עדכוני אבטחה דחופים

מעת לעת, אנחנו מפרסמים עדכוני אבטחה דחופים שקשורים ל-Compute Engine. כאן מתוארים כל עדכוני האבטחה הדחופים של Compute Engine.

רוצים לקבל עדכוני אבטחה דחופים של Compute Engine? תוכלו להירשם לפיד ה-XML הזה. הרשמה

GCP-2026-073

תאריך פרסום: 26 באוקטובר 2026

תיאור

תיאור רמת סיכון הערות

לפני 31 באוגוסט 2026 התגלתה ב-Compute Engine נקודת חולשה שקשורה להרשאה שגויה.

מה לעשות?

לא צריך לעשות שום דבר. נקודת החולשה הזו תוקנה ב-31 באוגוסט 2026.

אילו נקודות חולשה טופלו?

בגרסאות של Compute Engine שנוצרו לפני 31 באוגוסט 2026, יש פרצת אבטחה שמאפשרת למשתמשים להוציא נתונים מהדיסק בלי הרשאות IAM נדרשות.

 גבוהה CVE-2026-85299

GCP-2026-054

תאריך פרסום: 11 באוגוסט 2026

תיאור

תיאור רמת סיכון הערות

נקודת חולשה (CVE-2026-6726, שנקראת גם TCGVRT0010) זוהתה בקוד ההטמעה של קובץ העזר TPM 2.0 של Trusted Computing Group, ומשפיעה על כל הגרסאות שפורסמו של הקוד (v1.16, ‏ v1.38, ‏ v1.59, ‏ v1.83, ‏ v184).

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. ‫Google תעדכן באופן יזום את המערכות שלכם במהלך חלונות זמן לתחזוקה רגילים ומתוכננים.

אילו נקודות חולשה טופלו?

הפרצה CVE-2026-6726 עלולה לאפשר לתוקף מקומי עם הרשאות להשיג פרטי כניסה מרשות אישורים (CA) שתומכת ב-TPM, כדי לזייף מפתח TPM כמו מפתח אימות (AK), מפתח DevID או מפתח אימות TLS. זה יכול לאפשר יצירה של אישורי TPM 2.0 שמקורם בתרמית באמצעות המפתח המזויף.

 גבוהה CVE-2026-6726

GCP-2026-036

תאריך פרסום: 9 ביוני 2026

תיאור

תיאור רמת סיכון הערות

‫ARM פרסמה את CVE-2025-10263, בעיה ארכיטקטונית שמשפיעה על חלק מליבות ARM ומאפשרת לתוקף לעקוף את שלבי התרגום או את אמצעי ההגנה של GPT בתנאים מסוימים. הפרצה הזו מאפשרת לתוקף ברמת חריגה נמוכה יותר לכתוב בזיכרון שבבעלות רמת חריגה גבוהה יותר, וכך להעלות את ההרשאות. הבעיה הזו לא משפיעה על קריאות מהזיכרון.

למרות ש-Google אבטחה את התשתית מפני התקפות בין מכונות וירטואליות ומפני התקפות של מכונות וירטואליות על Hypervisor, אתם צריכים לקבל תיקונים ברמת מערכת ההפעלה של האורח מספקי מערכת ההפעלה שלכם. העדכונים האלה חיוניים להגנה מפני איומים בסביבת האורח, כמו התקפות מתהליך לתהליך או מתהליך לליבה.

אנחנו עובדים על פתרונות זמניים לאורחים במערכת הפעלה שמותאמת לקונטיינרים, ונוסיף אותם להערות המוצר של COS כשהם יהיו מוכנים.

מה לעשות?

הפגיעות הזו משפיעה על כמה משפחות של ליבות Arm שמשמשות ב- Google Cloud, כולל Neoverse V1,‏ V2 ו-N1, ומשפיעה על C4A,‏ T2A,‏ A4X ו-A4X Max. אם אתם מריצים עומסי עבודה במכונות מבוססות-Arm שמושפעות מהפגיעות, אתם צריכים לשדרג את קובצי האימג' של מערכת ההפעלה של האורח לגרסאות הבטוחות כשהן יהיו זמינות.

כדי לתקן את מערכת ההפעלה של האורח בנוגע ל-CVE-2025-10263, צריך לעבוד עם ספקי ההפצה.

 גבוהה CVE-2025-10263

GCP-2026-032

תאריך פרסום: 12 במאי 2026

תיאור

תיאור רמת סיכון הערות

חברת AMD זיהתה נקודת חולשה ברמת החומרה במעבדים עם מיקרו-ארכיטקטורה Zen 2 (כולל סדרות EPYC ו-Ryzen), שכוללת פוטנציאל לפגיעה במטמון של מיקרו-פעולות (OP). בתנאים מסוימים, הבעיה הזו (AMD-SN-7052 / CVE-2025-54518) עלולה לגרום לעקיפת גבולות האבטחה או לגישה לא מורשית לנתונים.
פרסנו תיקונים בתשתית של Google כדי לצמצם את הבעיות האלה.

 גבוהה CVE-2025-54518

GCP-2026-031

תאריך פרסום: 12 במאי 2026

תיאור

תיאור רמת סיכון הערות

חוקרים גילו נקודת חולשה בקושחה של AMD. בגלל היעדר הגנה, מנהל מכונות וירטואליות (hypervisor) זדוני יכול להריץ קוד שרירותי במעבד המאובטח של AMD‏ (ASP). הפגיעות הזו מאפשרת להרחיב את הרשאות הקריאה והכתיבה של Memory Mapped I/O (MMIO), וכך לפגוע בסודיות ובתקינות של אורחי SEV-SNP. ‫Google הפעילה אמצעי למניעת הבעיות האלה.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כבר יישמנו אמצעי הגנה במכונות של Confidential VM עם AMD SEV-SNP.

אילו נקודות חולשה טופלו?

למידע נוסף, קראו את הייעוץ של AMD בנושא AMD-SB-3030.

 בינוני

GCP-2026-021

תאריך פרסום: 14 באפריל 2026

תיאור

תיאור רמת סיכון הערות

חברת AMD דיווחה על נקודת חולשה בקושחה שלה, שעלולה לאפשר ל-hypervisor זדוני להורות ל-IOMMU לכתוב בזיכרון האורח של מכונות שמופעל בהן AMD SEV-SNP, ולפגוע בתקינות הנתונים של האורח. ‫Google השיקה פתרון זמני למכונות וירטואליות סודיות פגיעות שמופעל בהן AMD SEV-SNP.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. ההפחתה כבר הוחלה על מכונות של Confidential VM שבהן מופעל AMD SEV-SNP.

למידע נוסף, קראו את הייעוץ של AMD בנושא AMD-SB-3016.

בינוני

CVE-2023-20585

GCP-2026-019

תאריך פרסום: 14 באפריל 2026

תיאור

תיאור רמת סיכון הערות

חוקרים גילו נקודת חולשה בקושחה של AMD שמאפשרת ל-hypervisor זדוני לשנות את הגדרות ה-BIOS ואת הגדרות הניתוב של קלט/פלט ממופה-זיכרון (MMIO), וכך לפגוע בסודיות ובתקינות של מכונות וירטואליות חסויות עם אורחי AMD SEV-SNP.

‫Google יישמה את ההשבתה הזמנית של אותות האכיפה שמונעת את הבעיה הזו.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כבר יישמנו אמצעי הגנה במכונות Confidential VM עם AMD SEV-SNP.

אילו נקודות חולשה טופלו?

למידע נוסף, קראו את הייעוץ של AMD בנושא AMD-SB-3034.

 בינוני CVE-2025-54510

GCP-2026-015

תאריך פרסום: 27 במרץ 2026

תיאור

תיאור רמת סיכון הערות

התגלתה נקודת חולשה בליבה (kernel) של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים.

מה לעשות?

מומלץ לשדרג את הצומת של מערכת ההפעלה שמותאמת לקונטיינרים (COS) לגרסה cos-125-19216-220-57, שכוללת תיקון לנקודת החולשה הזו. הוראות לשדרוג מופיעות במאמרים הבאים:

  • אם אתם מנהלים ישירות את המכונות הווירטואליות של מערכת ההפעלה שמותאמת לקונטיינרים, אתם צריכים ליצור מחדש את המכונות הווירטואליות באמצעות קובצי האימג' המעודכנים. מידע נוסף זמין במאמר יצירת מכונה וירטואלית מתמונה ציבורית.
  • אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים דרך שירות מנוהל (כמו GKE,‏ Dataflow או Cloud SQL), עיינו בהוראות השדרוג הספציפיות לאותו שירות.

הערה: התיקונים נמצאים בתהליך פיתוח לאבני הדרך 117 ו-121 של מערכת ההפעלה שמותאמת לקונטיינרים.

אילו נקודות חולשה טופלו?

נקודת החולשה CrackArmor ב-AppArmor,‏ CVE-2026-23268, מאפשרת למשתמשים לא מורשים לעקוף את ההגנות של הליבה (kernel), להסלים את ההרשאות להרשאות root ולפרוץ את הבידוד של הקונטיינר המקומי.

 גבוהה CVE-2026-23268

GCP-2026-004

תאריך פרסום: 14 בינואר 2026

תיאור

תיאור רמת סיכון הערות

תוקף עם גישה מורשית לקרנל של האורח יכול להשתמש בהוראת CPP RCTX במעבדי Arm נבחרים כדי למנוע את ההפעלה של ביטולי TLB. כך התוקף יכול לקרוא נתונים רגישים שאין לו הרשאה לגשת אליהם.

נקודת החולשה משפיעה על המכונות הווירטואליות הבאות של Compute Engine Arm: ‏C4A, ‏A4X.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כבר הוחלו אמצעי הפחתה על Fleet השרתים של Google Cloud Arm.

אילו נקודות חולשה טופלו?

מידע נוסף זמין במאמר CVE-2025-0647.

 בינוני CVE-2025-0647

GCP-2025-058

תאריך פרסום: 20 באוקטובר 2025

תיאור

תיאור רמת סיכון הערות

התגלה פגם בהוראת RDSEED במעבדי AMD Zen 5 (Turin). ההוראה הזו משמשת ליצירת מספרים אקראיים קריפטוגרפיים. בתנאים מסוימים של עומס על המערכת, גרסאות 16 ו-32 ביט של RDSEED עלולות להיכשל בלי להציג הודעה, מה שעלול לפגוע באפליקציות שמסתמכות על יצירת מספרים אקראיים. לקוחות שמשתמשים בגרסת 64 ביט של RDSEED לא מושפעים.

מה לעשות?

חברת AMD בודקת את נקודת החולשה.

חשוב לציין שליבת Linux בגרסת 64 ביט משתמשת בגרסת 64 ביט הבטוחה של הוראת RDSEED, והיא מזינה את המספרים האקראיים שמתקבלים מ-/dev/[u]random. המספרים האקראיים האלה לא מושפעים מנקודת החולשה הזו.

אם יש לכם קוד אפליקציה שיוצר מספרים אקראיים בעצמו באמצעות ההוראה RDSEED, חשוב לדעת שגרסאות 16 ביט ו-32 ביט של ההוראה לא מאובטחות. גרסת ה-64 ביט של ההוראה בטוחה.

אילו נקודות חולשה טופלו?

נקודת החולשה הזו מאפשרת לתוקפים לגרום לכשל שקט ב-RDSEED, שעלול לפגוע ביצירת מספרים אקראיים באפליקציות.

גבוהה CVE-2025-62626

GCP-2025-044

תאריך פרסום: 12 באוגוסט 2025

תיאור

תיאור רמת סיכון הערות

‫Intel דיווחה ל-Google על שתי נקודות חולשה חדשות באבטחה.

‫CVE-2025-21090: נקודת החולשה הזו משפיעה על המעבדים הבאים של Intel:

  • ‫Sapphire Rapids: משפחות המכונות הווירטואליות C3, ‏ Z3, ‏ H3, ‏ A3, ‏ v5p
  • ‫Emerald Rapids: סדרות המכונות N4, ‏ C4, ‏ M4, ‏ A3 Ultra, ‏ A4 VM
  • ‫Granite Rapids: משפחת המכונות הווירטואליות N4, C4

‫CVE-2025-22840: נקודת החולשה הזו משפיעה על המעבד הבא של Intel:

  • ‫Granite Rapids: משפחת המכונות הווירטואליות N4, C4

מה לעשות?

