injection de commandes du système d'exploitation qui peuvent permettre la modification et la divulgation non autorisées des données. Un pirate informatique peut envoyer des événements spécialement conçus à n'importe quelle source de données de Logstash, ce qui lui permet d'exécuter des commandes avec les autorisations du processus Logstash. Impact sur Compute Engine Cette faille affecte toutes les instances Compute Engine exécutant des versions d'Elasticsearch Logstash antérieures à la version 1.4.2 avec les sorties zabbix ou nagios_nsca activées. Pour empêcher une attaque, vous pouvez effectuer l'une des opérations suivantes : Installer Logstash version 1.4.2 Appliquer le correctif aux versions 1.3.x Désactivez les sorties zabbix et nagios_nsca. Pour en savoir plus, consultez le blog de Logstash. Elasticsearch recommande également d'utiliser un pare-feu pour empêcher l'accès à distance d'adresses IP non fiables.	Élevée	CVE-2014-4326

Date de publication : 18-06-2014

Description	Gravité	Remarques
Nous souhaitons prendre un moment pour répondre aux éventuelles préoccupations des clients concernant la sécurité des conteneurs Docker lorsqu'ils s'exécutent sur Google Cloud. Cela inclut les clients qui utilisent nos extensions App Engine compatibles avec les conteneurs Docker, les machines virtuelles optimisées pour les conteneurs ou le planificateur Kubernetes Open Source. L'équipe Docker s'est efforcée avec succès de répondre au problème, et vous pouvez consulter la solution proposée sur son blog en cliquant ici. Notez que, comme indiqué dans l'article du blog, le problème identifié ne concerne que Docker 0.11, une ancienne version de préproduction. Alors que le monde entier s'intéresse à la sécurité des conteneurs, nous souhaitons souligner que dans Google Cloud, les solutions basées sur des conteneurs d'applications Linux (en particulier les conteneurs Docker) s'exécutent dans des machines virtuelles complètes (Compute Engine). Bien que nous soutenions les efforts de la communauté Docker pour renforcer la pile de conteneurs d'applications Linux, nous reconnaissons que la technologie est encore nouvelle et que la surface d'exposition est vaste. Nous pensons que, pour le moment, les hyperviseurs complets (machines virtuelles) offrent une surface d'exposition plus compacte et plus défendable. Les machines virtuelles ont été conçues dès le départ pour isoler les charges de travail malveillantes, et limiter les risques et l'impact d'un bug de code. Nos clients peuvent se rassurer : la barrière de sécurité des hyperviseurs complets les protège de tout code tiers potentiellement malveillant. Si nous déterminons par la suite que la pile de conteneurs d'applications Linux est suffisamment fiable pour traiter des charges de travail mutualisées, nous en informerons la communauté. Pour l'instant, le conteneur d'applications Linux ne remplace pas la machine virtuelle. Il s'agit d'un moyen de l'exploiter davantage.	Faible	Article de blog Docker

