עדכוני אבטחה דחופים

מעת לעת, אנחנו מפרסמים עדכוני אבטחה דחופים שקשורים ל-Compute Engine. כאן מתוארים כל עדכוני האבטחה הדחופים של Compute Engine.

רוצים לקבל עדכוני אבטחה דחופים של Compute Engine? תוכלו להירשם לפיד ה-XML הזה. הרשמה

GCP-2026-054

תאריך פרסום: 11 באוגוסט 2026

תיאור

תיאור רמת סיכון הערות

התגלתה נקודת חולשה (CVE-2026-6726, שנקראת גם TCGVRT0010) בקוד ההטמעה של הפניה ל-TPM 2.0 של Trusted Computing Group. נקודת החולשה משפיעה על כל הגרסאות שפורסמו של הקוד (גרסה 1.16, גרסה 1.38, גרסה 1.59, גרסה 1.83, גרסה 184).

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. ‫Google תעדכן באופן יזום את המערכות שלכם במהלך חלונות זמן לתחזוקה רגילים ומתוכננים.

אילו נקודות חולשה טופלו?

הפגיעות, CVE-2026-6726, עלולה לאפשר לתוקף מקומי עם הרשאות מיוחדות להשיג אישורים מרשות אישורים (CA) שמודעת ל-TPM עבור מפתח TPM מזויף, כמו מפתח אימות (AK), מפתח DevID או מפתח אימות TLS. זה יכול לאפשר יצירה של אישורי TPM 2.0 שמקורם בתרמית באמצעות המפתח המזויף.

 גבוהה CVE-2026-6726

GCP-2026-036

תאריך פרסום: 9 ביוני 2026

תיאור

תיאור רמת סיכון הערות

חברת ARM הודיעה על CVE-2025-10263, בעיה ארכיטקטונית שמשפיעה על חלק מליבות Arm ומאפשרת לתוקף לעקוף שלבי תרגום או הגנות GPT בתנאים מסוימים. הפרצה הזו מאפשרת לתוקף ברמת חריגה נמוכה יותר לכתוב בזיכרון שבבעלות רמת חריגה גבוהה יותר, וכך להעלות את ההרשאות. הבעיה הזו לא משפיעה על קריאות מהזיכרון.

למרות ש-Google אבטחה את התשתית מפני התקפות בין מכונות וירטואליות ומפני התקפות של מכונות וירטואליות על Hypervisor, אתם צריכים לקבל תיקונים ברמת מערכת ההפעלה של האורח מספקי מערכת ההפעלה שלכם. העדכונים האלה חיוניים להגנה מפני איומים בסביבת האורח, כמו מתקפות מתהליך לתהליך או מתהליך לליבת המערכת.

אנחנו עובדים על פתרונות למערכת ההפעלה שמותאמת לקונטיינרים, ונוסיף אותם להערות המוצר של COS כשהם יהיו מוכנים.

מה לעשות?

הפגיעות הזו משפיעה על כמה משפחות של ליבות Arm שמשמשות ב- Google Cloud, כולל Neoverse V1,‏ V2 ו-N1, ומשפיעה על C4A,‏ T2A,‏ A4X ו-A4X Max. אם אתם מריצים עומסי עבודה במכונות מושפעות שמבוססות על Arm, אתם צריכים לשדרג את קובצי האימג' של מערכת ההפעלה של האורח לגרסאות הבטוחות כשהן יהיו זמינות.

כדי לתקן את מערכת ההפעלה של המכונה הווירטואלית, צריך לפנות לספקי ההפצה לגבי CVE-2025-10263.

 גבוהה CVE-2025-10263

GCP-2026-032

תאריך פרסום: 12 במאי 2026

תיאור

תיאור רמת סיכון הערות

חברת AMD זיהתה פרצת אבטחה ברמת החומרה במעבדים עם מיקרו-ארכיטקטורה Zen 2 (כולל סדרות EPYC ו-Ryzen), שכוללת פוטנציאל לפגיעה במטמון של מיקרו-פעולות (OP). בתנאים מסוימים, הבעיה הזו (AMD-SN-7052 / CVE-2025-54518) עלולה לגרום לעקיפת גבולות האבטחה או לגישה לא מורשית לנתונים.
פרסנו תיקונים בתשתית של Google כדי לצמצם את הבעיות האלה.

 גבוהה CVE-2025-54518

GCP-2026-031

תאריך פרסום: 12 במאי 2026

תיאור

תיאור רמת סיכון הערות

חוקרים גילו נקודת חולשה בקושחה של AMD. בגלל היעדר הגנה, מנהל מכונות וירטואליות (hypervisor) זדוני יכול להריץ קוד שרירותי ב-AMD Secure Processor ‏(ASP). הפגיעות הזו מאפשרת להסלים את הרשאות הקריאה והכתיבה של Memory Mapped I/O ‏ (MMIO), מה שפוגע בסודיות ובתקינות של אורחי SEV-SNP. ‫Google השביתה זמנית את אותות האכיפה שמונעים את הבעיות האלה.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כבר יישמנו את ההפחתות במכונות של Confidential VM עם AMD SEV-SNP.

אילו נקודות חולשה טופלו?

למידע נוסף, קראו את הייעוץ של AMD בנושא AMD-SB-3030.

 בינוני

GCP-2026-021

תאריך פרסום: 14 באפריל 2026

תיאור

תיאור רמת סיכון הערות

חברת AMD דיווחה על נקודת חולשה בקושחה שלה, שעלולה לאפשר ל-hypervisor זדוני להורות ל-IOMMU לכתוב בזיכרון האורח של מכונות שמופעל בהן AMD SEV-SNP, ולפגוע בתקינות הנתונים של האורח. ‫Google השיקה פתרון זמני למכונות וירטואליות סודיות פגיעות שמופעל בהן AMD SEV-SNP.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. ההפחתה כבר הוחלה על מכונות של Confidential VM שבהן מופעל AMD SEV-SNP.

מידע נוסף זמין בהודעה של AMD‏ AMD-SB-3016.

בינוני

CVE-2023-20585

GCP-2026-019

תאריך פרסום: 14 באפריל 2026

תיאור

תיאור רמת סיכון הערות

חוקרים גילו נקודת חולשה בקושחה של AMD שמאפשרת ל-hypervisor זדוני לשנות את הגדרות ה-BIOS ואת הגדרות הניתוב של קלט/פלט ממופה-זיכרון (MMIO), וכך לפגוע בסודיות ובתקינות של מכונות וירטואליות חסויות עם אורחי AMD SEV-SNP.

‫Google יישמה את הפתרון שמונע את הבעיה הזו.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כבר יישמנו אמצעי הגנה במכונות של Confidential VM עם AMD SEV-SNP.

אילו נקודות חולשה טופלו?

למידע נוסף, קראו את הייעוץ של AMD בנושא AMD-SB-3034.

 בינוני CVE-2025-54510

GCP-2026-015

תאריך פרסום: 27 במרץ 2026

תיאור

תיאור רמת סיכון הערות

התגלתה נקודת חולשה בליבה של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים.

מה לעשות?

מומלץ לשדרג את הצומת של מערכת ההפעלה שמותאמת לקונטיינרים (COS) לגרסה cos-125-19216-220-57, שכוללת תיקון לנקודת החולשה הזו. הוראות לשדרוג מופיעות במאמרים הבאים:

  • אם אתם מנהלים ישירות את המכונות הווירטואליות של מערכת ההפעלה שמותאמת לקונטיינרים, אתם צריכים ליצור מחדש את המכונות הווירטואליות באמצעות קובצי האימג' המעודכנים. מידע נוסף זמין במאמר יצירת מכונה וירטואלית מתמונה ציבורית.
  • אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים דרך שירות מנוהל (כמו GKE,‏ Dataflow או Cloud SQL), עיינו בהוראות השדרוג הספציפיות לאותו שירות.

הערה: אנחנו עובדים על תיקונים לגרסאות 117 ו-121 של מערכת ההפעלה שמותאמת לקונטיינרים.

אילו נקודות חולשה טופלו?

נקודת החולשה CrackArmor ב-AppArmor,‏ CVE-2026-23268, מאפשרת למשתמשים לא מורשים לעקוף את אמצעי ההגנה של הליבה, להסלים הרשאות ל-root ולפרוץ את הבידוד של קונטיינרים מקומיים.