לא נדרשת פעולה מצד הלקוחות לגבי אף אחת מנקודות החולשה. ‫Google תעדכן את המערכות שלכם באופן יזום במהלך חלונות זמן לתחזוקה רגילים ומתוכננים. בשלב הזה, לא נמצאו ראיות לניצול של נקודת החולשה ולא דווח על כך ל-Google.

אילו נקודות חולשה טופלו?

נקודת החולשה, CVE-2025-21090, מאפשרת לגורם לא מורשה שמשתמש בהוראת המעבד (CPU) של AMX, בשילוב עם הוראת המעבד (CPU) של AVX, להשבית את המכונה המארחת.

נקודת החולשה, CVE-2025-22840, מאפשרת לגורם לא מורשה להשתמש בהוראת prefetchit של המעבד (CPU) כדי לטעון תוכן מהזיכרון שאין לו גישה אליו, מה שעלול להוביל להרצת קוד מרחוק.

 בינוני

GCP-2025-042

תאריך פרסום: 11 באוגוסט 2025

תיאור

תיאור רמת סיכון הערות

חוקרים גילו פרצת אבטחה במעבדים ספציפיים של Intel, כולל מעבדים שמבוססים על המיקרו-ארכיטקטורות Skylake,‏ Broadwell ו-Haswell. נקודת החולשה הזו מאפשרת לתוקף לקרוא נתונים רגישים ישירות מהמטמון L1 של המעבד (CPU), שאין לו הרשאה לגשת אליו.

נקודת החולשה הזו נחשפה לראשונה ב-CVE-2018-3646 בשנת 2018. כשגילינו את נקודת החולשה הזו, Google יישמה מיד אמצעי הגנה כדי לטפל בסיכונים הידועים. הודעה לגבי נקודת החולשה והתיקונים הראשוניים פורסמה באותו זמן. מאז אנחנו חוקרים את הסיכון שנותר ופועלים עם קהילת Linux כדי לטפל בו.

לאחרונה עבדנו עם חוקרי אבטחה מהאקדמיה כדי להעריך את המצב הנוכחי של אמצעי האבטחה של המעבד, וטכניקות פוטנציאליות של התקפות שלא נלקחו בחשבון ב-2018.

‫Google הפעילה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי לצמצם את הבעיה.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כבר הוחלו אמצעי הפחתה על Fleet השרתים של Google.

אילו נקודות חולשה טופלו?

למידע נוסף, קראו את הייעוץ של Intel בנושא INTEL-SA-00161 ואת CVE-2018-3646.

 גבוהה CVE-2018-3646

GCP-2025-031

תאריך פרסום: 10 ביוני 2025

תיאור

תיאור רמת סיכון הערות

‫Trusted Computing Group (TCG) דיווחה על נקודת חולשה בתוכנה של מודול פלטפורמה מהימנה (TPM), שמשפיעה על מכונות וירטואליות מוגנות שמשתמשות ב-TPM וירטואלי (vTPM). נקודת החולשה הזו מאפשרת לתוקף מקומי מאומת לקרוא נתוני vTPM רגישים או להשפיע על הזמינות של vTPM.

הגישה ל-vTPM היא בדרך כלל גישה עם הרשאות. עם זאת, יכול להיות שחלק מההגדרות יאפשרו גישה רחבה יותר ל-vTPM.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. ‫Google תעדכן באופן יזום את המערכות שלכם במהלך חלונות הזמן הרגילים והמתוכננים לתחזוקה. עם זאת, אתם יכולים להגביל את הגישה ל-vTPM למשתמשים עם הרשאות אדמין (root). הפעולה הזו עוזרת להפחית את הסיכון למכונות הווירטואליות המוגנות.

אילו נקודות חולשה טופלו?

נקודת החולשה CVE-2025-2884 מאפשרת לתוקף מקומי עם גישה לממשק vTPM לשלוח פקודות זדוניות. הפקודות האלה מנצלות חוסר התאמה שקורא זיכרון vTPM מחוץ לתחום (OOB). הפעולה הזו יכולה לחשוף מידע אישי רגיש.

גבוהה CVE-2025-2884

GCP-2025-025

תאריך פרסום: 13 במאי 2025

תיאור

תיאור רמת סיכון הערות

‫Intel הודיעה ל-Google על נקודת חולשה חדשה בערוץ צדדי שמשפיעה על המעבדים הבאים של Intel‏: CascadeLake, ‏ Ice Lake XeonSP,‏ Ice Lake XeonD, ‏ Sapphire Rapids ו-Emerald Rapids.

‫Google יישמה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. בשלב הזה, לא נמצאו ראיות לניצול של נקודת החולשה ולא דווח על כך ל-Google.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כדי להגן על הלקוחות, כבר יישמנו תיקונים ב-Fleet השרתים של Google.

אילו נקודות חולשה טופלו?

CVE-2024-45332. מידע נוסף זמין בהודעת הייעוץ של Intel‏ INTEL-SA-01247.

אנחנו פה לשירותך

בכל שאלה או בקשת עזרה, אפשר לפנות לCloud Customer Care ולציין את מספר הנושא 417536835.

 גבוהה CVE-2024-45332

GCP-2025-024

תאריך פרסום: 12 במאי 2025

תאריך עדכון: 13 במאי 2025

תיאור

תיאור רמת סיכון הערות

עדכון מהתאריך 13 במאי 2025: בכל שאלה או בקשת עזרה, אפשר לפנות אל Cloud Customer Care ולציין את מספר הנושא 417458390.

‫Intel הודיעה ל-Google על נקודת חולשה חדשה בביצוע ספקולטיבי שמשפיעה על מעבדי Intel Cascade Lake ו-Intel Ice Lake.

‫Google יישמה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. בשלב הזה, לא נמצאו ראיות לניצול ולא דווח על כך ל-Google.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. התיקונים כבר הוחלו על Fleet השרתים של Google.

ברגע שיהיו זמינים, יופצו אמצעי הגנה נוספים מיצרני ציוד מקורי (OEM) של Intel ומשותפים אחרים של מערכות הפעלה, כדי לצמצם את הפגיעוּת של בחירת יעד עקיפה (ITS) באותו מצב.

אחרי שהשבתת אותות האכיפה של מערכת ההפעלה תיושם, לקוחות עם מכונות וירטואליות מדור שלישי או חדש יותר שפועלות לאורך זמן עלולים לחוות ירידה לא מכוונת בביצועים.

אילו נקודות חולשה טופלו?

CVE-2024-28956. למידע נוסף, קראו את הודעת האבטחה של Intel‏ INTEL-SA-01153.

 גבוהה CVE-2024-28956

GCP-2024-040

תאריך פרסום: 1 ביולי 2024
תאריך עדכון: 20 באוגוסט 2024
תיאור רמת סיכון הערות
תאריך עדכון: 20 באוגוסט 2024 קריטי CVE-2024-6387

‫20 באוגוסט 2024: הוספת תיקונים ליחידות TPU. להחיל עדכונים מהפצות של Linux כשהם זמינים. צריך לעיין בהנחיות של הפצות Linux. אם אתם משתמשים ב-TPU, צריך לעדכן לאחת מהגרסאות המתוקנות הבאות:

  • tpu-ubuntu2204-base
  • v2-alpha-tpuv5
  • v2-alpha-tpuv5-lite

התגלתה נקודת חולשה (CVE-2024-6387) ב-OpenSSH. ניצול מוצלח של נקודת החולשה הזו מאפשר לתוקף מרוחק לא מאומת להריץ קוד שרירותי כ-root במכונת היעד.

מומלץ לנתח את כל המכונות הווירטואליות של Compute Engine שמשתמשות בהפצת Linux שמבוססת על glibc וחשופות ל-OpenSSH, כדי לבדוק אם הן כוללות את הגרסאות הפגיעות.

מה לעשות?

  1. להחיל עדכונים מהפצות של Linux כשהם זמינים. צריך לעיין בהנחיות של הפצות Linux. אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים של Google, צריך לעדכן לאחת מהגרסאות הבאות שכוללות תיקון:
    • cos-113-18244-85-49
    • cos-109-17800-218-69
    • cos-105-17412-370-67
    • cos-101-17162-463-55
    אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים דרך שירות מנוהל של Google (למשל GKE), עיינו בעדכון האבטחה הדחוף של השירות הזה כדי לבדוק אם יש תיקון זמין.
  2. אם אי אפשר לעדכן, כדאי להשבית את OpenSSH עד שיהיה אפשר לתקן את הבעיה. רשת ברירת המחדל מאוכלסת מראש בכלל של חומת אש מסוג default-allow-ssh כדי לאפשר גישת SSH מהאינטרנט הציבורי. כדי להסיר את הגישה הזו, הלקוחות יכולים:
    1. אם רוצים, יוצרים כללים כדי לאפשר גישת SSH מרשתות מהימנות לצומתי GKE או למכונות וירטואליות אחרות של Compute Engine בפרויקט.
    2. משביתים את כלל ברירת המחדל של חומת האש באמצעות הפקודה הבאה: 
      gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT
    אם יצרתם כללים אחרים של חומת אש שמאפשרים SSH דרך TCP ביציאה 22, השביתו אותם או הגבילו את כתובות ה-IP של המקור לרשתות מהימנות.

    מוודאים שאי אפשר יותר להתחבר באמצעות SSH למכונות הווירטואליות מהאינטרנט. ההגדרה הזו של חומת האש מצמצמת את הסיכון שנגרם מנקודת החולשה.
  3. אם צריך להשאיר את OpenSSH פועל, אפשר גם לבצע עדכון הגדרות שמבטל את מצב המרוץ (race condition) שמאפשר את הניצול לרעה. זוהי השבתה זמנית של אותות אכיפה בזמן ריצה. כדי להחיל את השינויים בהגדרות של sshd, הסקריפט הזה יפעיל מחדש את שירות sshd. 
    #!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd
  4. לבסוף, עקבו אחרי פעילות ברשת חריגה שקשורה לשרתי SSH.
קריטית CVE-2024-6387

GCP-2024-021

תאריך פרסום: 3 באפריל 2024
תיאור רמת סיכון הערות

‫Compute Engine לא מושפע מ-CVE-2024-3094, שמשפיע על גרסאות 5.6.0 ו-5.6.1 של חבילת xz-utils בספריית liblzma, ועלול להוביל לפגיעה בכלי OpenSSH.

מה לעשות?

תמונות ציבוריות שנתמכות ומוצעות על ידי Compute Engine לא מושפעות מה-CVE הזה. אם אתם משתמשים בתמונות ציבוריות של Compute Engine למכונות הווירטואליות, אתם לא צריכים לעשות שום דבר.

יכול להיות שאתם בסיכון אם יצרתם תמונה בהתאמה אישית שמשתמשת בגרסאות 5.6.0 ו-5.6.1 של חבילת xz-utils, כמו מערכות ההפעלה הבאות:

כדי לצמצם את הסיכון, עצרו את כל המכונות הווירטואליות שמשתמשות במערכות ההפעלה האלה או במערכות הפעלה אחרות שעלולות להיות מושפעות. אם יש לכם מכונות וירטואליות שנוצרו מתמונות בהתאמה אישית של מערכות הפעלה אחרות, בדקו עם ספק מערכת ההפעלה אם המכונות הווירטואליות שלכם מושפעות.

אילו נקודות חולשה טופלו?

CVE-2024-3094

 בינוני CVE-2024-3094

GCP-2024-001

תאריך פרסום: 9 בינואר 2024
תיאור רמת סיכון הערות

התגלו כמה נקודות חולשה בקושחת TianoCore EDK II UEFI. הקושחה הזו משמשת במכונות וירטואליות של Google Compute Engine. ניצול של נקודות החולשה האלה עלול לאפשר עקיפה של האתחול המאובטח, וכתוצאה מכך לספק מדידות שגויות בתהליך האתחול המאובטח, כולל בשימוש במכונות וירטואליות מוגנות.

מה לעשות?

לא נדרשת שום פעולה. ‫Google תיקנה את נקודת החולשה הזו ב-Compute Engine, וכל המכונות הווירטואליות מוגנות מפניה.