Date de publication : 05-06-2014

Dernière mise à jour : 09/06/2014

Description	Gravité	Remarques
OpenSSL présente un problème qui empêche les messages ChangeCipherSpec d'être correctement liés à la machine d'état du handshake. Cela leur permet d'être injectés tôt dans le cadre du handshake. Un pirate utilisant un handshake spécialement conçu peut forcer l'utilisation de matériel de chiffrement vulnérable sur les clients et les serveurs OpenSSL SSL/TLS. Cela peut être exploité par une attaque de type "person-in-the-middle" (PITM), dans laquelle l'attaquant peut déchiffrer et modifier le trafic du client et du serveur attaqués. Ce problème a été identifié par le code CVE-2014-0224. L'équipe OpenSSL a résolu le problème et a averti sa communauté de la nécessité de mettre à jour OpenSSL. Impact sur Compute Engine Cette faille affecte toutes les instances Compute Engine qui utilisent OpenSSL, y compris Debian, CentOS, Red Hat Enterprise Linux et SUSE Linux Enterprise Server. Vous pouvez mettre à jour vos instances en les recréant avec de nouvelles images ou en mettant à jour les packages manuellement. Mise à jour (09-06-2014) : Pour mettre à jour vos instances exécutant SUSE Linux Enterprise Server à l'aide de nouvelles images, recréez vos instances en utilisant la version d'image suivante ou une version ultérieure : sles-11-sp3-v20140609 Post d'origine : Pour mettre à jour les instances Debian et CentOS à l'aide de nouvelles images, recréez vos instances en utilisant l'une des versions d'images suivantes ou une version ultérieure : debian-7-wheezy-v20140605 backports-debian-7-wheezy-v20140605 centos-6-v20140605 rhel-6-v20140605 Pour mettre à jour manuellement OpenSSL sur vos instances, exécutez les commandes suivantes pour mettre à jour les packages appropriés. Pour les instances utilisant CentOS et RHEL, vous pouvez mettre à jour OpenSSL en exécutant les commandes ci-dessous : user@my-instance:~$ sudo yum -y update user@my-instance:~$ sudo reboot Pour les instances utilisant Debian, vous pouvez mettre à jour OpenSSL en exécutant les commandes suivantes : user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot Pour les instances utilisant SUSE Linux Enterprise Server, vous pouvez vous assurer qu'OpenSSL est à jour en exécutant les commandes suivantes : user@my-instance:~$ sudo zypper --non-interactive up user@my-instance:~$ sudo reboot	Moyenne	CVE-2014-0224

Date de publication : 08-04-2014

Description	Gravité	Remarques
Les implémentations (1) TLS et (2) DTLS dans OpenSSL 1.0.1 avant la version 1.0.1g ne gèrent pas correctement les paquets d'extension Heartbeat, ce qui permet à des pirates informatiques d'obtenir des informations sensibles à partir de la mémoire du processus à l'aide de paquets conçus pour déclencher une surlecture de la mémoire tampon, comme l'a démontré la lecture de clés privées, liées à d1_both.c et t1_lib.c, également connue sous le nom de bug Heartbleed. Impact sur Compute Engine Cette faille affecte toutes les instances Compute Engine Debian, RHEL et CentOS qui ne disposent pas de la version la plus récente d'OpenSSL. Vous pouvez mettre à jour vos instances en les recréant avec de nouvelles images ou en mettant à jour manuellement les packages sur vos instances. Pour mettre à jour vos instances à l'aide de nouvelles images, recréez vos instances en utilisant l'une des versions d'images suivantes ou une version ultérieure : debian-7-wheezy-v20140408 backports-debian-7-wheezy-v20140408 centos-6-v20140408 rhel-6-v20140408 Pour mettre à jour manuellement OpenSSL sur vos instances, exécutez les commandes suivantes pour mettre à jour les packages appropriés. Pour les instances utilisant CentOS et RHEL, vous pouvez vous assurer qu'OpenSSL est à jour en exécutant les commandes suivantes : user@my-instance:~$ sudo yum update user@my-instance:~$ sudo reboot Pour les instances utilisant Debian, vous pouvez mettre à jour OpenSSL en exécutant les commandes suivantes : user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get upgrade user@my-instance:~$ sudo reboot Les instances utilisant SUSE Linux ne sont pas affectées. Mise à jour le 14 avril 2014 : Au vu de nouvelles recherches sur l'extraction de clés à l'aide du bug Heartbleed, Compute Engine recommande à ses clients de créer de nouvelles clés pour tous les services SSL concernés.	Moyenne	CVE-2014-0160