 גבוהה CVE-2026-23268

GCP-2026-004

תאריך פרסום: 14 בינואר 2026

תיאור

תיאור רמת סיכון הערות

ההוראה CPP RCTX במעבדי Arm נבחרים יכולה לשמש תוקף עם גישת הרשאה לליבת האורח כדי למנוע את ההשפעה של ביטולי TLB. כך התוקף יכול לקרוא מידע אישי רגיש שאין לו הרשאה לגשת אליו.

נקודת החולשה משפיעה על מכונות וירטואליות של Compute Engine Arm: ‏ C4A, ‏ A4X.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. הפתרונות כבר הוחלו על Fleet השרתים של Google Cloud Arm.

אילו נקודות חולשה טופלו?

מידע נוסף זמין במאמר CVE-2025-0647.

 בינוני CVE-2025-0647

GCP-2025-058

תאריך פרסום: 20 באוקטובר 2025

תיאור

תיאור רמת סיכון הערות

התגלתה נקודת חולשה בהוראה RDSEED במעבדי AMD Zen 5 (טורינו). ההוראה הזו משמשת ליצירת מספרים אקראיים קריפטוגרפיים. בתנאי עומס מסוימים במערכת, גרסאות 16 ו-32 ביט של RDSEED עלולות להיכשל בלי להציג הודעה, מה שעלול לפגוע באפליקציות שמסתמכות על יצירת מספרים אקראיים. השינוי לא משפיע על לקוחות שמשתמשים בגרסת 64 ביט של RDSEED.

מה לעשות?

חברת AMD בודקת את נקודת החולשה.

חשוב לציין שליבת Linux ב-64 ביט משתמשת בגרסה בטוחה של הוראת RDSEED ב-64 ביט, והיא מספקת את המספרים האקראיים שהתקבלו מ-/dev/[u]random. המספרים האקראיים האלה לא מושפעים מנקודת החולשה הזו.

אם יש לכם קוד אפליקציה שיוצר מספרים אקראיים בעצמו באמצעות ההוראה RDSEED, חשוב לדעת שגרסאות 16 ביט ו-32 ביט של ההוראה לא מאובטחות. גרסת 64 הביטים של ההוראה בטוחה.

אילו נקודות חולשה טופלו?

נקודת החולשה הזו מאפשרת לתוקפים לגרום לכשל שקט ב-RDSEED, שעלול לפגוע ביצירת מספרים אקראיים באפליקציות.

גבוהה CVE-2025-62626

GCP-2025-044

תאריך פרסום: 12 באוגוסט 2025

תיאור

תיאור רמת סיכון הערות

‫Intel הודיעה ל-Google על שתי נקודות חולשה חדשות באבטחה.

‫CVE-2025-21090: נקודת החולשה הזו משפיעה על המעבדים הבאים של Intel:

  • ‫Sapphire Rapids: משפחות של מכונות וירטואליות מסוג C3, ‏ Z3, ‏ H3, ‏ A3, ‏ v5p
  • ‫Emerald Rapids: סדרות המכונות הווירטואליות N4, ‏ C4, ‏ M4, ‏ A3 Ultra, ‏ A4
  • ‫Granite Rapids: משפחת מכונות וירטואליות N4, ‏ C4

‫CVE-2025-22840: נקודת החולשה הזו משפיעה על המעבד הבא של Intel:

  • ‫Granite Rapids: משפחת המכונות הווירטואליות N4, C4

מה לעשות?

לא נדרשת פעולה מצד הלקוחות לגבי אף אחת מנקודות החולשה. ‫Google תעדכן את המערכות שלכם באופן יזום במהלך חלונות זמן לתחזוקה רגילים ומתוכננים. בשלב הזה, לא נמצאו ראיות לניצול נקודת החולשה, ולא דווח על כך ל-Google.

אילו נקודות חולשה טופלו?

נקודת החולשה, CVE-2025-21090, מאפשרת לגורם לא מורשה שמנצל את הוראת המעבד AMX, בשילוב עם הוראת המעבד AVX, להשבית את המכונה המארחת.

נקודת החולשה, CVE-2025-22840, מאפשרת לגורם לא מורשה להשתמש בהוראת prefetchit של המעבד (CPU) כדי לטעון תוכן מהזיכרון שאין לו גישה אליו, מה שעלול להוביל להרצת קוד מרחוק.

 בינוני

GCP-2025-042

תאריך פרסום: 11 באוגוסט 2025

תיאור

תיאור רמת סיכון הערות

חוקרים גילו פרצת אבטחה במעבדים ספציפיים של Intel, כולל מעבדים שמבוססים על המיקרו-ארכיטקטורות Skylake,‏ Broadwell ו-Haswell. נקודת החולשה הזו מאפשרת לתוקף לקרוא נתונים רגישים ישירות ממטמון L1 של המעבד, שאין לו הרשאה לגשת אליו.

נקודת החולשה הזו נחשפה לראשונה ב-CVE-2018-3646 בשנת 2018. כשגילינו את נקודת החולשה הזו, Google יישמה באופן מיידי אמצעי הגנה שטיפלו בסיכונים הידועים. הודעה לגבי נקודת החולשה והתיקונים הראשוניים פורסמה באותו זמן. מאז אנחנו חוקרים את הסיכון השיורי ועובדים עם קהילת Linux כדי לטפל בסיכון הזה.

לאחרונה עבדנו עם חוקרי אבטחה מאקדמיה כדי להעריך את מצב האומנות של אמצעי ההגנה על מעבדים, וטכניקות תקיפה פוטנציאליות שלא נלקחו בחשבון בשנת 2018.

כדי לצמצם את הבעיה, Google הפעילה תיקונים בנכסים המושפעים, כולל Google Cloud.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. הפתרונות כבר הוחלו על Fleet השרתים של Google.

אילו נקודות חולשה טופלו?

למידע נוסף, קראו את הייעוץ של Intel‏ INTEL-SA-00161 ואת CVE-2018-3646.

 גבוהה CVE-2018-3646

GCP-2025-031

תאריך פרסום: 10 ביוני 2025

תיאור

תיאור רמת סיכון הערות

‫Trusted Computing Group (TCG) דיווחה על נקודת חולשה בתוכנה של מודול פלטפורמה מהימנה (TPM), שמשפיעה על מכונות וירטואליות מוגנות שמשתמשות ב-TPM וירטואלי (vTPM). הפגיעות הזו מאפשרת לתוקף מקומי מאומת לקרוא נתונים רגישים של vTPM או להשפיע על הזמינות של vTPM.

הגישה ל-vTPM היא בדרך כלל גישה שמצריכה הרשאות. עם זאת, יכול להיות שחלק מההגדרות יאפשרו גישה רחבה יותר ל-vTPM.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. ‫Google תעדכן את המערכות שלכם באופן יזום במהלך חלונות הזמן לתחזוקה שנקבעו מראש. עם זאת, אתם יכולים להגביל את הגישה ל-vTPM למשתמשים עם הרשאות אדמין (root), וכך להפחית את הסיכון למכונות הווירטואליות המוגנות.

אילו נקודות חולשה טופלו?

נקודת החולשה CVE-2025-2884 מאפשרת לתוקף מקומי עם גישה לממשק vTPM לשלוח פקודות זדוניות. הפקודות האלה מנצלות חוסר התאמה, שקורא זיכרון vTPM מחוץ לתחום (OOB). הפעולה הזו עלולה לחשוף מידע אישי רגיש.

גבוהה CVE-2025-2884

GCP-2025-025

תאריך פרסום: 13 במאי 2025

תיאור

תיאור רמת סיכון הערות

‫Intel הודיעה ל-Google על נקודת חולשה חדשה בערוץ צדדי שמשפיעה על המעבדים הבאים של Intel‏: CascadeLake, ‏ Ice Lake XeonSP,‏ Ice Lake XeonD, ‏ Sapphire Rapids ו-Emerald Rapids.

‫Google יישמה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. בשלב הזה, לא נמצאו ראיות לניצול נקודת החולשה, ולא דווח על כך ל-Google.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. כדי להגן על הלקוחות, כבר יישמנו תיקונים ב-Fleet השרתים של Google.

אילו נקודות חולשה טופלו?

‫CVE-2024-45332. מידע נוסף זמין בהודעת הייעוץ INTEL-SA-01247 של Intel.