אילו נקודות חולשה טופלו במסגרת התיקון הזה?

התיקון טיפל בנקודות החולשה הבאות:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 בינוני

GCP-2023-44

תאריך פרסום: 15 בנובמבר 2023
תיאור רמת סיכון הערות

ב-14 בנובמבר, AMD חשפה כמה נקודות חולשה שמשפיעות על מעבדי שרתים שונים של AMD. באופן ספציפי, נקודות החולשה משפיעות על מעבדי EPYC Server שמשתמשים ב-Zen core מדור 2 (Rome), מדור 3 (Milan) ומדור 4 (Genoa).

‫Google יישמה תיקונים בנכסים שהושפעו, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. נכון לעכשיו, לא נמצאו ראיות לניצול של נקודת החולשה ולא דווח על כך ל-Google.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות.

התיקונים כבר הוחלו על צי השרתים של Google ב- Google Cloud, כולל Google Compute Engine.

אילו נקודות חולשה טופלו במסגרת התיקון הזה?

התיקון טיפל בנקודות החולשה הבאות:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

למידע נוסף, קראו את הודעת האבטחה של AMD‏ AMD-SN-3005: "AMD INVD Instruction Security Notice", שפורסמה גם בשם CacheWarp, ואת AMD-SN-3002: "AMD Server Vulnerabilities – November 2023".

 בינוני

GCP-2023-004

תאריך פרסום: 26 באפריל 2023
תיאור רמת סיכון הערות

שתי נקודות חולשה (CVE-2023-1017 ו-CVE-2023-1018) התגלו ב-Trusted Platform Module (TPM) 2.0.

נקודות החולשה יכלו לאפשר לתוקף מתוחכם לנצל קריאה/כתיבה של 2 בייטים מחוץ לטווח במכונות וירטואליות מסוימות של Compute Engine.

מה לעשות?

תיקון הוחל באופן אוטומטי על כל המכונות הווירטואליות הפגיעות. לא נדרשת פעולה מצד הלקוחות.

אילו נקודות חולשה טופלו במסגרת התיקון הזה?

התיקון טיפל בנקודות החולשה הבאות:

CVE-2023-1017

ב-CVE-2023-2017, חריגה במאגר הנתונים הזמני עלולה להתרחש בשגרת הפענוח של הפרמטר vTPM. תוקף מקומי שפועל במכונה וירטואלית פגיעה יכול להשתמש בזה כדי לגרום להתקפת מניעת שירות (DoS) או להריץ קוד שרירותי בהקשר של vTPM.

CVE-2023-1018

ב-CVE-2023-2018, הייתה קריאה מחוץ לתחום בשגרת הפענוח של הפרמטר vTPM. תוקף מקומי שפועל במכונה וירטואלית פגיעה יכול להשתמש בזה כדי להדליף באופן עקיף נתונים מוגבלים מההקשר של ה-vTPM.

 בינוני

GCP-2021-026

תאריך פרסום: 14 בדצמבר 2021
תיאור רמת סיכון הערות

הכלי Apache Log4j הוא רכיב נפוץ לרישום בקשות ביומן. ב-9 בדצמבר 2021 דווח על נקודת חולשה שעלולה לאפשר פריצה למערכת שפועלת עם Apache Log4j בגרסה 2.14.1 או גרסה קודמת, ולאפשר לתוקף להריץ קוד שרירותי.

ב-10 בדצמבר 2021, המכון הלאומי לתקנים וטכנולוגיה (NIST) פרסם התראה קריטית לגבי נקודות חולשה וחשיפות נפוצות, CVE-2021-44228. באופן ספציפי יותר, תכונות של Java Naming Directory Interface (JNDI) שמשמשות בהגדרות, בהודעות ביומן ובפרמטרים לא מגינות מפני נקודות קצה (endpoint) של LDAP ונקודות קצה אחרות שקשורות ל-JNDI שנשלטות על ידי תוקפים. תוקף שיכול לשלוט בהודעות ביומן או בפרמטרים של הודעות ביומן יכול להריץ קוד שרירותי שנטען משרתים מרוחקים, כשהאפשרות להחלפת חיפוש הודעות מופעלת.

מה לעשות?

  • ‫M4CE v4.x: ב-13 בדצמבר 2021, צוות Migrate for Compute Engine‏ (M4CE) סיפק גרסה חדשה. מנהלי הפרויקטים צריכים להחליף את הפריסה הקיימת בגרסה החדשה, כולל M4CE Manager בענן ו-M4CE בקצה העורפי "במקום". במדריך מפורטים פרטי הפריסה של גרסה 4.11.
  • ‫M2VMs v5.x: הבעיה תוקנה ב-M2VMs v5.0 ואילך, ולא נדרשת פעולה.
 קריטית

GCP-2021-001

תאריך פרסום: 28 בינואר 2021
תיאור רמת סיכון הערות

לאחרונה התגלתה נקודת חולשה בכלי sudo של Linux, כפי שמפורט ב-CVE-2021-3156,‏ שעלולה לאפשר לתוקף עם גישה לא מורשית למעטפת מקומית במערכת שבה מותקן sudo להסלים את ההרשאות שלו (privilege escalation) להרשאות root.

ההשפעה על Compute Engine

התשתית שעליה מריצים את Compute Engine לא מושפעת מנקודת החולשה הזו. במכונות וירטואליות של Compute Engine שמריצות את Linux, כדאי לעדכן את מערכת ההפעלה של האורח. לדוגמה, אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים, מומלץ לעדכן לאחד מהאימג'ים הבאים: cos-85-13310-1209-7,‏ cos-81-12871-1245-6,‏ cos-dev-89-16091-0-0 או גרסה חדשה יותר.

 ללא

תאריך הפרסום: 27.8.2020

תיאור רמת סיכון הערות

ב-Eclypsium חשפו את ה-CVE הבא: CVE-2020-10713.

נקודות חולשה

בתגובה לדוח הראשוני על נקודת החולשה, נערכה בדיקה נוספת של קוד GRUB2, ו-Canonical גילתה את נקודות החולשה הנוספות הבאות:

נקודות החולשה האלה, שנקראות ביחד BootHole, מאפשרות לתוקפים עם הרשאות אדמין לטעון קבצים בינאריים לא חתומים, וכך להשבית את האכיפה של האתחול המאובטח.

ההשפעה על Compute Engine

תשתית המארח שמריצה את Compute Engine מוגנת מפני התקפות ידועות.

לקוחות Compute Engine שמשתמשים באתחול מאובטח צריכים לעדכן את מערכות ההפעלה של האורחים במכונות שלהם, כדי למנוע אפשרות של ניצול לרעה בסביבות האורחים. לפרטים נוספים, אפשר לעיין בהמלצות של ספק מערכת ההפעלה של האורח לצמצום הסיכון.

תמונות מתוקנות ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מפחיתות את הסיכון להתקפות פוטנציאליות:

  • פרויקט centos-cloud: מידע על תיקון CentOS
    • centos-7-v20200811
    • centos-8-v20200811
  • פרויקט cos-cloud:
    • cos-77-12371-1072-0
    • cos-81-12871-1185-0
    • cos-rc-85-13310-1028-0
    • cos-dev-86-15103-0-0

    אם אתם משתמשים ב-COS דרך שירות מנוהל (למשל GKE), צריך לפעול לפי ההנחיות של השירות הזה כדי להחיל עדכונים.

  • פרויקט debian-cloud: DSA-4753
    • debian-10-buster-v20200805
  • פרויקט coreos-cloud:
    • coreos-alpha-2163-2-1-v20190617
    • coreos-beta-2135-3-1-v20190617
    • coreos-stable-2079-6-0-v20190617
  • פרויקט rhel-cloud/rhel-sap-cloud: Red Hat Vulnerability Response
    • rhel-7-v20200811
    • rhel-7-4-sap-v20200811
    • rhel-7-6-sap-v20200811
    • rhel-7-7-sap-v20200811
    • rhel-8-v20200811
  • פרויקט suse-cloud/suse-sap-cloud:: SUSE KB
    • sles-12-sp5-v20200813
    • sles-15-sp2-v20200804
    • sles-12-sp4-sap-v20200804
    • sles-12-sp5-sap-v20200813
    • sles-15-sap-v20200803
    • sles-15-sp1-sap-v20200803
    • Sles-15-sp2-sap-v20200804
  • פרויקט ubuntu-os-cloud: Ubuntu Wiki
    • ubuntu-1604-xenial-v20200729
    • ubuntu-1804-bionic-v20200729
    • ubuntu-2004-focal-v20200729
 גבוהה

תאריך פרסום: 19 ביוני 2020

תיאור רמת סיכון הערות

מכונות וירטואליות שמופעל בהן OS Login עלולות להיות חשופות לנקודות חולשה של הסלמת הרשאות (privilege escalation). נקודות החולשה האלה מאפשרות למשתמשים שהוענקו להם הרשאות OS Login‏ (אבל לא הוענקה להם הרשאת אדמין) להסלים הרשאות (privilege escalation) להרשאות root במכונה הווירטואלית.

נקודות חולשה

שלוש נקודות החולשה הבאות, שנובעות מחברויות בקבוצות ברירת מחדל עם הרשאות רבות מדי, זוהו בתמונות של Compute Engine:

  • ‫CVE-2020-8903: באמצעות המשתמש adm, אפשר לנצל את ה-DHCP XID כדי לקבל הרשאות אדמין.
  • ‫CVE-2020-8907: באמצעות המשתמש docker, אפשר לטעון ולשנות את מערכת הקבצים של מערכת ההפעלה המארחת כדי לקבל הרשאות אדמין.
  • ‫CVE-2020-8933: באמצעות המשתמש lxd, אפשר לצרף מערכות קבצים של מערכת ההפעלה המארחת ולקבל הרשאות אדמין.

תמונות עם תיקונים ותיקונים

כל התמונות הציבוריות של Compute Engine שנוצרו אחרי v20200506 תוקנו.

אם אתם צריכים לפתור את הבעיה בלי לעדכן לגרסה חדשה יותר של קובץ האימג', אתם יכולים לערוך את הקובץ /etc/security/group.conf ולהסיר את המשתמשים adm,‏ lxd ו-docker מהרשומה שמוגדרת כברירת מחדל ב-OS Login.

גבוהה

תאריך פרסום: 21 בינואר 2020

תיאור רמת סיכון הערות

‫Microsoft חשפה את נקודת החולשה הבאה:

  • ‫CVE-2020-0601 – נקודת החולשה הזו נקראת גם Windows Crypto API Spoofing Vulnerability. אפשר לנצל אותה כדי לגרום לקובצי הפעלה זדוניים להיראות מהימנים או לאפשר לתוקף לערוך התקפות אדם בתווך ולפענח מידע סודי לגבי חיבורי משתמשים לתוכנה המושפעת.

ההשפעה על Compute Engine

התשתית שעליה מריצים את Compute Engine לא מושפעת מנקודת החולשה הזו. אם אתם לא מריצים את Windows Server במכונה הווירטואלית של Compute Engine, אתם לא צריכים לעשות שום דבר. לקוחות שמשתמשים במכונות וירטואליות של Compute Engine שמריצות שרת Windows צריכים לוודא שהמכונות שלהם כוללות את התיקון האחרון של Windows.

תמונות מתוקנות ומשאבים של ספקים

גרסאות קודמות של קובצי האימג' הציבוריים של Windows לא מכילות את התיקונים הבאים ולא מפחיתות את הסיכון למתקפות פוטנציאליות:

  • פרויקטים windows-cloud ו-windows-sql-cloud
    • כל התמונות הציבוריות של Windows Server ו-SQL Server החל מגרסה v20200114
 בינוני

תאריך פרסום: 12 בנובמבר 2019

תיאור רמת סיכון הערות

‏Intel דיווחה על עדכוני ה-CVE הבאים:

  • CVE-2019-11135 – נקודת החולשה הזו נקראת גם TSX Async Abort ‏ (TAA). ‫TAA מספק דרך נוספת לזליגת נתונים באמצעות אותם מבני נתונים במיקרו-ארכיטקטורה שנוצלו על ידי דגימת נתונים של מיקרו-ארכיטקטורה (MDS).
  • CVE-2018-12207 – ה-CVE הזה נקרא גם "Machine Check Error on Page Size Change". זוהי נקודת חולשה של התקפת מניעת שירות (DoS) שמשפיעה על מארחים של מכונות וירטואליות, ומאפשרת לאורח זדוני להקריס מארח לא מוגן.