Date de publication : 06-07-2013

Description	Gravité	Remarques
Remarque : Cette faille concerne uniquement les noyaux qui sont devenus obsolètes et ont été supprimés depuis la version v1 de l'API. Une faille de chaîne de format dans la fonction b43_request_firmware de drivers/net/wireless/b43/main.c dans le pilote sans fil Broadcom B43 du noyau Linux jusqu'à la version 3.9.4 permet aux utilisateurs locaux d'obtenir des droits en exploitant l'accès racine et en incluant des spécificateurs de chaîne de format dans un paramètre modprobe fwpostfix, ce qui entraîne une construction incorrecte d'un message d'erreur. Impact sur Compute Engine Cette faille affecte tous les noyaux Compute Engine antérieurs à gcg-3.3.8-201305291443. En réponse, Compute Engine a abandonné tous les anciens noyaux et recommande aux utilisateurs de mettre à jour leurs instances et leurs images pour utiliser le noyau Compute Engine gce-v20130603. gce-v20130603 contient le kernel gcg-3.3.8-201305291443, qui inclut le correctif pour cette faille. Pour connaître la version de noyau utilisée par votre instance, procédez comme suit : Se connecter à votre instance via SSH Exécuter uname -r	Moyenne	CVE-2013-2852

Date de publication : 06-07-2013

Description	Gravité	Remarques
Remarque : Cette faille concerne uniquement les noyaux qui sont devenus obsolètes et ont été supprimés depuis la version v1 de l'API. Une faille de chaîne de format dans la fonction register_disk de block/genhd.c dans le noyau Linux jusqu'à la version 3.9.4 permet aux utilisateurs locaux d'obtenir des droits en exploitant l'accès racine et en écrivant des spécificateurs de chaîne de format dans /sys/module/md_mod/parameters/new_array afin de créer un nom d'appareil /dev/md modifié. Impact sur Compute Engine Cette faille affecte tous les noyaux Compute Engine antérieurs à gcg-3.3.8-201305291443. En réponse, Compute Engine a abandonné tous les anciens noyaux et recommande aux utilisateurs de mettre à jour leurs instances et leurs images pour utiliser le noyau Compute Engine gce-v20130603. gce-v20130603 contient le kernel gcg-3.3.8-201305291443, qui inclut le correctif pour cette faille. Pour connaître la version de noyau utilisée par votre instance, procédez comme suit : Se connecter à votre instance via SSH Exécuter uname -r	Moyenne	CVE-2013-2851

Date de publication : 14-05-2014

Description	Gravité	Remarques
Remarque : Cette faille concerne uniquement les noyaux qui sont devenus obsolètes et ont été supprimés depuis la version v1 de l'API. La fonction perf_swevent_init dans kernel/events/core.c du noyau Linux antérieur à la version 3.8.9 utilise un type de données integer incorrect, ce qui permet aux utilisateurs locaux d'obtenir des droits à l'aide d'un appel système perf_event_open conçu à cet effet. Impact sur Compute Engine Cette faille affecte tous les noyaux Compute Engine antérieurs à gcg-3.3.8-201305211623. En réponse, Compute Engine a abandonné tous les noyaux antérieurs et recommande aux utilisateurs de mettre à jour leurs instances et leurs images pour utiliser le noyau Compute Engine gce-v20130521. gce-v20130521 contient le kernel gcg-3.3.8-201305211623, qui inclut le correctif pour cette faille. Pour connaître la version de noyau utilisée par votre instance, procédez comme suit : Se connecter à votre instance via SSH Exécuter uname -r	Élevée	CVE-2013-2094

Date de publication : 18-02-2013

Description	Gravité	Remarques
Remarque : Cette faille concerne uniquement les noyaux qui sont devenus obsolètes et ont été supprimés depuis la version v1 de l'API. Une condition de concurrence dans la fonctionnalité ptrace du noyau Linux avant la version 3.7.5 permet aux utilisateurs locaux d'obtenir des privilèges à l'aide d'un appel système PTRACE_SETREGS ptrace dans une application conçue à cet effet. Impact sur Compute Engine Cette faille affecte les noyaux Compute Engine 2.6.x-gcg-<date>. En réponse, Compute Engine a abandonné les noyaux 2.6.x et recommande aux utilisateurs de mettre à jour leurs instances et leurs images pour utiliser le noyau Compute Engine gce-v20130225. gce-v20130225 contient le noyau 3.3.8-gcg-201302081521, qui inclut le correctif pour cette faille. Pour connaître la version de noyau utilisée par votre instance, procédez comme suit : Se connecter à votre instance via SSH Exécuter uname -r	Moyenne	CVE-2013-0871