אנחנו פה לשירותך

בכל שאלה או בקשת עזרה, אפשר לפנות אל Cloud Customer Care ולציין את מספר הנושא 417536835.

 גבוהה CVE-2024-45332

GCP-2025-024

תאריך פרסום: 12 במאי 2025

תאריך עדכון: 13 במאי 2025

תיאור

תיאור רמת סיכון הערות

עדכון מה-13 במאי 2025: בכל שאלה או בקשת עזרה, אפשר לפנות לCloud Customer Care ולציין את מספר הבעיה (417458390).

‫Intel הודיעה ל-Google על נקודת חולשה חדשה בביצוע ספקולטיבי שמשפיעה על מעבדי Intel Cascade Lake ו-Intel Ice Lake.

‫Google יישמה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. נכון לעכשיו, לא נמצאו ראיות לניצול ולא דווח על כך ל-Google.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות. התיקונים כבר הוחלו על Fleet השרתים של Google.

אמצעי הגנה נוספים של יצרני ציוד מקורי (OEM) של Intel ושותפים אחרים של מערכות הפעלה יופעלו ברגע שהם יהיו זמינים כדי לצמצם את הסיכון לניצול לרעה של פגיעות מסוג ITS (בחירת יעד עקיפה) באותו מצב.

אחרי שההפחתות של מערכת ההפעלה ייושמו, לקוחות עם מכונות וירטואליות מדור שלישי או חדש יותר שפועלות לאורך זמן עלולים לחוות ירידה לא מכוונת בביצועים.

אילו נקודות חולשה טופלו?

CVE-2024-28956. מידע נוסף זמין בהודעת האבטחה של Intel‏ INTEL-SA-01153.

 גבוהה CVE-2024-28956

GCP-2024-040

תאריך פרסום: 1 ביולי 2024
תאריך עדכון: 20 באוגוסט 2024
תיאור רמת סיכון הערות
תאריך עדכון: 20 באוגוסט 2024 קריטי CVE-2024-6387

‫20 באוגוסט 2024: הוספת תיקונים ליחידות TPU. להחיל עדכונים מהפצות של Linux כשהם זמינים. צריך לעיין בהנחיות של הפצות Linux. אם אתם משתמשים ב-TPU, עליכם לעדכן לאחת מהגרסאות הבאות עם תיקון:

  • tpu-ubuntu2204-base
  • v2-alpha-tpuv5
  • v2-alpha-tpuv5-lite

התגלתה נקודת חולשה (CVE-2024-6387) ב-OpenSSH. ניצול מוצלח של נקודת החולשה הזו מאפשר לתוקף מרוחק לא מאומת להריץ קוד שרירותי כ-root במכונת היעד.

מומלץ לנתח את כל המכונות הווירטואליות ב-Compute Engine שמשתמשות בהפצת Linux מבוססת glibc וש-OpenSSH חשוף בהן, כדי לבדוק אם הן פגיעות.

מה לעשות?

  1. להחיל עדכונים מהפצות של Linux כשהם זמינים. צריך לעיין בהנחיות של הפצות Linux. אם אתם משתמשים במערכת ההפעלה של Google שמותאמת לקונטיינרים, אתם צריכים לעדכן לאחת מהגרסאות הבאות שכוללות תיקון:
    • cos-113-18244-85-49
    • cos-109-17800-218-69
    • cos-105-17412-370-67
    • cos-101-17162-463-55
    אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים דרך שירות מנוהל של Google (למשל GKE), אתם יכולים לבדוק בעדכון האבטחה הדחוף של השירות אם יש תיקון זמין.
  2. אם אי אפשר לעדכן, כדאי להשבית את OpenSSH עד שיהיה אפשר לתקן את הבעיה. רשת ברירת המחדל מאוכלסת מראש בכלל חומת אש של default-allow-ssh כדי לאפשר גישת SSH מהאינטרנט הציבורי. כדי להסיר את הגישה הזו, הלקוחות יכולים:
    1. אם רוצים, יוצרים כללים כדי לאפשר גישת SSH נדרשת מרשתות מהימנות לצומתי GKE או למכונות וירטואליות אחרות של Compute Engine בפרויקט. אחר כך:
    2. משביתים את כלל ברירת המחדל של חומת האש באמצעות הפקודה הבאה: 
      gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT
    אם יצרתם כללי חומת אש אחרים שעשויים לאפשר SSH דרך TCP ביציאה 22, השביתו אותם או הגבילו את כתובות ה-IP של המקור לרשתות מהימנות.

    מוודאים שאי אפשר יותר להתחבר באמצעות SSH למכונות הווירטואליות מהאינטרנט. הגדרת חומת האש הזו מצמצמת את הסיכון שנגרם מנקודת החולשה.
  3. אם צריך להשאיר את OpenSSH מופעל, אפשר גם להריץ עדכון הגדרות שמבטל את התנאי של מצב המירוץ לניצול לרעה. זוהי השבתה זמנית של אותות אכיפה בזמן ריצה. כדי להחיל את השינויים בהגדרות של sshd, הסקריפט הזה יפעיל מחדש את שירות sshd. 
    #!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd
  4. בסיום, חשוב לעקוב אחרי פעילות ברשת חריגה שקשורה לשרתי SSH.
קריטית CVE-2024-6387

GCP-2024-021

תאריך פרסום: 3 באפריל 2024
תיאור רמת סיכון הערות

אין השפעה על Compute Engine מ-CVE-2024-3094, שמשפיע על גרסאות 5.6.0 ו-5.6.1 של חבילת xz-utils בספריית liblzma, ועלול להוביל לפגיעה בכלי OpenSSH.

מה לעשות?

תמונות ציבוריות שנתמכות ומוצעות על ידי Compute Engine לא מושפעות מה-CVE הזה. אם אתם משתמשים בתמונות ציבוריות של Compute Engine למכונות הווירטואליות, אתם לא צריכים לעשות שום דבר.

אתם עלולים להיות בסיכון אם יצרתם תמונה בהתאמה אישית שהשתמשתם בה בגרסאות 5.6.0 ו-5.6.1 של חבילת xz-utils, כמו מערכות ההפעלה הבאות:

כדי לצמצם את הסיכון הזה, צריך להפסיק את כל מכונות ה-VM שמשתמשות במערכות ההפעלה האלה או במערכות הפעלה אחרות שיכלו להשתמש במערכות הפעלה מושפעות. אם יש לכם מכונות וירטואליות שנוצרו מתמונות בהתאמה אישית של מערכות הפעלה אחרות, בדקו עם ספק מערכת ההפעלה אם המכונות הווירטואליות שלכם מושפעות.

אילו נקודות חולשה טופלו?

CVE-2024-3094

 בינוני CVE-2024-3094

GCP-2024-001

תאריך פרסום: 9 בינואר 2024
תיאור רמת סיכון הערות

התגלו כמה נקודות חולשה בקושחה TianoCore EDK II UEFI. הקושחה הזו משמשת במכונות וירטואליות של Google Compute Engine. ניצול של נקודות החולשה האלה עלול לאפשר עקיפה של האתחול המאובטח, וכתוצאה מכך לספק מדידות שגויות בתהליך האתחול המאובטח, כולל כשמשתמשים במכונות וירטואליות מוגנות.

מה לעשות?

לא נדרשת שום פעולה. ‫Google תיקנה את נקודת החולשה הזו ב-Compute Engine, וכל המכונות הווירטואליות מוגנות מפני נקודת החולשה הזו.

אילו נקודות חולשה טופלו במסגרת התיקון הזה?

התיקון טיפל בנקודות החולשה הבאות:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 בינוני

GCP-2023-44

תאריך פרסום: 15 בנובמבר 2023
תיאור רמת סיכון הערות

ב-14 בנובמבר, AMD חשפה כמה נקודות חולשה שמשפיעות על מעבדי שרתים שונים של AMD. באופן ספציפי, נקודות החולשה משפיעות על מעבדי EPYC Server שמשתמשים ב-Zen core מדור 2 (Rome), מדור 3 (Milan) ומדור 4 (Genoa).

‫Google יישמה תיקונים בנכסים שהושפעו, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. נכון לעכשיו, לא נמצאו ראיות לניצול נקודת החולשה, ולא דווח על כך ל-Google.

מה לעשות?

לא נדרשת פעולה מצד הלקוחות.