ההשפעה על Compute Engine

CVE-2019-11135

תשתית המארח שמריצה את Compute Engine מבודדת את עומסי העבודה של הלקוחות. אם אתם לא מריצים קוד לא מהימן בתוך מכונות וירטואליות מסוג N2,‏ C2 או M2, אתם לא צריכים לעשות שום דבר.

לקוחות N2, ‏ C2 ו-M2 שמריצים קודים לא מהימנים בשירותים מרובי-הדיירים שלהם בתוך מכונות וירטואליות של Compute Engine, צריכים להפסיק ולהפעיל מחדש את המכונות הווירטואליות כדי לוודא שהן מעודכנות עם תיקוני האבטחה האחרונים. לא מספיק להפעיל מחדש בלי לעצור ולהפעיל. ההנחיות האלה מבוססות על ההנחה שכבר החלתם עדכונים קודמים שפורסמו בנוגע לנקודת החולשה של MDS. אם לא, צריך לפעול לפי ההוראות כדי להחיל את העדכונים המתאימים.

לקוחות שמריצים מכונות מסוג N1 לא צריכים לעשות כלום, כי נקודת החולשה הזו לא מייצגת חשיפה חדשה מעבר לנקודות החולשה של MDS שנחשפו בעבר.

CVE-2018-12207

תשתית המארח שעליה מריצים את Compute Engine מוגנת מפני נקודת החולשה הזו. לא נדרשת כל פעולה נוספת מצידך.

 בינוני

תאריך הפרסום: 18.06.2019

העדכון האחרון: 25.6.2019 בשעה 6:30 לפי שעון החוף המערבי בארה"ב

תיאור רמת סיכון הערות

לאחרונה, Netflix חשפה שלוש נקודות חולשה של TCP בליבות של Linux:

ה-CVE האלה נקראים ביחד NFLX-2019-001.

ההשפעה על Compute Engine

התשתית שמארחת את Compute Engine מוגנת מפני נקודת החולשה הזו.

מכונות וירטואליות של Compute Engine שמריצות מערכות הפעלה של Linux ללא תיקון, ששולחות או מקבלות תנועה לא מהימנה ברשת, חשופות למתקפת ה-DoS הזו. מומלץ לעדכן את המכונות הווירטואליות האלה ברגע שיהיו זמינים תיקונים למערכות ההפעלה שלהן.

מאזני עומסים שסוגרים חיבורי TCP תוקנו כדי למנוע את נקודת החולשה הזו. מכונות של Compute Engine שמקבלות רק תנועה לא מהימנה דרך מאזני העומסים האלה לא חשופות לנקודת החולשה. זה כולל מאזני עומסים מסוג HTTP, מאזני עומסים בשרת proxy של SSL ומאזני עומסים בשרת proxy של TCP.

מאזני עומסי רשת ומאזני עומסים פנימיים לא סוגרים חיבורי TCP. מכונות של Compute Engine שלא הותקנו בהן תיקונים, שמקבלות תנועה לא מהימנה דרך מאזני העומסים האלה, חשופות לפגיעה.

תמונות מתוקנות ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים, כולל הסטטוס של כל CVE. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מפחיתות את הסיכון למתקפות פוטנציאליות:

  • פרויקט debian-cloud:
    • debian-9-stretch-v20190618
  • פרויקט centos-cloud:
    • centos-6-v20190619
    • centos-7-v20190619
  • פרויקט cos-cloud:
    • cos-dev-77-12293-0-0
    • cos-beta-76-12239-21-0
    • cos-stable-75-12105-77-0
    • cos-73-11647-217-0
    • cos-69-10895-277-0
  • פרויקט coreos-cloud:
    • coreos-alpha-2163-2-1-v20190617
    • coreos-beta-2135-3-1-v20190617
    • coreos-stable-2079-6-0-v20190617
  • פרויקט rhel-cloud:
    • rhel-6-v20190618
    • rhel-7-v20190618
    • rhel-8-v20190618
  • פרויקט rhel-sap-cloud:
    • rhel-7-4-sap-v20190618
    • rhel-7-6-sap-v20190618
  • פרויקט suse-cloud:
    • sles-12-sp4-v20190617
    • sles-15-v20190617
  • פרויקט suse-sap-cloud:
    • sles-12-sp1-sap-v20190617
    • sles-12-sp2-sap-v20190617
    • sles-12-sp3-sap-v20190617
    • sles-12-sp4-sap-v20190617
    • sles-15-sap-v20190617
  • פרויקט ubuntu-cloud:
    • ubuntu-1604-xenial-v20190617
    • ubuntu-1804-bionic-v20190617
    • ubuntu-1810-cosmic-v20190618
    • ubuntu-1904-disco-v20190619
    • ubuntu-minimal-1604-xenial-v20190618
    • ubuntu-minimal-1804-bionic-v20190617
    • ubuntu-minimal-1810-cosmic-v20190618
    • ubuntu-minimal-1904-disco-v20190618
 בינוני

תאריך הפרסום: 14.5.2019

תאריך העדכון האחרון: 20 במאי 2019, 17:00 שעון החוף המערבי (PST)

תיאור רמת סיכון הערות

‏Intel דיווחה על עדכוני ה-CVE הבאים:

ה-CVE האלה נקראים יחד "דגימת נתונים של מיקרו-ארכיטקטורה" (MDS). נקודות החולשה האלה עלולות לאפשר חשיפה של נתונים באמצעות האינטראקציה של ביצוע ספקולטיבי עם מצב מיקרו-ארכיטקטורה.

ההשפעה על Compute Engine

תשתית המארח שמריצה את Compute Engine מבודדת את עומסי העבודה של הלקוחות זה מזה. אם אתם לא מריצים קוד לא מהימן בתוך המכונות הווירטואליות, אין צורך בפעולה נוספת.

לקוחות שמריצים קוד לא מהימן בשירותים מרובי-הדיירים שלהם בתוך מכונות וירטואליות של Compute Engine, צריכים לעיין בהמלצות לתיקון של ספק מערכת ההפעלה של האורח, שעשויות לכלול שימוש בתכונות התיקון של מיקרו-קוד של Intel. הוספנו את האפשרות להעביר גישה לאורחים לפונקציונליות החדשה של מחיקת הנתונים. בטבלה הבאה מפורטים השלבים להפחתת הסיכון בתמונות נפוצות של אורחים.

תמונות מתוקנות ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים, כולל הסטטוס של כל CVE. אפשר להשתמש בתמונות האלה כדי ליצור מחדש מכונות וירטואליות. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מפחיתות את הסיכון להתקפות פוטנציאליות:

  • פרויקט centos-cloud: CESA-2019:1169, CESA-2019:1168
    • centos-6-v20190515
    • centos-7-v20190515
  • פרויקט coreos-cloud: הפחתות MDS ל-CoreOS Container Linux
    • coreos-stable-2079-4-0-v20190515
    • coreos-beta-2107-3-0-v20190515
    • coreos-alpha-2135-1-0-v20190515
  • פרויקט cos-cloud
    • cos-69-10895-242-0
    • cos-73-11647-182-0
  • פרויקט debian-cloud: DSA-4444
    • debian-9-stretch-v20190514
  • פרויקט rhel-cloud: מאמר מידע על Red Hat MDS
    • rhel-6-v20190515
    • rhel-7-v20190517
    • rhel-8-v20190515
  • פרויקט rhel-sap-cloud: מאמר מידע על Red Hat MDS
    • rhel-7-4-sap-v20190515
    • rhel-7-6-sap-v20190517
  • פרויקט suse-cloud: SUSE MDS KB
    • sles-12-sp4-v20190520
    • sles-15-v20190520
  • פרויקט suse-sap-cloud
    • sles-12-sp4-sap-v20190520
    • sles-15-sap-v20190520
  • פרויקט ubuntu-os-cloud: Ubuntu MDS Wiki
    • ubuntu-1404-trusty-v20190514
    • ubuntu-1604-xenial-v20190514
    • ubuntu-1804-bionic-v20190514
    • ubuntu-1810-cosmic-v20190514
    • ubuntu-1904-disco-v20190514
    • ubuntu-minimal-1604-xenial-v20190514
    • ubuntu-minimal-1804-bionic-v20190514
    • ubuntu-minimal-1810-cosmic-v20190514
    • ubuntu-minimal-1904-disco-v20190514
  • פרויקטים windows-cloud ו-windows-sql-cloud: Microsoft ADV190013
    • כל קובצי האימג' הציבוריים של Windows Server ו-SQL Server עם מספר הגרסה v20190514.
  • פרויקט gce-uefi-images
    • centos-7-v20190515
    • cos-69-10895-242-0
    • cos-73-11647-182-0
    • rhel-7-v20190517
    • ubuntu-1804-bionic-v20190514
    • כל קובצי האימג' הציבוריים של Windows Server עם מספר הגרסה v20190514.

מערכת הפעלה שמותאמת לקונטיינרים

אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים (COS) כמערכת ההפעלה של האורח, ואתם מריצים עומסי עבודה לא מהימנים של כמה דיירים במכונה הווירטואלית, מומלץ:

  1. משביתים את Hyper-Threading על ידי הגדרת nosmt בשורת הפקודה של הליבה.

    במכונות וירטואליות קיימות של COS, אפשר לשנות את grub.cfg באופן הבא כדי להגדיר את האפשרות nosmt ואז להפעיל מחדש את המערכת:

    # Run as root:
dir="$(mktemp -d)"
mount /dev/sda12 "${dir}"
sed -i -e "s|cros_efi|cros_efi nosmt|g" "${dir}/efi/boot/grub.cfg"
umount "${dir}"
rmdir "${dir}"

reboot

    כדי להקל עליכם, אתם יכולים להריץ את הסקריפט הבא כדי להשיג את אותה תוצאה כמו הרצת הפקודות הקודמות. מומלץ להפוך את הסקריפט הזה לחלק מהגדרות הענן, מסקריפטים לטעינה בזמן ההפעלה או מתבניות של הגדרות מכונה, כדי לוודא שהמכונות הווירטואליות החדשות משתמשות בפרמטר החדש הזה. בהמשך מופיעה דוגמה ל-cloud-config שמריץ את הסקריפט הזה.

    אזהרה: הפקודה הזו תגרום להפעלה מחדש מיידית של המכונה כשהיא תופעל בפעם הראשונה. אם תריצו את הפקודה במכונה שבה Hyper-Threading כבר מושבת, לא תהיה לכך השפעה.

    # Run as root
/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)

    כדי לכלול את זה כחלק מ-cloud-config:

    #cloud-config

bootcmd:
- /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)"

    כדי לוודא ש-Hyper-Threading מושבת במכונה, בודקים את הפלט של הקבצים /sys/devices/system/cpu/smt/active ו-/sys/devices/system/cpu/smt/control. אם הפקודה מחזירה את הערך 0 עבור active ואת הערך off עבור control, סימן שה-Hyper-Threading מושבת:

    cat /sys/devices/system/cpu/smt/active
cat /sys/devices/system/cpu/smt/control

    הערה: אם הפעלתם את UEFI אתחול מאובטח במכונה, תצטרכו ליצור מחדש את המכונה כשהאפשרות UEFI אתחול מאובטח מושבתת, להריץ את הפקודה שלמעלה כשהאפשרות UEFI אתחול מאובטח מושבתת, ואז להפעיל את UEFI אתחול מאובטח במכונה החדשה.

  2. שימוש בגרסה חדשה של קובץ אימג' של COS

    בנוסף להשבתת Hyper-Threading כמו שמתואר למעלה, צריך גם ליצור מחדש את המכונות עם קובצי האימג' המעודכנים שרשומים למעלה, או עם גרסאות חדשות יותר (אם הן זמינות) של קובצי אימג' של מערכת הפעלה שמותאמת לקונטיינרים, כדי לקבל הגנה מלאה מפני נקודת החולשה.