התיקונים כבר הוחלו על Fleet השרתים של Google ב- Google Cloud, כולל Google Compute Engine.

אילו נקודות חולשה טופלו במסגרת התיקון הזה?

התיקון טיפל בנקודות החולשה הבאות:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

מידע נוסף זמין בהודעת האבטחה של AMD‏ AMD-SN-3005: "AMD INVD Instruction Security Notice", שפורסמה גם כ-CacheWarp, וגם ב-AMD-SN-3002: "AMD Server Vulnerabilities – November 2023".

 בינוני

GCP-2023-004

תאריך פרסום: 26 באפריל 2023
תיאור רמת סיכון הערות

שתי נקודות חולשה (CVE-2023-1017 ו-CVE-2023-1018) התגלו ב-Trusted Platform Module (TPM) 2.0.

נקודות החולשה יכלו לאפשר לתוקף מתוחכם לנצל קריאה/כתיבה של 2 בייטים מחוץ לטווח במכונות וירטואליות מסוימות של Compute Engine.

מה לעשות?

תיקון הוחל באופן אוטומטי על כל המכונות הווירטואליות הפגיעות. לא נדרשת פעולה מצד הלקוחות.

אילו נקודות חולשה טופלו במסגרת התיקון הזה?

התיקון טיפל בנקודות החולשה הבאות:

CVE-2023-1017

ב-CVE-2023-2017, חריגה מגבולות מאגר עלולה להיות מופעלת בשגרת הפענוח של הפרמטר vTPM. תוקף מקומי שפועל במכונה וירטואלית פגיעה יכול להשתמש בזה כדי להפעיל מניעת שירות או אולי להריץ קוד שרירותי בהקשר של vTPM.

CVE-2023-1018

ב-CVE-2023-2018, קריאה מחוץ לתחום הייתה קיימת בשגרת הפענוח של פרמטר vTPM. תוקף מקומי שפועל במכונה וירטואלית פגיעה יכול להשתמש בזה כדי להדליף באופן עקיף נתונים מוגבלים מההקשר של ה-vTPM.

 בינוני

GCP-2021-026

תאריך פרסום: 14 בדצמבר 2021
תיאור רמת סיכון הערות

הכלי Apache Log4j הוא רכיב נפוץ לרישום בקשות. ב-9 בדצמבר 2021 דווח על נקודת חולשה שעלולה לאפשר פריצה למערכת שפועלת עם Apache Log4j בגרסה 2.14.1 או גרסה קודמת, ולאפשר לתוקף להריץ קוד שרירותי.

ב-10 בדצמבר 2021, מכון NIST פרסם התראה על נקודות חולשה וחשיפה נפוצות (CVE) ברמת חומרה קריטית, CVE-2021-44228. באופן ספציפי יותר, תכונות של Java Naming Directory Interface‏ (JNDI) שמשמשות בהגדרה, בהודעות יומן ובפרמטרים לא מספקות הגנה מפני LDAP ונקודות קצה אחרות שקשורות ל-JNDI שנשלטות על ידי תוקף. תוקף שיכול לשלוט בהודעות ביומן או בפרמטרים של הודעות ביומן יכול להריץ קוד שרירותי שנטען משרתים מרוחקים, כשהאפשרות להחלפת חיפוש הודעות מופעלת.

מה לעשות?

  • ‫M4CE v4.x: ב-13 בדצמבר 2021, צוות Migrate for Compute Engine‏ (M4CE) סיפק גרסה חדשה. מנהלי פרויקטים נדרשים להחליף את הפריסה הקיימת בגרסה החדשה, כולל M4CE Manager בענן ו-M4CE בקצה העורפי "במקום". במדריך מפורטים פרטי הפריסה של גרסה 4.11.
  • ‫M2VMs v5.x: הבעיה ב-M2VMs v5.0 ואילך תוקנה ולא נדרשת פעולה.
 קריטית

GCP-2021-001

תאריך פרסום: 28 בינואר 2021
תיאור רמת סיכון הערות

לאחרונה התגלתה נקודת חולשה בכלי sudo של Linux, כפי שמפורט ב-CVE-2021-3156,‏ שעלולה לאפשר לתוקף עם גישה לא מורשית למעטפת מקומית במערכת שבה מותקן sudo להסלים את ההרשאות שלו (privilege escalation) להרשאות root במערכת.

ההשפעה על Compute Engine

התשתית שעליה מריצים את Compute Engine לא מושפעת מנקודת החולשה הזו. במכונות וירטואליות של Compute Engine שמופעלת בהן מערכת הפעלה מבוססת Linux, כדאי לשקול לעדכן את מערכת ההפעלה של האורח. לדוגמה, אם אתם משתמשים במערכת הפעלה שמותאמת לקונטיינרים, מומלץ לעדכן לאחד מהאימג'ים הבאים: cos-85-13310-1209-7,‏ cos-81-12871-1245-6,‏ cos-dev-89-16091-0-0 או גרסה חדשה יותר.

 ללא

תאריך הפרסום: 27.8.2020

תיאור רמת סיכון הערות

חברת Eclypsium חשפה את ה-CVE הבא: CVE-2020-10713.

נקודות חולשה

בתגובה לדוח הראשוני על נקודת החולשה, נערכה בדיקה נוספת של קוד GRUB2, ו-Canonical גילתה את נקודות החולשה הנוספות הבאות:

נקודות החולשה האלה, שנקראות ביחד BootHole, מאפשרות לתוקפים עם הרשאות אדמין לטעון קבצים בינאריים לא חתומים, וכך להשבית את האכיפה של אתחול מאובטח.

ההשפעה על Compute Engine

תשתית המארח שמריצה את Compute Engine מוגנת מפני התקפות מוכרות.

לקוחות Compute Engine שמשתמשים באתחול מאובטח צריכים לעדכן את מערכות ההפעלה של האורחים במכונות שלהם, כדי למנוע אפשרות של ניצול לרעה בסביבות האורחים. לפרטים נוספים, עיינו בהמלצות של ספק מערכת ההפעלה של האורח להפחתת הסיכון.

תמונות עם תיקון ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מונעות מתקפות פוטנציאליות:

  • פרויקט centos-cloud: מידע על תיקונים ב-CentOS
    • centos-7-v20200811
    • centos-8-v20200811
  • פרויקט cos-cloud:
    • cos-77-12371-1072-0
    • cos-81-12871-1185-0
    • cos-rc-85-13310-1028-0
    • cos-dev-86-15103-0-0

    אם אתם משתמשים ב-COS דרך שירות מנוהל (למשל GKE), צריך לפעול לפי ההנחיות של השירות הזה כדי להחיל עדכונים.

  • פרויקט debian-cloud: DSA-4753
    • debian-10-buster-v20200805
  • פרויקט coreos-cloud:
    • coreos-alpha-2163-2-1-v20190617
    • coreos-beta-2135-3-1-v20190617
    • coreos-stable-2079-6-0-v20190617
  • פרויקט rhel-cloud/rhel-sap-cloud: Red Hat Vulnerability Response
    • rhel-7-v20200811
    • rhel-7-4-sap-v20200811
    • rhel-7-6-sap-v20200811
    • rhel-7-7-sap-v20200811
    • rhel-8-v20200811
  • פרויקט suse-cloud/suse-sap-cloud:: SUSE KB
    • sles-12-sp5-v20200813
    • sles-15-sp2-v20200804
    • sles-12-sp4-sap-v20200804
    • sles-12-sp5-sap-v20200813
    • sles-15-sap-v20200803
    • sles-15-sp1-sap-v20200803
    • Sles-15-sp2-sap-v20200804
  • פרויקט ubuntu-os-cloud: Ubuntu Wiki
    • ubuntu-1604-xenial-v20200729
    • ubuntu-1804-bionic-v20200729
    • ubuntu-2004-focal-v20200729
 גבוהה

תאריך פרסום: 19 ביוני 2020

תיאור רמת סיכון הערות

מכונות וירטואליות שמופעל בהן OS Login עלולות להיות חשופות לנקודות חולשה של הסלמת הרשאות (privilege escalation). נקודות החולשה האלה מאפשרות למשתמשים שהוענקו להם הרשאות OS Login‏ (אבל לא הוענקה להם הרשאת אדמין) להסלים הרשאות (privilege escalation) להרשאות root במכונה הווירטואלית.

נקודות חולשה

זוהו שלוש נקודות חולשה בתמונות של Compute Engine, שנובעות מהרשאות ברירת מחדל רחבות מדי לחברות בקבוצות:

  • ‫CVE-2020-8903: באמצעות המשתמש adm, אפשר לנצל את ה-DHCP XID כדי לקבל הרשאות אדמין.
  • ‫CVE-2020-8907: באמצעות המשתמש docker, אפשר להטמיע ולשנות את מערכת הקבצים של מערכת ההפעלה של המארח כדי לקבל הרשאות אדמין.
  • ‫CVE-2020-8933: באמצעות המשתמש lxd, אפשר לצרף מערכות קבצים של מערכת ההפעלה של המארח ולקבל הרשאות אדמין.

תיקונים ותמונות שעברו תיקון

כל התמונות הציבוריות של Compute Engine שנוצרו אחרי v20200506 תוקנו.

אם אתם צריכים לפתור את הבעיה בלי לעדכן לגרסה מאוחרת יותר של תמונת הדיסק, אתם יכולים לערוך את הקובץ /etc/security/group.conf ולהסיר את המשתמשים adm, lxd ו-docker מהערך של OS Login שמוגדר כברירת מחדל.

גבוהה

תאריך הפרסום: 21 בינואר 2020

תיאור רמת סיכון הערות

‫Microsoft חשפה את נקודת החולשה הבאה:

  • ‫CVE-2020-0601 – נקודת החולשה הזו נקראת גם Windows Crypto API Spoofing Vulnerability. אפשר לנצל אותה כדי לגרום לקובצי הפעלה זדוניים להיראות מהימנים או לאפשר לתוקף לערוך התקפות אדם בתווך ולפענח מידע סודי לגבי חיבורי משתמשים לתוכנה המושפעת.

ההשפעה על Compute Engine

התשתית שעליה מריצים את Compute Engine לא מושפעת מנקודת החולשה הזו. אם אתם לא מריצים שרת Windows במכונה וירטואלית של Compute Engine, לא נדרשת פעולה נוספת. לקוחות שמשתמשים במכונות וירטואליות של Compute Engine שמריצות שרת Windows צריכים לוודא שהמכונות שלהם כוללות את התיקון האחרון של Windows.

תמונות מתוקנות ומשאבים של ספקים

גרסאות קודמות של תמונות Windows ציבוריות לא מכילות את הטלאים הבאים ולא מפחיתות את הסיכון להתקפות פוטנציאליות:

  • פרויקטים windows-cloud ו-windows-sql-cloud
    • כל התמונות הציבוריות של Windows Server ו-SQL Server החל מגרסה v20200114
 בינוני

תאריך פרסום: 12 בנובמבר 2019

תיאור רמת סיכון הערות

‫Intel דיווחה על נקודות החולשה הבאות:

  • ‫CVE-2019-11135: נקודת החולשה הזו ידועה גם בשם TSX Async Abort (‏TAA). ‫TAA מספקת דרך נוספת להעברת נתונים לא מורשית באמצעות אותם מבני נתונים במיקרו-ארכיטקטורה שנוצלו על ידי דגימת נתונים של מיקרו-ארכיטקטורה (MDS).
  • CVE-2018-12207 – ה-CVE הזה נקרא גם "Machine Check Error on Page Size Change". זוהי נקודת חולשה של התקפת מניעת שירות (DoS) שמשפיעה על מארחים של מכונות וירטואליות, ומאפשרת לאורח זדוני להפיל מארח לא מוגן.

ההשפעה על Compute Engine

CVE-2019-11135

תשתית המארח שמריצה את Compute Engine מבודדת את עומסי העבודה של הלקוחות. אם אתם לא מריצים קוד לא מהימן בתוך מכונות וירטואליות מסוג N2,‏ C2 או M2, לא נדרשת פעולה נוספת.

לקוחות N2, ‏ C2 ו-M2 שמריצים קודים לא מהימנים בשירותים מרובי-הדיירים שלהם בתוך מכונות וירטואליות של Compute Engine, צריכים להפסיק ולהפעיל מחדש את המכונות הווירטואליות כדי לוודא שהן מעודכנות עם תיקוני האבטחה האחרונים. לא מספיק להפעיל מחדש בלי לעצור ולהתחיל. ההנחיות האלה מבוססות על ההנחה שכבר החלתם עדכונים קודמים שפורסמו בנוגע לנקודת החולשה של MDS. אם לא, צריך לפעול לפי ההוראות כדי להחיל את העדכונים המתאימים.

לקוחות שמריצים סוגי מכונות N1 לא צריכים לבצע שום פעולה, כי נקודת החולשה הזו לא מייצגת חשיפה חדשה מעבר לנקודות החולשה של MDS שנחשפו בעבר.

CVE-2018-12207

התשתית המארחת שעליה מריצים את Compute Engine מוגנת מפני נקודת החולשה הזו. לא נדרשת כל פעולה נוספת מצידך.

 בינוני

תאריך הפרסום: 2019-06-18

העדכון האחרון: 25 ביוני 2019 בשעה 6:30 PST

תיאור רמת סיכון הערות

לאחרונה, Netflix חשפה שלוש נקודות חולשה ב-TCP בליבות של Linux:

ה-CVE האלה נקראים יחד NFLX-2019-001.

ההשפעה על Compute Engine

התשתית שמארחת את Compute Engine מוגנת מפני נקודת החולשה הזו.

מכונות וירטואליות של Compute Engine שמריצות מערכות הפעלה של Linux ללא תיקון, ששולחות או מקבלות תנועה לא מהימנה ברשת, חשופות למתקפת ה-DoS הזו. מומלץ לעדכן את המכונות הווירטואליות האלה ברגע שתיקוני האבטחה יהיו זמינים למערכות ההפעלה שלהן.

מאזני עומסים שסוגרים חיבורי TCP תוקנו כדי למנוע את נקודת החולשה הזו. מכונות של Compute Engine שמקבלות רק תנועה לא מהימנה דרך מאזני העומסים האלה לא חשופות לנקודת החולשה. זה כולל מאזני עומסים מסוג HTTP, מאזני עומסים בשרת proxy של SSL ומאזני עומסים בשרת proxy של TCP.

מאזני עומסים ברשת ומאזני עומסים פנימיים לא סוגרים חיבורי TCP. מכונות Compute Engine שלא הוחל עליהן תיקון, שמקבלות תנועה לא מהימנה דרך מאזני העומסים האלה, חשופות לסיכון.

תמונות עם תיקון ומשאבים של ספקים

כאן נספק קישורים למידע על תיקוני אבטחה מכל ספק של מערכת הפעלה, כשהם יהיו זמינים, כולל הסטטוס של כל CVE. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מצליחות למנוע מתקפות פוטנציאליות:

  • פרויקט debian-cloud:
    • debian-9-stretch-v20190618
  • פרויקט centos-cloud:
    • centos-6-v20190619
    • centos-7-v20190619
  • פרויקט cos-cloud:
    • cos-dev-77-12293-0-0
    • cos-beta-76-12239-21-0
    • cos-stable-75-12105-77-0
    • cos-73-11647-217-0
    • cos-69-10895-277-0
  • פרויקט coreos-cloud:
    • coreos-alpha-2163-2-1-v20190617
    • coreos-beta-2135-3-1-v20190617
    • coreos-stable-2079-6-0-v20190617
  • פרויקט rhel-cloud:
    • rhel-6-v20190618
    • rhel-7-v20190618
    • rhel-8-v20190618
  • פרויקט rhel-sap-cloud:
    • rhel-7-4-sap-v20190618
    • rhel-7-6-sap-v20190618
  • פרויקט suse-cloud:
    • sles-12-sp4-v20190617
    • sles-15-v20190617
  • פרויקט suse-sap-cloud:
    • sles-12-sp1-sap-v20190617
    • sles-12-sp2-sap-v20190617
    • sles-12-sp3-sap-v20190617
    • sles-12-sp4-sap-v20190617
    • sles-15-sap-v20190617
  • פרויקט ubuntu-cloud:
    • ubuntu-1604-xenial-v20190617
    • ubuntu-1804-bionic-v20190617
    • ubuntu-1810-cosmic-v20190618
    • ubuntu-1904-disco-v20190619
    • ubuntu-minimal-1604-xenial-v20190618
    • ubuntu-minimal-1804-bionic-v20190617
    • ubuntu-minimal-1810-cosmic-v20190618
    • ubuntu-minimal-1904-disco-v20190618
 בינוני

תאריך הפרסום: 14.5.2019

העדכון האחרון: 20 במאי 2019, 17:00 (שעון החוף המערבי)

תיאור רמת סיכון הערות

‫Intel דיווחה על עדכוני ה-CVE הבאים:

ה-CVE האלה נקראים ביחד "דגימת נתונים של מיקרו-ארכיטקטורה" (MDS). פרצות האבטחה האלה עלולות לאפשר חשיפה של נתונים באמצעות האינטראקציה של ביצוע ספקולטיבי עם מצב המיקרו-ארכיטקטורה.