 בינוני

תאריך הפרסום: 14.08.2018

העדכון האחרון: 2018-08-20 T 17:00 PST

תיאור רמת סיכון הערות

תיאור

Intel דיווחה על נקודות החולשה הבאות:

הפגיעויות האלה נקראות יחד "L1 Terminal Fault (L1TF)".

נקודות החולשה האלה של L1TF מנצלות את הביצוע הספקולטיבי על ידי תקיפת ההגדרות של מבני הנתונים ברמת המעבד. ‫"L1" מתייחס למטמון הנתונים ברמה 1 (L1D), משאב קטן בליבה שמשמש להאצת הגישה לזיכרון.

בGoogle Cloud פוסט בבלוג מפורט מידע נוסף על נקודות החולשה האלה ועל ההקלות של Compute Engine.

ההשפעה על Compute Engine

תשתית המארח שמריצה את Compute Engine ומבודדת את עומסי העבודה של הלקוחות זה מזה מוגנת מפני התקפות ידועות.

אנחנו ממליצים ללקוחות Compute Engine לעדכן את קובצי האימג' שלהם כדי למנוע ניצול עקיף של הפרצה בסביבות האורחים שלהם. זה חשוב במיוחד ללקוחות שמריצים שירותים מרובי-דיירים משלהם במכונות וירטואליות של Compute Engine.

לקוחות Compute Engine יכולים לעדכן את מערכות ההפעלה של האורחים במכונות שלהם באמצעות אחת מהאפשרויות הבאות:

תמונות מתוקנות ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים, כולל סטטוס לשני ה-CVE. אפשר להשתמש בתמונות האלה כדי ליצור מחדש מכונות וירטואליות. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מפחיתות את הסיכון להתקפות פוטנציאליות:

  • פרויקט centos-cloud:
    • centos-7-v20180815
    • centos-6-v20180815
  • פרויקט coreos-cloud:
    • coreos-stable-1800-7-0-v20180816
    • coreos-beta-1855-2-0-v20180816
    • coreos-alpha-1871-0-0-v20180816
  • פרויקט cos-cloud:
    • cos-stable-66-10452-110-0
    • cos-stable-67-10575-66-0
    • cos-beta-68-10718-81-0
    • cos-dev-69-10895-23-0
  • פרויקט debian-cloud:
    • debian-9-stretch-v20180820
  • פרויקט rhel-cloud:
    • rhel-7-v20180814
    • rhel-6-v20180814
  • פרויקט rhel-sap-cloud:
    • rhel-7-sap-apps-v20180814
    • rhel-7-sap-hana-v20180814
  • פרויקט suse-cloud:
    • sles-15-v20180816
    • sles-12-sp3-v20180814
    • sles-11-sp4-v20180816
  • פרויקט suse-sap-cloud:
    • sles-15-sap-v20180816
    • sles-12-sp3-sap-v20180814
    • sles-12-sp2-sap-v20180816
  • פרויקט ubuntu-os-cloud:
    • ubuntu-1804-bionic-v20180814
    • ubuntu-1604-xenial-v20180814
    • ubuntu-1404-trusty-v20180814
    • ubuntu-minimal-1804-bionic-v20180814
    • ubuntu-minimal-1604-xenial-v20180814
  • פרויקטים windows-cloud, gce-uefi-images ו-windows-sql-cloud:
גבוהה

תאריך הפרסום: 6 באוגוסט 2018

העדכון האחרון: 5 בספטמבר 2018, 17:00 (שעון החוף המערבי)

תיאור רמת סיכון הערות

עדכון מה-5 בספטמבר 2018

‫CVE-2018-5391 נחשף ב-14 באוגוסט 2018 על ידי US-CERT. כמו ב-CVE-2018-5390, זוהי נקודת חולשה ברשת ברמת הליבה (kernel) שמגבירה את היעילות של התקפות מניעת שירות (DoS) נגד מערכות פגיעות. ההבדל העיקרי הוא שניתן לנצל את CVE-2018-5391 באמצעות חיבורי IP. עדכנו את המידע הזה כדי להתייחס לשתי נקודות החולשה.

תיאור

‫CVE-2018-5390 ("SegmentSmack") מתארת נקודת חולשה ברשת ברמת הליבה, שמגבירה את היעילות של התקפות מניעת שירות (DoS) נגד מערכות פגיעות בחיבורי TCP.

‫CVE-2018-5391 ("FragmentSmack") מתאר נקודת חולשה ברשת ברמת הליבה, שמגבירה את היעילות של התקפות מניעת שירות (DoS) נגד מערכות פגיעות דרך חיבורי IP.

ההשפעה על Compute Engine

תשתית המארח שמריצה את המכונות הווירטואליות של Compute Engine לא נמצאת בסיכון. תשתית הרשת שמטפלת בתנועה אל המכונות הווירטואליות של Compute Engine וממנה מוגנת מפני נקודת החולשה הזו. מכונות וירטואליות של Compute Engine שרק שולחות או מקבלות תנועה לא מהימנה ברשת באמצעות HTTP(S)‎,‏ SSL או מאזני עומסים של TCP מוגנות מפני נקודת החולשה הזו.

מכונות וירטואליות של Compute Engine שמריצות מערכות הפעלה ללא תיקון, ששולחות או מקבלות תנועה לא מהימנה ברשת באופן ישיר או באמצעות מאזני עומסי רשת, חשופות למתקפת ה-DoS הזו.

כדאי לעדכן את המכונות הווירטואליות ברגע שתיקונים זמינים למערכות ההפעלה שלהן.

לקוחות Compute Engine יכולים לעדכן את מערכות ההפעלה של האורחים במכונות שלהם באחת מהאפשרויות הבאות:

  • משתמשים בתמונות ציבוריות מתוקנות כדי ליצור מחדש מכונות וירטואליות קיימות. בהמשך מופיעה רשימה של תמונות ציבוריות עם תיקונים.
  • במכונות קיימות, מתקינים תיקונים שספק מערכת ההפעלה מספק ומפעילים מחדש את המכונות המתוקנות.

תמונות מתוקנות ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים.

  • פרויקט centos-cloud (CVE-2018-5390 בלבד):
    • centos-7-v20180815
    • centos-6-v20180815
  • פרויקט coreos-cloud ‏(CVE-2018-5390 ו-CVE-2018-5391):
    • coreos-stable-1800-7-0-v20180816
    • coreos-beta-1855-2-0-v20180816
    • coreos-alpha-1871-0-0-v20180816
  • פרויקט cos-cloud ‏(CVE-2018-5390 ו-CVE-2018-5391):
    • cos-stable-65-10323-98-0
    • cos-stable-66-10452-109-0
    • cos-stable-67-10575-65-0
    • cos-beta-68-10718-76-0
    • cos-dev-69-10895-16-0
  • פרויקט debian-cloud ‏(CVE-2018-5390 ו-CVE-2018-5391):
    • debian-9-stretch-v20180814
  • פרויקט rhel-cloud (CVE-2018-5390 בלבד):
    • rhel-7-v20180814
    • rhel-6-v20180814
  • פרויקט suse-cloud ‏(CVE-2018-5390 ו-CVE-2018-5391):
    • sles-15-v20180816
    • sles-12-sp3-v20180814
  • פרויקט suse-sap-cloud ‏(CVE-2018-5390 ו-CVE-2018-5391):
    • sles-15-sap-v20180816
    • sles-12-sp3-sap-v20180814
    • sles-12-sp2-sap-v20180816
  • פרויקט ubuntu-os-cloud ‏(CVE-2018-5390 ו-CVE-2018-5391):
    • ubuntu-1804-bionic-v20180814
    • ubuntu-1604-xenial-v20180814
    • ubuntu-1404-trusty-v20180814
    • ubuntu-minimal-1804-bionic-v20180814
    • ubuntu-minimal-1604-xenial-v20180814
 גבוהה

תאריך הפרסום: 3 בינואר 2018

העדכון האחרון: 21.5.2018 בשעה 15:00 (שעון החוף המערבי)

תיאור רמת סיכון הערות

עדכון מה-21 במאי 2018

CVE-2018-3640 ו-CVE-2018-3639, וריאנטים 3a ו-4 בהתאמה, נחשפו על ידי Intel. כמו בשלוש הגרסאות הראשונות של Spectre ו-Meltdown, התשתית שעליה פועלים המכונות הווירטואליות של Compute Engine מוגנת, והמכונות הווירטואליות של הלקוחות מבודדות ומוגנות זו מזו. בנוסף, אנחנו מתכננים לפרוס את תיקוני המיקרו-קוד של Intel בתשתית של Compute Engine, כדי לאפשר ללקוחות שמריצים עומסי עבודה לא מהימנים או מרובי-דיירים במכונה וירטואלית אחת להפעיל מיטיגציות נוספות בתוך המכונה הווירטואלית, כשהמיטיגציות האלה מסופקות על ידי ספקים של מערכות הפעלה. ‫Compute Engine יפרוס את התיקונים של מיקרו-קוד ברגע ש-Intel תאשר אותם, ואחרי ש-Compute Engine יבדוק ויאשר את התיקונים לסביבת הייצור שלנו. נפרסם בדף הזה לוחות זמנים מפורטים יותר ועדכונים נוספים כשהם יהיו זמינים.

תיאור

ה-CVE האלה הם וריאציות של סוג חדש של מתקפה שמנצלת את טכנולוגיית הביצוע הספקולטיבי שזמינה במעבדים רבים. סוג כזה של מתקפה יכול לאפשר גישה לא מורשית לקריאה בלבד לנתונים בזיכרון בנסיבות שונות.

ב-Compute Engine נעשה שימוש בטכנולוגיית מיגרציה פעילה של מכונות וירטואליות כדי לעדכן את מערכת המארח ואת ה-hypervisor בלי להשפיע על המשתמשים, בלי חלונות זמן לתחזוקה כפויה ובלי צורך בהפעלות מחדש המוניות. עם זאת, צריך להתקין תיקון בכל מערכות ההפעלה והגרסאות של האורחים כדי להגן מפני סוג ההתקפה החדש הזה, בלי קשר למקום שבו המערכות האלה פועלות.

בפוסט בבלוג של Project Zero מפורטים כל הפרטים הטכניים על שיטת המתקפה הזו. בפוסט בבלוג האבטחה של Google מפורטים כל אמצעי ההגנה של Google, כולל כל המידע הספציפי למוצרים.

ההשפעה על Compute Engine

התשתית שעליה מריצים את Compute Engine ומבודדים את מכונות ה-VM של הלקוחות זו מזו מוגנת מפני התקפות מוכרות. אמצעי ההגנה שלנו מונעים גישה לא מורשית למערכות המארחות שלנו מאפליקציות שפועלות בתוך מכונות וירטואליות. ההפחתות האלה גם מונעות גישה לא מורשית בין מכונות וירטואליות שפועלות באותה מערכת מארחת.

כדי למנוע גישה לא מורשית במכונות הווירטואליות, צריך לעדכן את מערכות ההפעלה של האורחים במכונות האלה באחת מהדרכים הבאות:

  • משתמשים בתמונות ציבוריות מתוקנות כדי ליצור מחדש את המכונות הווירטואליות הקיימות. בהמשך מופיעה רשימה של תמונות ציבוריות עם תיקונים.
  • במכונות הקיימות, מתקינים את התיקונים שספק מערכת ההפעלה מספק להפצה שלכם, ומפעילים מחדש את המכונות המתוקנות. בהמשך מופיעים קישורים למידע על תיקונים של כל ספק של מערכת הפעלה.

תמונות מתוקנות ומשאבים של ספקים

הערה: יכול להיות שהתמונות המתוקנות לא כוללות תיקונים לכל נקודות החולשה והחשיפה (CVE) שמופיעות בהודעה הזו. בנוסף, תמונות שונות עשויות לכלול שיטות שונות למניעת התקפות מהסוגים האלה. כדאי לבדוק עם ספק מערכת ההפעלה אילו נקודות חולשה וחשיפה (CVE) מטופלות בתיקונים שלו, ובאילו שיטות מניעה הוא משתמש.