ההשפעה על Compute Engine

תשתית המארח שמריצה את Compute Engine מבודדת את עומסי העבודה של הלקוחות זה מזה. אם אתם לא מריצים קוד לא מהימן במכונות הווירטואליות, אתם לא צריכים לעשות שום דבר נוסף.

לקוחות שמריצים קודים לא מהימנים בשירותים מרובי-הדיירים שלהם בתוך מכונות וירטואליות של Compute Engine, צריכים לעיין בהמלצות המיטיגציה של ספק מערכת ההפעלה האורחת שלהם, שעשויות לכלול שימוש בתכונות המיטיגציה של המיקרוקוד של Intel. הוספנו גישה לאורחים לפונקציונליות החדשה של ניקוי הנתונים. בטבלה הבאה מפורטים השלבים לצמצום הסיכון בתמונות נפוצות של אורחים.

תמונות מתוקנות ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים, כולל סטטוס לכל CVE. אפשר להשתמש בתמונות האלה כדי ליצור מחדש מכונות וירטואליות. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מונעות מתקפות פוטנציאליות:

  • פרויקט centos-cloud: CESA-2019:1169, CESA-2019:1168
    • centos-6-v20190515
    • centos-7-v20190515
  • פרויקט coreos-cloud: אמצעי הגנה מפני MDS ב-CoreOS Container Linux
    • coreos-stable-2079-4-0-v20190515
    • coreos-beta-2107-3-0-v20190515
    • coreos-alpha-2135-1-0-v20190515
  • פרויקט cos-cloud
    • cos-69-10895-242-0
    • cos-73-11647-182-0
  • פרויקט debian-cloud: DSA-4444
    • debian-9-stretch-v20190514
  • פרויקט rhel-cloud: מאמר מידע על Red Hat MDS
    • rhel-6-v20190515
    • rhel-7-v20190517
    • rhel-8-v20190515
  • פרויקט rhel-sap-cloud: מאמר מידע על Red Hat MDS
    • rhel-7-4-sap-v20190515
    • rhel-7-6-sap-v20190517
  • פרויקט suse-cloud: SUSE MDS KB
    • sles-12-sp4-v20190520
    • sles-15-v20190520
  • פרויקט suse-sap-cloud
    • sles-12-sp4-sap-v20190520
    • sles-15-sap-v20190520
  • פרויקט ubuntu-os-cloud: Ubuntu MDS Wiki
    • ubuntu-1404-trusty-v20190514
    • ubuntu-1604-xenial-v20190514
    • ubuntu-1804-bionic-v20190514
    • ubuntu-1810-cosmic-v20190514
    • ubuntu-1904-disco-v20190514
    • ubuntu-minimal-1604-xenial-v20190514
    • ubuntu-minimal-1804-bionic-v20190514
    • ubuntu-minimal-1810-cosmic-v20190514
    • ubuntu-minimal-1904-disco-v20190514
  • פרויקטים windows-cloud ו-windows-sql-cloud: Microsoft ADV190013
    • כל קובצי האימג' הציבוריים של Windows Server ו-SQL Server עם מספר הגרסה v20190514.
  • פרויקט gce-uefi-images
    • centos-7-v20190515
    • cos-69-10895-242-0
    • cos-73-11647-182-0
    • rhel-7-v20190517
    • ubuntu-1804-bionic-v20190514
    • כל קובצי האימג' הציבוריים של Windows Server עם מספר הגרסה v20190514.

מערכת הפעלה שמותאמת לקונטיינרים

אם אתם משתמשים ב-Container Optimized OS‏ (COS) כמערכת ההפעלה של האורח ומריצים במכונה הווירטואלית עומסי עבודה לא מהימנים של דיירים מרובים, מומלץ:

  1. משביתים את Hyper-Threading על ידי הגדרת nosmt בשורת הפקודה של הליבה.

    במכונות וירטואליות קיימות של COS, אפשר לשנות את grub.cfg באופן הבא כדי להגדיר את האפשרות nosmt ואז להפעיל מחדש את המערכת:

    # Run as root:
dir="$(mktemp -d)"
mount /dev/sda12 "${dir}"
sed -i -e "s|cros_efi|cros_efi nosmt|g" "${dir}/efi/boot/grub.cfg"
umount "${dir}"
rmdir "${dir}"

reboot

    לנוחותכם, תוכלו להריץ את הסקריפט הבא כדי לקבל את אותה התוצאה כמו בהרצת הפקודות הקודמות. מומלץ להוסיף את הסקריפט הזה ל-cloud-config, לסקריפטים לטעינה בזמן ההפעלה או לתבניות של הגדרות מכונה, כדי להבטיח שמכונות וירטואליות חדשות ישתמשו בפרמטר החדש הזה. בהמשך מופיעה דוגמה ל-cloud-config שמריץ את הסקריפט הזה.

    אזהרה: הפקודה הזו תגרום להפעלה מחדש מיידית של המופע כשתריצו אותה בפעם הראשונה. אם תריצו את הפקודה במכונה שבה Hyper-Threading כבר מושבת, לא תהיה לכך השפעה.

    # Run as root
/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)

    כדי לכלול את זה כחלק מ-cloud-config:

    #cloud-config

bootcmd:
- /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)"

    כדי לוודא שהתכונה Hyper-Threading מושבתת במכונה, בודקים את הפלט של הקבצים /sys/devices/system/cpu/smt/active ו-/sys/devices/system/cpu/smt/control. אם הפונקציה מחזירה 0 עבור active ו-off עבור control, ‏ Hyper-Threading מושבת:

    cat /sys/devices/system/cpu/smt/active
cat /sys/devices/system/cpu/smt/control

    הערה: אם הפעלתם את האפשרות UEFI Secure Boot (אתחול מאובטח של UEFI) במופע, תצטרכו ליצור מחדש את המופע עם האפשרות UEFI Secure Boot מושבתת, להריץ את הפקודה שלמעלה עם האפשרות UEFI Secure Boot מושבתת, ואז להפעיל את האפשרות UEFI Secure Boot במופע החדש.

  2. שימוש בגרסה חדשה של קובץ אימג' של COS

    בנוסף להשבתת Hyper-Threading כמו שמתואר למעלה, צריך גם ליצור מחדש את המכונות עם קובצי האימג' המעודכנים שרשומים למעלה, או עם גרסאות חדשות יותר (אם הן זמינות) של קובצי אימג' של מערכת הפעלה שמותאמת לקונטיינרים, כדי לקבל הגנה מלאה מפני נקודת החולשה.

 בינוני

תאריך הפרסום: 14.08.2018

העדכון האחרון: 20 באוגוסט 2018, 17:00 (שעון החוף המערבי)

תיאור רמת סיכון הערות

תיאור

Intel דיווחה על נקודות החולשה הבאות:

ה-CVE האלה נקראים ביחד "L1 Terminal Fault (L1TF)".

נקודות החולשה האלה ב-L1TF מנצלות ביצוע ספקולטיבי על ידי תקיפת ההגדרה של מבני נתונים ברמת המעבד. ‫"L1" מתייחס למטמון הנתונים ברמה 1 (L1D), משאב קטן בליבה שמשמש להאצת הגישה לזיכרון.

לפרטים נוספים על נקודות החולשה האלה ועל הפתרונות של Compute Engine, אפשר לקרוא את Google Cloud הפוסט הזה בבלוג.

ההשפעה על Compute Engine

תשתית המארח שמריצה את Compute Engine ומבודדת את עומסי העבודה של הלקוחות זה מזה מוגנת מפני התקפות ידועות.