  • פרויקט cos-cloud: כולל תיקונים המונעים התקפות גרסה 2 (CVE-2017-5715) וגרסה 3 (CVE-2017-5754). Google השתמשה ב-Retpoline בתמונות האלה כדי לצמצם את ההתקפות של וריאנט 2.
    • ‫cos-stable-63-10032-71-0 או משפחת קובצי אימג' cos-stable
  • פרויקט centos-cloud: מידע על תיקונים ב-CentOS
    • ‫centos-7-v20180104 או משפחת קובצי אימג' centos-7
    • ‫centos-6-v20180104 או משפחת תמונות centos-6
  • פרויקט coreos-cloud: מידע על תיקונים ב-CoreOS
    • ‫coreos-stable-1576-5-0-v20180105 או משפחת קובצי אימג' coreos-stable
    • ‫coreos-beta-1632-1-0-v20180105 או משפחת תמונות coreos-beta
    • ‫coreos-alpha-1649-0-0-v20180105 או משפחת קובצי אימג' coreos-alpha
  • פרויקט debian-cloud: מידע על תיקון Debian
    • ‫debian-9-stretch-v20180105 או משפחת קובצי אימג' debian-9
    • ‫debian-8-jessie-v20180109 או משפחת קובצי אימג' debian-8
  • פרויקט rhel-cloud: מידע על תיקונים ב-RHEL
    • ‫rhel-7-v20180104 או משפחת קובצי אימג' rhel-7
    • ‫rhel-6-v20180104 או משפחת קובצי אימג' rhel-6
  • פרויקט suse-cloud: מידע על תיקון SUSE
    • ‫sles-12-sp3-v20180104 או משפחת תמונות sles-12
    • ‫sles-11-sp4-v20180104 או משפחת קובצי אימג' sles-11
  • פרויקט suse-sap-cloud: מידע על תיקונים של SUSE
    • ‫sles-12-sp3-sap-v20180104 או משפחת קובצי אימג' sles-12-sp3-sap
    • ‫sles-12-sp2-sap-v20180104 או משפחת קובצי אימג' sles-12-sp2-sap
  • פרויקט ubuntu-os-cloud: מידע על תיקונים ב-Ubuntu
    • ‫ubuntu-1710-artful-v20180109 או משפחת קובצי אימג' ubuntu-1710
    • ‫ubuntu-1604-xenial-v20180109 או משפחת קובצי אימג' ubuntu-1604-lts
    • ‫ubuntu-1404-trusty-v20180110 או משפחת קובצי אימג' ubuntu-1404-lts
  • פרויקטים windows-cloud ו-windows-sql-cloud:
    • כל התמונות הציבוריות של Windows Server ו-SQL Server מגרסה -v20180109 ואילך כוללות תיקונים. עם זאת, עליכם לפעול לפי הפעולות המומלצות שסופקו על ידי Microsoft בעלון התמיכה Windows Server guidance, כדי להפעיל ולאמת את אמצעי ההפחתה האלה גם במכונות הקיימות וגם במכונות החדשות שנוצרו.

משתמשים בתמונות האלה כדי ליצור מחדש את המכונות הווירטואליות. גרסאות קודמות של קובצי האימג' הציבוריים האלה לא מכילות את התיקונים האלה ולא מפחיתות את הסיכון להתקפות פוטנציאליות.

תיקונים מספקי חומרה

‫NVIDIA מספקת מנהלי התקנים מתוקנים כדי לצמצם את ההתקפות הפוטנציאליות על מערכות שמותקנת בהן תוכנת מנהל ההתקנים של ®NVIDIA. כדי לדעת אילו גרסאות של מנהלי התקנים תוקנו, קראו את עדכון האבטחה הדחוף NVIDIA GPU Display Driver Security Updates של NVIDIA.

היסטוריית הגרסאות:

  • ‫21 במאי 2018, 14:00 (שעון החוף המערבי): הוספנו מידע על 2 וריאציות חדשות שנחשפו ב-21 במאי 2018.
  • ‫10.1.2018, 15:00 (שעון החוף המערבי): הוספת מידע על קובצי אימג' ציבוריים של Windows Server ו-SQL Server שתוקנו.
  • ‫10.1.2018, 10:15 (שעון החוף המערבי): הוספנו כמה קובצי אימג' של Ubuntu לרשימת קובצי האימג' הציבוריים שתוקנו.
  • ‫2018-01-10 T 09:50 PST: הוספנו הנחיות לתיקונים מספקי חומרה.
  • ‫3.1.2018 עד 9.1.2018: בוצעו כמה תיקונים ברשימת התמונות הציבוריות שתוקנו.
 גבוהה

תאריך הפרסום: 2.10.2017

תיאור רמת סיכון הערות

‫Dnsmasq מספק פונקציונליות להצגת DNS,‏ DHCP, פרסומות בנתב והפעלה ברשת. התוכנה הזו מותקנת בדרך כלל במערכות שונות, כמו הפצות Linux למחשבים (כמו Ubuntu), נתבים ביתיים ומכשירי IoT. ‫Dnsmasq נמצא בשימוש נרחב גם באינטרנט הפתוח וגם באופן פנימי ברשתות פרטיות.

‫Google גילתה שבע בעיות שונות במהלך הערכות האבטחה הפנימיות הרגילות שלנו. אחרי שקבענו את חומרת הבעיות האלה, חקרנו את ההשפעה שלהן ואת האפשרות לנצל אותן, ואז יצרנו הוכחות היתכנות פנימיות לכל אחת מהן. בנוסף, עבדנו עם מנהל התחזוקה של Dnsmasq, סיימון קלי, כדי ליצור תיקונים מתאימים ולצמצם את הבעיה.

במהלך הבדיקה, הצוות מצא שלוש פרצות פוטנציאליות להרצת קוד מרחוק, דליפת מידע אחת ושלוש פרצות של התקפת מניעת שירות (DoS) שמשפיעות על הגרסה העדכנית בשרת ה-Git של הפרויקט, נכון ל-5 בספטמבר 2017.

התיקונים האלה מועברים במעלה הזרם ומועברים אל מאגר Git של הפרויקט.

ההשפעה על Compute Engine

כברירת מחדל, Dnsmasq מותקן רק בתמונות שמשתמשות ב-NetworkManager והוא לא פעיל כברירת מחדל. ‫Dnsmasq מותקן בתמונות הציבוריות הבאות של Compute Engine:

  • ‫Ubuntu 16.04, ‏ 16.10, ‏ 17.04
  • CentOS 7
  • RHEL 7

עם זאת, יכול להיות שבתמונות אחרות Dnsmasq מותקן כתלות של חבילות אחרות. מומלץ לעדכן את המכונות של Debian,‏ Ubuntu,‏ CentOS,‏ RHEL,‏ SLES ו-OpenSuse כדי להשתמש בתמונת מערכת ההפעלה העדכנית ביותר. מערכות ההפעלה CoreOS ו-Container-Optimized OS לא מושפעות. גם קובצי אימג' של Windows לא מושפעים.

במכונות שבהן פועלות מערכות ההפעלה Debian ו-Ubuntu, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

sudo apt-get -y update
 
sudo apt-get -y dist-upgrade

במכונות של Red Hat Enterprise Linux ו-CentOS, מריצים את הפקודה:

sudo yum -y upgrade

בתמונות של SLES ו-OpenSUSE, מריצים את הפקודה:

sudo zypper up

במקום להריץ את פקודות העדכון הידני, אתם יכולים ליצור מחדש מכונות וירטואליות באמצעות משפחות התמונות של מערכת ההפעלה הרלוונטית.

 גבוהה

תאריך הפרסום: 26.10.2016

תיאור רמת סיכון הערות

‫CVE-2016-5195 הוא מרוץ תהליכים באופן שבו תת-המערכת של הזיכרון בליבת Linux טיפלה בהפרה של מצב ה-COW של מיפויים פרטיים לקריאה בלבד בגישת כתיבה.

משתמש מקומי לא מורשה יכול להשתמש בפגם הזה כדי לקבל גישת כתיבה למיפויים של זיכרון לקריאה בלבד, וכך להגדיל את ההרשאות שלו במערכת.

מידע נוסף מפורט בשאלות הנפוצות על Dirty COW.

ההשפעה על Compute Engine

כל ההפצות והגרסאות של Linux ב-Compute Engine מושפעות. ברוב המכונות, הורדה והתקנה של ליבה חדשה יותר מתבצעות באופן אוטומטי. עם זאת, צריך להפעיל מחדש כדי לתקן את המערכת שפועלת.

במכונות חדשות או שנוצרו מחדש על סמך קובצי האימג' הבאים של Compute Engine, כבר מותקנות ליבות עם תיקונים.

  • centos-6-v20161026
  • centos-7-v20161025
  • coreos-alpha-1192-2-0-v20161021
  • coreos-beta-1185-2-0-v20161021
  • coreos-stable-1122-3-0-v20161021
  • debian-8-jessie-v20161020
  • rhel-6-v20161026
  • rhel-7-v20161024
  • sles-11-sp4-v20161021
  • sles-12-sp1-v20161021
  • ubuntu-1204-precise-v20161020
  • ubuntu-1404-trusty-v20161020
  • ubuntu-1604-xenial-v20161020
  • ubuntu-1610-yakkety-v20161020
 גבוהה CVE-2016-5195

תאריך הפרסום: 16.2.2016

עדכון אחרון: 22.02.2016

תיאור רמת סיכון הערות

‫CVE-2015-7547 היא נקודת חולשה שבה המפענח בצד הלקוח של glibc DNS הופך את התוכנה לפגיעה לגלישת מאגר נתונים זמני (buffer overflow) שמבוססת על מחסנית, כשמשתמשים בפונקציית הספרייה getaddrinfo(). תוקף יכול לנצל את התוכנה באמצעות הפונקציה כדי לנצל את נקודת החולשה הזו עם שמות דומיינים בשליטת התוקף, שרתי DNS בשליטת התוקף או באמצעות התקפת אדם בתווך.

לפרטים נוספים, אפשר לקרוא את הפוסט בבלוג האבטחה של Google או לעיין במסד הנתונים של חשיפות ונקודות חולשה נפוצות (CVE).

ההשפעה על Compute Engine

עדכון (22.2.2016):

עכשיו אפשר ליצור מחדש את המכונות באמצעות קובצי האימג' הבאים של CoreOS,‏ SLES ו-OpenSUSE:

  • coreos-alpha-962-0-0-v20160218
  • coreos-beta-899-7-0-v20160218
  • coreos-stable-835-13-0-v20160218
  • opensuse-13-2-v20160222
  • opensuse-leap-42-1-v20160222
  • sles-11-sp4-v20160222
  • sles-12-sp1-v20160222

עדכון (17.2.2016):

עכשיו אפשר לעדכן את המכונות של Ubuntu 12.04 LTS,‏ Ubuntu 14.04 LTS ו-Ubuntu 15.10 באמצעות הפקודות הבאות:

  1. user@my-instance:~$ sudo apt-get -y update
  2. user@my-instance:~$ sudo apt-get -y dist-upgrade
  3. user@my-instance:~$ sudo reboot

במקום להריץ את פקודות העדכון הידני, עכשיו אפשר ליצור מחדש את המכונות באמצעות קובצי האימג' החדשים הבאים:

  • backports-debian-7-wheezy-v20160216
  • centos-6-v20160216
  • centos-7-v20160216
  • debian-7-wheezy-v20160216
  • debian-8-jessie-v20160216
  • rhel-6-v20160216
  • rhel-7-v20160216
  • ubuntu-1204-precise-v20160217a
  • ubuntu-1404-trusty-v20160217a
  • ubuntu-1510-wily-v20160217

אנחנו לא מכירים שיטות שאפשר לנצל באמצעותן את נקודת החולשה הזו דרך מפענחי ה-DNS של Compute Engine, עם הגדרת ברירת המחדל של glibc. מומלץ לתקן את המכונות הווירטואליות בהקדם האפשרי, כי כמו בכל נקודת חולשה חדשה, עם הזמן עלולות להתגלות שיטות ניצול חדשות. אם הפעלתם את edns0 (מושבת כברירת מחדל), אתם צריכים להשבית אותו עד שהמכונות שלכם יעודכנו.

הודעה מקורית:

יכול להיות שהפצת Linux שלכם חשופה לפריצה. לקוחות Compute Engine שמריצים מערכת הפעלה של Linux צריכים לעדכן את קובצי האימג' של מערכת ההפעלה במכונות שלהם כדי לבטל את נקודת החולשה הזו.

במכונות שבהן פועלת מערכת Debian, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

  1. user@my-instance:~$ sudo apt-get -y update
  2. user@my-instance:~$ sudo apt-get -y dist-upgrade
  3. user@my-instance:~$ sudo reboot

אנחנו ממליצים גם להתקין את UnattendedUpgrades במכונות של Debian.

במכונות של Red Hat Enterprise Linux:

  • user@my-instance:~$ sudo yum -y upgrade
  • user@my-instance:~$ sudo reboot

נמשיך לעדכן את המאמר הזה כשמנהלי מערכות הפעלה אחרות יפרסמו תיקונים לפגיעוּת הזו, וכש-Compute Engine יפיץ קובצי אימג' מעודכנים של מערכת ההפעלה.

 גבוהה CVE-2015-7547

תאריך הפרסום: 19.3.2015

תיאור רמת סיכון הערות

‫CVE-2015-1427 היא נקודת חולשה שבה מנוע הסקריפטים של Groovy ב-Elasticsearch, לפני גרסה 1.3.8 וכל גרסאות 1.4.x לפני 1.4.3, מאפשר לתוקפים מרוחקים לעקוף את מנגנון ההגנה של ארגז החול ולהריץ פקודות מעטפת שרירותיות.

לפרטים נוספים, אפשר לעיין ב-National Vulnerability Database (NVD)‎ או במסד הנתונים Common Vulnerabilities and Exposures (CVE)‎.

ההשפעה על Compute Engine

אם אתם מריצים את Elasticsearch במכונות של Compute Engine, אתם צריכים לשדרג את גרסת Elasticsearch ל-1.4.3 ואילך. אם כבר שדרגתם את תוכנת Elasticsearch, אתם מוגנים מפני נקודת החולשה הזו.

אם לא שדרגתם את Elasticsearch לגרסה 1.4.3 ואילך, תוכלו לבצע שדרוג הדרגתי.

אם פרסתם את Elasticsearch באמצעות פריסה בקליק ב- Google Cloud console, תוכלו למחוק את הפריסה כדי להסיר מכונות שמריצות את Elasticsearch.

הצוות של Google Cloud פועל לתיקון הבעיה כדי לפרוס גרסה מעודכנת של Elasticsearch. עם זאת, התיקון עדיין לא זמין לתכונה פריסה בקליק ב- Google Cloud console.

 גבוהה CVE-2015-1427

תאריך הפרסום: 29.1.2015

תיאור רמת סיכון הערות

‫CVE-2015-0235 (Ghost) היא נקודת חולשה בספריית glibc.

לקוחות של App Engine,‏ Cloud Storage,‏ BigQuery ו-Cloud SQL לא צריכים לעשות שום דבר. השרתים של Google עודכנו והם מוגנים מפני נקודת החולשה הזו.

יכול להיות שלקוחות של Compute Engine יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה שלהם.

ההשפעה על Compute Engine

יכול להיות שהפצת Linux שלכם פגיעה. לקוחות Compute Engine יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה במכונות שלהם כדי לבטל את נקודת החולשה הזו, אם הם מריצים את Debian 7, ‏ Debian 7 backports, ‏ Ubuntu 12.04 LTS, ‏ Red Hat Enterprise Linux, ‏ CentOS או SUSE Linux Enterprise Server 11 SP3.

נקודת החולשה הזו לא משפיעה על Ubuntu 14.04 LTS,‏ Ubuntu 14.10 או SUSE Linux Enterprise Server 12.

מומלץ לשדרג את הפצות Linux. במכונות שבהן פועלות הגרסאות Debian 7,‏ Debian 7 backports או Ubuntu 12.04 LTS, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

  1. user@my-instance:~$ sudo apt-get update
  2. user@my-instance:~$ sudo apt-get -y upgrade
  3. user@my-instance:~$ sudo reboot

במכונות של Red Hat Enterprise Linux או CentOS:

  1. user@my-instance:~$ sudo yum -y upgrade
  2. user@my-instance:~$ sudo reboot

במכונות של SUSE Linux Enterprise Server 11 SP3:

  1. user@my-instance:~$ sudo zypper --non-interactive up
  2. user@my-instance:~$ sudo reboot

במקום להריץ את פקודות העדכון הידני שלמעלה, המשתמשים יכולים עכשיו ליצור מחדש את המכונות שלהם באמצעות קובצי האימג' החדשים הבאים:

  • debian-7-wheezy-v20150127
  • backports-debian-7-wheezy-v20150127
  • centos-6-v20150127
  • centos-7-v20150127
  • rhel-6-v20150127
  • rhel-7-v20150127
  • sles-11-sp3-v20150127
  • ubuntu-1204-precise-v20150127

ההשפעה על מכונות וירטואליות שמנוהלות על ידי Google

משתמשים במכונות וירטואליות מנוהלות שמשתמשים ב-gcloud preview app deploy צריכים לעדכן את מאגרי Docker הבסיסיים שלהם באמצעות gcloud preview app setup-managed-vms ולפרוס מחדש כל אחת מהאפליקציות הפועלות שלהם באמצעות gcloud preview app deploy. משתמשים שפורסים באמצעות appcfg לא צריכים לעשות שום דבר, והם ישודרגו באופן אוטומטי.

 גבוהה CVE-2015-0235

תאריך הפרסום: 15.10.2014

עדכון אחרון: 17.10.2014

תיאור רמת סיכון הערות

‫CVE-2014-3566 (המכונה גם POODLE) היא נקודת חולשה בעיצוב של SSL גרסה 3.0. נקודת החולשה הזו מאפשרת לתוקף ברשת לחשב את הטקסט הפשוט של חיבורים מאובטחים. פרטים נוספים על נקודת החולשה זמינים בפוסט שלנו בבלוג.

לקוחות של App Engine,‏ Cloud Storage,‏ BigQuery ו-Cloud SQL לא צריכים לעשות שום דבר. השרתים של Google עודכנו והם מוגנים מפני נקודת החולשה הזו. לקוחות של Compute Engine צריכים לעדכן את קובצי האימג' של מערכת ההפעלה.

ההשפעה על Compute Engine

עדכון (17 באוקטובר 2014):

אם אתם משתמשים ב-SSLv3, יכול להיות שאתם חשופים לפגיעה. לקוחות Compute Engine יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה במכונות שלהם כדי לבטל את נקודת החולשה הזו.

מומלץ לשדרג את הפצות Linux. במכונות שבהן פועלת מערכת ההפעלה Debian, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

במכונות CentOS:

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

במקום להריץ את פקודות העדכון הידניות שלמעלה, המשתמשים יכולים עכשיו ליצור מחדש את המכונות שלהם באמצעות קובצי האימג' החדשים הבאים:

  • centos-6-v20141016
  • centos-7-v20141016
  • debian-7-wheezy-v20141017
  • backports-debian-7-wheezy-v20141017

נעדכן את ההודעה לגבי קובצי אימג' של RHEL ו-SLES אחרי שיהיו לנו את קובצי האימג'. בינתיים, משתמשי RHEL יכולים לפנות ישירות ל-Red Hat כדי לקבל מידע נוסף.

הודעה מקורית:

לקוחות Compute Engine יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה במכונות שלהם כדי לבטל את נקודת החולשה הזו. אנחנו נעדכן את עדכון האבטחה הדחוף הזה עם הוראות ברגע שיהיו זמינים קובצי אימג' חדשים של מערכת ההפעלה.

בינוני CVE-2014-3566

תאריך הפרסום: 24.9.2014

עדכון אחרון: 29.09.2014

תיאור רמת סיכון הערות

יש באג ב-bash‏ (CVE-2014-6271) שמאפשר הרצת קוד מרחוק על סמך ניתוח של משתני סביבה שנשלטים על ידי התוקף. הווקטור הסביר ביותר לניצול לרעה הוא שימוש בבקשות HTTP זדוניות שנשלחות לסקריפטים של CGI שנחשפים בשרת אינטרנט. מידע נוסף זמין בתיאור הבאג.

הבאגים של Bash טופלו במוצרי Google Cloud , חוץ מתמונות של מערכת ההפעלה של האורח ב-Compute Engine שנוצרו לפני 26 בספטמבר 2014. בהמשך מפורטים השלבים לתיקון הבאגים בתמונות של Compute Engine.

ההשפעה על Compute Engine

הבאג הזה עלול להשפיע כמעט על כל האתרים שמשתמשים בסקריפטים של CGI. בנוסף, היא כנראה תשפיע על אתרים שמסתמכים על PHP,‏ Perl,‏ Python,‏ SSI,‏ Java,‏ C++‎ ויישומוני שרת דומים שיפעילו אי פעם פקודות מעטפת באמצעות קריאות כמו popen,‏ system, shell_exec או ממשקי API דומים. היא גם יכולה להשפיע על מערכות שמנסות לאפשר גישה מבוקרת להתחברות למשתמשים מוגבלים באמצעות מנגנונים כמו הגבלת פקודות SSH או מעטפת מוגבלת של bash.

עדכון (29 בספטמבר 2014):

במקום להריץ את פקודות העדכון הידניות שבהמשך, המשתמשים יכולים עכשיו ליצור מחדש את המכונות שלהם עם קובצי אימג' שמצמצמים נקודות חולשה נוספות שקשורות לבאג האבטחה של bash, כולל CVE-2014-7169,‏ CVE-2014-6277,‏ CVE-2014-6278,‏ CVE-2014-7186 ו-CVE-2014-7187. כדי ליצור מחדש את המכונות, צריך להשתמש בתמונות החדשות הבאות:

  • centos-6-v20140926
  • centos-7-v20140926
  • debian-7-wheezy-v20140926
  • backports-debian-7-wheezy-v20140926
  • rhel-6-v20140926

עדכון (25 בספטמבר 2014):

עכשיו המשתמשים יכולים לבחור ליצור מחדש את המכונות שלהם במקום לבצע עדכון ידני. כדי ליצור מחדש את המכונות, צריך להשתמש בתמונות החדשות הבאות שמכילות תיקונים לבאג האבטחה הזה:

  • backports-debian-7-wheezy-v20140924
  • debian-7-wheezy-v20140924
  • rhel-6-v20140924
  • centos-6-v20140924
  • centos-7-v20140924

בתמונות של RHEL ו-SUSE, אפשר גם לבצע עדכונים באופן ידני על ידי הרצת הפקודות הבאות במכונות:

# RHEL instances
user@my-instance:~$ sudo yum -y upgrade

# SUSE instances
user@my-instance:~$ sudo zypper --non-interactive up

הודעה מקורית:

מומלץ לשדרג את הפצות Linux. במכונות שבהן פועלת מערכת ההפעלה Debian, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade

במכונות CentOS:

user@my-instance:~$ sudo yum -y upgrade

למידע מפורט, קראו את ההודעה של הפצת Linux הרלוונטית:

 גבוהה CVE-2014-7169, CVE-2014-6271, CVE-2014-6277, CVE-2014-6278 CVE-2014-7186, CVE-2014-7187

תאריך הפרסום: 25.07.2014

תיאור רמת סיכון הערות

Elasticsearch Logstash חשוף להזרקת פקודות למערכת ההפעלה, שעלולה לאפשר שינוי וחשיפה של נתונים ללא הרשאה. תוקף יכול לשלוח אירועים מותאמים אישית לכל אחד ממקורות הנתונים של Logstash, וכך להריץ פקודות עם ההרשאות של תהליך Logstash.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל המכונות של Compute Engine שפועלות בהן גרסאות של Elasticsearch Logstash שקודמות ל-1.4.2, עם פלט zabbix או nagios_nsca מופעל. כדי למנוע מתקפה, אתם יכולים:

  • שדרוג ל-Logstash 1.4.2
  • מחילים את התיקון על גרסאות 1.3.x
  • השבתת הפלטים של zabbix ו-nagios_nsca.

מידע נוסף זמין בבלוג של Logstash.

בנוסף, ב-Elasticsearch ממליצים להשתמש בחומת אש כדי למנוע גישה מרחוק מכתובות IP לא מהימנות.