אנחנו ממליצים ללקוחות Compute Engine לעדכן את קובצי האימג' שלהם כדי למנוע ניצול עקיף של הפרצה בסביבות האורחים שלהם. ההמלצה הזו חשובה במיוחד ללקוחות שמריצים שירותים מרובי-דיירים משלהם במכונות וירטואליות של Compute Engine.

לקוחות Compute Engine יכולים לעדכן את מערכות ההפעלה של האורחים במכונות שלהם באמצעות אחת מהאפשרויות הבאות:

תמונות מתוקנות ומשאבים של ספקים

כאן נספק קישורים למידע על תיקוני אבטחה מכל ספק של מערכת הפעלה, כשהמידע יהיה זמין, כולל סטטוס של שתי הפגיעויות. אפשר להשתמש בתמונות האלה כדי ליצור מחדש מכונות וירטואליות. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה ולא מונעות מתקפות פוטנציאליות:

  • פרויקט centos-cloud:
    • centos-7-v20180815
    • centos-6-v20180815
  • פרויקט coreos-cloud:
    • coreos-stable-1800-7-0-v20180816
    • coreos-beta-1855-2-0-v20180816
    • coreos-alpha-1871-0-0-v20180816
  • פרויקט cos-cloud:
    • cos-stable-66-10452-110-0
    • cos-stable-67-10575-66-0
    • cos-beta-68-10718-81-0
    • cos-dev-69-10895-23-0
  • פרויקט debian-cloud:
    • debian-9-stretch-v20180820
  • פרויקט rhel-cloud:
    • rhel-7-v20180814
    • rhel-6-v20180814
  • פרויקט rhel-sap-cloud:
    • rhel-7-sap-apps-v20180814
    • rhel-7-sap-hana-v20180814
  • פרויקט suse-cloud:
    • sles-15-v20180816
    • sles-12-sp3-v20180814
    • sles-11-sp4-v20180816
  • פרויקט suse-sap-cloud:
    • sles-15-sap-v20180816
    • sles-12-sp3-sap-v20180814
    • sles-12-sp2-sap-v20180816
  • פרויקט ubuntu-os-cloud:
    • ubuntu-1804-bionic-v20180814
    • ubuntu-1604-xenial-v20180814
    • ubuntu-1404-trusty-v20180814
    • ubuntu-minimal-1804-bionic-v20180814
    • ubuntu-minimal-1604-xenial-v20180814
  • פרויקטים windows-cloud gce-uefi-images ו-windows-sql-cloud:
גבוהה

תאריך פרסום: 2018-08-06

העדכון האחרון: 5 בספטמבר 2018, 17:00 (שעון החוף המערבי)

תיאור רמת סיכון הערות

עדכון מה-5 בספטמבר 2018

‫CVE-2018-5391 פורסם ב-2018-08-14 על ידי US-CERT. כמו ב-CVE-2018-5390, זוהי נקודת חולשה ברשת ברמת הליבה (kernel) שמגבירה את היעילות של התקפות מניעת שירות (DoS) נגד מערכות פגיעות. ההבדל העיקרי הוא שאפשר לנצל את CVE-2018-5391 דרך חיבורי IP. עדכנו את המידעון הזה כדי לכלול את שתי נקודות החולשה.

תיאור

‫CVE-2018-5390 (‏SegmentSmack) מתאר נקודת חולשה ברשת ברמת הליבה, שמגבירה את היעילות של התקפות מניעת שירות (DoS) נגד מערכות פגיעות דרך חיבורי TCP.

‫CVE-2018-5391 ‏("FragmentSmack") מתאר נקודת חולשה ברשת ברמת הליבה (kernel), שמגבירה את היעילות של התקפות מניעת שירות (DoS) נגד מערכות פגיעות דרך קישורים דרך IP.

ההשפעה על Compute Engine

התשתית המארחת שמריצה מכונות וירטואליות של Compute Engine לא נמצאת בסיכון. תשתית הרשת שמטפלת בתנועה אל המכונות הווירטואליות של Compute Engine וממנה מוגנת מפני נקודת החולשה הזו. מכונות וירטואליות של Compute Engine שרק שולחות או מקבלות תנועה לא מהימנה ברשת באמצעות HTTP(S),‏ SSL או מאזני עומסים של TCP מוגנות מפני נקודת החולשה הזו.

מכונות וירטואליות של Compute Engine שמריצות מערכות הפעלה שלא הוחל עליהן תיקון, וששולחות או מקבלות תעבורת נתונים לא מהימנה ברשת באופן ישיר או באמצעות מאזני עומסים ברשת, חשופות למתקפת DoS.

כדאי לעדכן את המכונות הווירטואליות ברגע שתיקונים זמינים למערכות ההפעלה שלהן.

לקוחות Compute Engine יכולים לעדכן את מערכות ההפעלה של האורחים במכונות שלהם באמצעות אחת מהאפשרויות הבאות:

  • משתמשים בתמונות ציבוריות מתוקנות כדי ליצור מחדש מכונות וירטואליות קיימות. בהמשך מופיעה רשימה של תמונות ציבוריות עם תיקונים.
  • במכונות קיימות, מתקינים תיקונים שספק מערכת ההפעלה מספק ומפעילים מחדש את המכונות המתוקנות.

תמונות עם תיקון ומשאבים של ספקים

כאן נספק קישורים למידע על תיקונים מכל ספק של מערכת הפעלה, כשהם יהיו זמינים.

  • פרויקט centos-cloud (CVE-2018-5390 בלבד):
    • centos-7-v20180815
    • centos-6-v20180815
  • פרויקט coreos-cloud (CVE-2018-5390 ו-CVE-2018-5391):
    • coreos-stable-1800-7-0-v20180816
    • coreos-beta-1855-2-0-v20180816
    • coreos-alpha-1871-0-0-v20180816
  • פרויקט cos-cloud (CVE-2018-5390 ו-CVE-2018-5391):
    • cos-stable-65-10323-98-0
    • cos-stable-66-10452-109-0
    • cos-stable-67-10575-65-0
    • cos-beta-68-10718-76-0
    • cos-dev-69-10895-16-0
  • פרויקט debian-cloud (CVE-2018-5390 ו-CVE-2018-5391):
    • debian-9-stretch-v20180814
  • פרויקט rhel-cloud (CVE-2018-5390 בלבד):
    • rhel-7-v20180814
    • rhel-6-v20180814
  • פרויקט suse-cloud (CVE-2018-5390 ו-CVE-2018-5391):
    • sles-15-v20180816
    • sles-12-sp3-v20180814
  • פרויקט suse-sap-cloud ‏ (CVE-2018-5390 ו-CVE-2018-5391):
    • sles-15-sap-v20180816
    • sles-12-sp3-sap-v20180814
    • sles-12-sp2-sap-v20180816
  • פרויקט ubuntu-os-cloud ‏ (CVE-2018-5390 ו-CVE-2018-5391):
    • ubuntu-1804-bionic-v20180814
    • ubuntu-1604-xenial-v20180814
    • ubuntu-1404-trusty-v20180814
    • ubuntu-minimal-1804-bionic-v20180814
    • ubuntu-minimal-1604-xenial-v20180814
 גבוהה

תאריך הפרסום: 3 בינואר 2018

העדכון האחרון: 21.5.2018, 15:00, שעון החוף המערבי (PST)

תיאור רמת סיכון הערות

עדכון מה-21 במאי 2018

CVE-2018-3640 ו-CVE-2018-3639, וריאנטים 3a ו-4 בהתאמה, נחשפו על ידי Intel. כמו בשלוש הגרסאות הראשונות של Spectre ו-Meltdown, התשתית שעליה פועלים המכונות הווירטואליות של Compute Engine מוגנת, והמכונות הווירטואליות של הלקוחות מבודדות ומוגנות זו מזו. בנוסף, ב-Compute Engine מתכננים לפרוס את תיקוני המיקרוקוד של Intel בתשתית שלנו, מה שיאפשר ללקוחות שמריצים עומסי עבודה לא מהימנים או מרובי-דיירים במכונה וירטואלית אחת להפעיל מיטיגציות נוספות בתוך המכונה הווירטואלית, כשהמיטיגציות האלה מסופקות על ידי ספקים ומוכרים של מערכות הפעלה. מערכת Compute Engine תפרוס את תיקוני המיקרוקוד אחרי ש-Intel תאשר אותם, ואחרי שמערכת Compute Engine תבדוק ותאשר את התיקונים לסביבת הייצור שלנו. נפרסם בדף הזה לוחות זמנים מפורטים יותר ועדכונים נוספים כשהם יהיו זמינים.