גבוהה CVE-2014-4326

תאריך הפרסום: 18.06.2014

תיאור רמת סיכון הערות

אנחנו רוצים להקדיש כמה רגעים כדי להגיב לחששות אפשריים של לקוחות לגבי האבטחה של קונטיינרים של Docker שפועלים ב- Google Cloud. זה כולל לקוחות שמשתמשים בתוספים של App Engine שתומכים בקונטיינרים של Docker, במכונות וירטואליות שעברו אופטימיזציה לקונטיינרים או במתזמן של Kubernetes בקוד פתוח.

ב-Docker הגיבו לבעיה בצורה מצוינת, ואפשר לראות את התגובה שלהם בבלוג כאן. חשוב לציין שכפי שנאמר בתגובה שלהם, הבעיה שנחשפה רלוונטית רק ל-Docker 0.11, גרסה ישנה יותר, טרום-ייצור.

בזמן שכולם חושבים על אבטחת קונטיינרים, אנחנו רוצים לציין שב- Google Cloud, פתרונות שמבוססים על קונטיינרים של אפליקציות Linux (במיוחד קונטיינרים של Docker) פועלים במכונות וירטואליות מלאות (Compute Engine). אנחנו תומכים במאמצים של קהילת Docker להקשיח את מחסנית הקונטיינרים של אפליקציות Linux, אבל אנחנו מבינים שהטכנולוגיה חדשה ושטח הפנים גדול. אנחנו מאמינים שכרגע, מנהלי Hypervisor מלאים (מכונות וירטואליות) מספקים שטח פנים קומפקטי יותר וקל יותר להגנה. מכונות וירטואליות תוכננו מההתחלה כדי לבודד עומסי עבודה זדוניים ולצמצם את הסבירות לבאגים בקוד ואת ההשפעה שלהם.

הלקוחות שלנו יכולים להיות בטוחים שיש גבול מלא של Hypervisor בינם לבין כל קוד זדוני פוטנציאלי של צד שלישי. אם נגיע למצב שבו נחשוב שמחסנית הקונטיינרים של אפליקציות Linux חזקה מספיק כדי לתמוך בעומסי עבודה של כמה דיירים, נודיע על כך לקהילה. בשלב הזה, הקונטיינר של אפליקציית Linux לא מחליף את המכונה הווירטואלית. זו דרך להפיק ממנו הרבה יותר.

נמוכה פוסט בבלוג של Docker

תאריך הפרסום: 5 ביוני 2014

עדכון אחרון: 09.06.2014

תיאור רמת סיכון הערות

ב-OpenSSL יש בעיה שבה הודעות ChangeCipherSpec לא מקושרות בצורה נכונה למכונת המצבים של לחיצת היד. כך אפשר להזריק אותם בשלב מוקדם של לחיצת היד. תוקף שמשתמש בלחיצת יד שנוצרה בקפידה יכול לאלץ שימוש בחומר מפתחות חלש בלקוחות ובשרתים של OpenSSL SSL/TLS. אפשר לנצל את זה להתקפת אדם בתווך (PITM), שבה התוקף יכול לפענח ולשנות את התנועה מהלקוח ומהשרת שהותקפו.

הבעיה הזו מזוהה בתור CVE-2014-0224. הצוות של OpenSSL תיקן את הבעיה והתריע לקהילת OpenSSL על הצורך לעדכן את OpenSSL.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל המכונות של Compute Engine שמשתמשות ב-OpenSSL, כולל Debian,‏ CentOS,‏ Red Hat Enterprise Linux ו-SUSE Linux Enterprise Server. אפשר לעדכן את המכונות על ידי יצירה מחדש שלהן עם קובצי אימג' חדשים, או על ידי עדכון ידני של החבילות במכונות.

עדכון (9 ביוני 2014): כדי לעדכן את המכונות שמריצות את SUSE Linux Enterprise Server באמצעות קובצי אימג' חדשים, צריך ליצור מחדש את המכונות באמצעות גרסאות קובצי האימג' הבאות או גרסאות חדשות יותר:

  • sles-11-sp3-v20140609

הפוסט המקורי:

כדי לעדכן מכונות של Debian ו-CentOS באמצעות קובצי אימג' חדשים, צריך ליצור מחדש את המכונות באמצעות אחת מגרסאות קובצי האימג' הבאות או גרסה חדשה יותר:

  • debian-7-wheezy-v20140605
  • backports-debian-7-wheezy-v20140605
  • centos-6-v20140605
  • rhel-6-v20140605

כדי לעדכן ידנית את OpenSSL במכונות, מריצים את הפקודות הבאות כדי לעדכן את החבילות המתאימות. במכונות שפועלות בהן מערכות ההפעלה CentOS ו-RHEL, אפשר לעדכן את OpenSSL על ידי הרצת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo yum -y update
user@my-instance:~$ sudo reboot

במכונות שבהן פועלת מערכת Debian, אפשר לעדכן את OpenSSL על ידי הרצת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

במכונות שבהן פועל SUSE Linux Enterprise Server, אפשר לוודא ש-OpenSSL מעודכן על ידי הפעלת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo zypper --non-interactive up
user@my-instance:~$ sudo reboot
 		בינוני CVE-2014-0224

תאריך הפרסום: 8 באפריל 2014

תיאור רמת סיכון הערות

ההטמעות של (1) TLS ו-(2) DTLS ב-OpenSSL 1.0.1 לפני 1.0.1g לא מטפלות כראוי בחבילות של Heartbeat Extension, מה שמאפשר לתוקפים מרוחקים להשיג מידע רגיש מזיכרון התהליך באמצעות חבילות מותאמות שמפעילות קריאת יתר של מאגר נתונים זמני, כפי שהודגם על ידי קריאת מפתחות פרטיים, שקשורים ל-d1_both.c ול-t1_lib.c, הידועה גם בשם פרצת Heartbleed.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל המכונות של Compute Engine Debian,‏ RHEL ו-CentOS שאין בהן את הגרסה העדכנית ביותר של OpenSSL. אפשר לעדכן את המכונות על ידי יצירה מחדש שלהן עם קובצי אימג' חדשים, או על ידי עדכון ידני של החבילות במכונות.

כדי לעדכן את המכונות באמצעות אימג'ים חדשים, צריך ליצור מחדש את המכונות באמצעות אחת מגרסאות האימג'ים הבאות או גרסה גבוהה יותר:

  • debian-7-wheezy-v20140408
  • backports-debian-7-wheezy-v20140408
  • centos-6-v20140408
  • rhel-6-v20140408

כדי לעדכן ידנית את OpenSSL במכונות, מריצים את הפקודות הבאות כדי לעדכן את החבילות המתאימות. במכונות שבהן פועלות מערכות ההפעלה CentOS ו-RHEL, אפשר לוודא ש-OpenSSL מעודכן על ידי הרצת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo yum update
user@my-instance:~$ sudo reboot

במכונות שבהן פועלת מערכת Debian, אפשר לעדכן את OpenSSL על ידי הרצת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get upgrade
user@my-instance:~$ sudo reboot

מכונות שפועלות ב-SUSE Linux לא מושפעות.

עדכון מ-14 באפריל 2014: לאור מחקר חדש על חילוץ מפתחות באמצעות פרצת Heartbleed, אנחנו ממליצים ללקוחות Compute Engine ליצור מפתחות חדשים לכל שירותי ה-SSL שהושפעו.

בינוני CVE-2014-0160

תאריך הפרסום: 7 ביוני 2013

תיאור רמת סיכון הערות

הערה: נקודת החולשה הזו רלוונטית רק לקרנלים שהוצאו משימוש והוסרו החל מגרסה v1 של ה-API.

נקודת חולשה במחרוזת הפורמט בפונקציה b43_request_firmware ב-drivers/net/wireless/b43/main.c במנהל ההתקן האלחוטי Broadcom B43 בליבת Linux עד גרסה 3.9.4, מאפשרת למשתמשים מקומיים לקבל הרשאות על ידי ניצול גישת root והכללת מפרטי מחרוזת פורמט בפרמטר fwpostfix modprobe, מה שמוביל ליצירה לא תקינה של הודעת שגיאה.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל הליבות של Compute Engine בגרסאות שקודמות ל-gcg-3.3.8-201305291443. בתגובה, הוצאו משימוש ב-Compute Engine כל הליבות הקודמות, ומומלץ למשתמשים לעדכן את המכונות והתמונות שלהם כדי להשתמש בליבה gce-v20130603 של Compute Engine. ‫gce-v20130603 מכיל את הליבה gcg-3.3.8-201305291443, שכוללת את התיקון לנקודת החולשה הזו.

כדי לבדוק באיזו גרסת ליבה המכונה משתמשת:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 בינוני CVE-2013-2852

תאריך הפרסום: 7 ביוני 2013

תיאור רמת סיכון הערות

הערה: נקודת החולשה הזו רלוונטית רק לקרנלים, שהוצאו משימוש והוסרו החל מגרסה v1 של ה-API.

פגיעות של מחרוזת פורמט בפונקציה register_disk ב-block/genhd.c בליבת Linux עד גרסה 3.9.4 מאפשרת למשתמשים מקומיים לקבל הרשאות על ידי מינוף גישת הבסיס (root) וכתיבת מפרטי מחרוזת פורמט אל /sys/module/md_mod/parameters/new_array כדי ליצור שם מכשיר /dev/md מותאם אישית.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל הליבות של Compute Engine בגרסאות שקודמות ל-gcg-3.3.8-201305291443. בתגובה, הוצאו משימוש ב-Compute Engine כל הליבות הקודמות, ומומלץ למשתמשים לעדכן את המכונות והתמונות שלהם כדי להשתמש בליבה gce-v20130603 של Compute Engine. ‫gce-v20130603 מכיל את הליבה gcg-3.3.8-201305291443, שכוללת את התיקון לנקודת החולשה הזו.

כדי לבדוק באיזו גרסת ליבה המכונה משתמשת:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 בינוני CVE-2013-2851

תאריך הפרסום: 14.5.2013

תיאור רמת סיכון הערות

הערה: נקודת החולשה הזו רלוונטית רק לקרנלים שהוצאו משימוש והוסרו החל מגרסה v1 של ה-API.

הפונקציה perf_swevent_init ב-kernel/events/core.c בליבה (kernel) של Linux לפני גרסה 3.8.9 משתמשת בסוג נתונים שגוי של integer, שמאפשר למשתמשים מקומיים לקבל הרשאות באמצעות קריאת מערכת perf_event_open מותאמת אישית.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל הליבות של Compute Engine בגרסאות שקודמות ל-gcg-3.3.8-201305211623. בתגובה, הוצאו משימוש ב-Compute Engine כל הליבות הקודמות, ומומלץ למשתמשים לעדכן את המכונות והתמונות שלהם כדי להשתמש בליבה gce-v20130521 של Compute Engine. ‫gce-v20130521 מכיל את הליבה gcg-3.3.8-201305211623, שכוללת את התיקון לנקודת החולשה הזו.

כדי לבדוק באיזו גרסת ליבה המכונה משתמשת:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 גבוהה CVE-2013-2094

תאריך הפרסום: 18.02.2013

תיאור רמת סיכון הערות

הערה: נקודת החולשה הזו רלוונטית רק לקרנלים שהוצאו משימוש והוסרו החל מגרסה v1 של ה-API.

מרוץ תהליכים בפונקציונליות של ptrace בליבת Linux לפני גרסה 3.7.5 מאפשר למשתמשים מקומיים לקבל הרשאות באמצעות קריאת מערכת PTRACE_SETREGS ptrace באפליקציה שנוצרה למטרה הזו.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על ליבות של Compute Engine בגרסה 2.6.x-gcg-<date>. בתגובה, Compute Engine הוציא משימוש את ליבות 2.6.x וממליץ למשתמשים לעדכן את המכונות והתמונות שלהם כדי להשתמש בליבת Compute Engine gce-v20130225. gce-v20130225 מכיל את הליבה 3.3.8-gcg-201302081521, שכוללת את התיקון לנקודת החולשה הזו.

כדי לבדוק באיזו גרסת ליבה המכונה משתמשת:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 בינוני CVE-2013-0871