תיאור

מספרי ה-CVE האלה הם וריאציות של סוג חדש של מתקפה שמנצלת את טכנולוגיית הביצוע הספקולטיבי שזמינה במעבדים רבים. סוג כזה של מתקפה יכול לאפשר גישה לא מורשית לקריאה בלבד לנתוני זיכרון בנסיבות שונות.

‫Compute Engine השתמש בטכנולוגיית מיגרציה פעילה של מכונות וירטואליות כדי לבצע עדכונים של מערכת המארח וה-hypervisor בלי להשפיע על המשתמשים, בלי להכריח חלונות זמן לתחזוקה ובלי לדרוש הפעלה מחדש של מספר רב של מכונות. עם זאת, צריך לתקן את כל מערכות ההפעלה והגרסאות של האורחים כדי להגן מפני סוג חדש של מתקפה, בלי קשר למקום שבו המערכות האלה פועלות.

פרטים טכניים מלאים על שיטת התקיפה הזו מופיעים בפוסט הזה בבלוג של Project Zero. כדי לקרוא את כל הפרטים על אמצעי ההגנה של Google, כולל כל המידע הספציפי למוצרים, קראו את הפוסט בבלוג האבטחה של Google.

ההשפעה על Compute Engine

התשתית שעליה מריצים את Compute Engine ומבודדים את המכונות הווירטואליות של הלקוחות זו מזו מוגנת מפני התקפות מוכרות. אמצעי ההגנה שלנו מונעים גישה לא מורשית למערכות המארחות שלנו מאפליקציות שפועלות בתוך מכונות וירטואליות. ההפחתות האלה גם מונעות גישה לא מורשית בין מכונות וירטואליות שפועלות באותה מערכת מארחת.

כדי למנוע גישה לא מורשית במופעים של מכונות וירטואליות, צריך לעדכן את מערכות ההפעלה של האורח במופעים האלה באמצעות אחת מהאפשרויות הבאות:

  • משתמשים בתמונות ציבוריות עם תיקונים כדי ליצור מחדש את מכונות ה-VM הקיימות. בהמשך מופיעה רשימה של תמונות ציבוריות שעברו תיקון.
  • במכונות הקיימות, מתקינים את התיקונים שספק מערכת ההפעלה מספק להפצה שלכם, ומפעילים מחדש את המכונות המתוקנות. בהמשך מופיעים קישורים למידע על תיקונים של כל ספק של מערכת הפעלה.

תמונות עם תיקון ומשאבים של ספקים

הערה: יכול להיות שתמונות עם תיקונים לא יכללו תיקונים לכל ה-CVE שמופיעים בהודעה הזו של עדכון האבטחה הדחוף. בנוסף, תמונות שונות עשויות לכלול שיטות שונות למניעת סוגי התקפות כאלה. כדאי לבדוק עם ספק מערכת ההפעלה אילו נקודות חולשה וחשיפה מטופלות בתיקונים שלו, ובאילו שיטות מניעה הוא משתמש.

  • פרויקט cos-cloud: כולל תיקונים שמונעים התקפות של וריאנט 2 (CVE-2017-5715) ושל וריאנט 3 (CVE-2017-5754). ‫Google השתמשה ב-Retpoline בתמונות האלה כדי לצמצם את הסיכון להתקפות מסוג Variant 2.
    • ‫cos-stable-63-10032-71-0 או משפחת קובצי אימג' cos-stable
  • פרויקט centos-cloud: CentOS patch information
    • ‫centos-7-v20180104 או משפחת קובצי אימג' centos-7
    • ‫centos-6-v20180104 או משפחת קובצי אימג' centos-6
  • פרויקט coreos-cloud: פרטי תיקון של CoreOS
    • ‫coreos-stable-1576-5-0-v20180105 או משפחת תמונות coreos-stable
    • ‫coreos-beta-1632-1-0-v20180105 או משפחת תמונות coreos-beta
    • ‫coreos-alpha-1649-0-0-v20180105 או משפחת קובצי אימג' coreos-alpha
  • פרויקט debian-cloud: מידע על תיקון Debian
    • debian-9-stretch-v20180105 או משפחת תמונות debian-9
    • debian-8-jessie-v20180109 או משפחת תמונות debian-8
  • פרויקט rhel-cloud: מידע על תיקונים של RHEL
    • ‫rhel-7-v20180104 או משפחת תמונות rhel-7
    • ‫rhel-6-v20180104 או משפחת קובצי אימג' rhel-6
  • פרויקט suse-cloud: מידע על תיקונים של SUSE
    • sles-12-sp3-v20180104 או משפחת תמונות sles-12
    • ‫sles-11-sp4-v20180104 או משפחת תמונות sles-11
  • פרויקט suse-sap-cloud: פרטי תיקון של SUSE
    • ‫sles-12-sp3-sap-v20180104 או משפחת קובצי אימג' sles-12-sp3-sap
    • sles-12-sp2-sap-v20180104 או משפחת תמונות sles-12-sp2-sap
  • פרויקט ubuntu-os-cloud: מידע על תיקונים ב-Ubuntu
    • ‫ubuntu-1710-artful-v20180109 או משפחת קובצי אימג' ubuntu-1710
    • ‫ubuntu-1604-xenial-v20180109 או משפחת קובצי אימג' ubuntu-1604-lts
    • ubuntu-1404-trusty-v20180110 או משפחת תמונות ubuntu-1404-lts
  • פרויקטים windows-cloud ו-windows-sql-cloud:
    • כל התמונות הציבוריות של Windows Server ו-SQL Server מגרסה -v20180109 ואילך כוללות תיקונים. עם זאת, כדי להפעיל ולאמת את אמצעי ההגנה האלה במכונות הקיימות ובמכונות החדשות, צריך לפעול לפי ההמלצות של מיקרוסופט שמפורטות בהנחיות ל-Windows Server.

משתמשים בתמונות האלה כדי ליצור מחדש את המכונות הווירטואליות. גרסאות קודמות של התמונות הציבוריות האלה לא מכילות את התיקונים האלה, ולכן לא מונעות מתקפות פוטנציאליות.

תיקונים מספקי חומרה

חברת NVIDIA מספקת דרייברים עם תיקונים כדי לצמצם את הסיכון למתקפות פוטנציאליות על מערכות שמותקנת בהן תוכנת הדרייבר של NVIDIA®. כדי לדעת אילו גרסאות של דרייברים תוקנו, אפשר לקרוא את עדכון האבטחה הדחוף של NVIDIA בנושא עדכוני אבטחה של דרייברים לתצוגה של NVIDIA GPU.

היסטוריית הגרסאות:

  • ‫21 במאי 2018, שעה 14:00 (לפי שעון החוף המערבי): נוסף מידע על 2 וריאציות חדשות שפורסמו ב-21 במאי 2018.
  • ‫2018-01-10 T 15:00 PST: נוסף מידע על קובצי אימג' ציבוריים של Windows Server ו-SQL Server שעברו תיקון.
  • ‫2018-01-10 T 10:15 PST: הוספנו כמה קובצי אימג' של Ubuntu לרשימת קובצי האימג' הציבוריים שתוקנו.
  • ‫2018-01-10 T 09:50 PST: נוספו הנחיות לגבי תיקונים מספקים של חומרה.
  • ‫3 עד 9 בינואר 2018: בוצעו כמה תיקונים ברשימת קובצי האימג' הציבוריים שתוקנו.
 גבוהה

תאריך הפרסום: 2.10.2017

תיאור רמת סיכון הערות

‫Dnsmasq מספק פונקציונליות להצגת DNS,‏ DHCP, פרסום נתבים ואתחול רשת. התוכנה הזו מותקנת בדרך כלל במערכות מגוונות כמו הפצות של Linux למחשבים (כמו Ubuntu), נתבים ביתיים ומכשירי IoT. ‫Dnsmasq נמצא בשימוש נרחב גם באינטרנט הפתוח וגם באופן פנימי ברשתות פרטיות.

‫Google גילתה שבע בעיות שונות במהלך הערכות האבטחה הפנימיות הרגילות שלנו. אחרי שקבענו את חומרת הבעיות האלה, חקרנו את ההשפעה שלהן ואת האפשרות לנצל אותן, ואז יצרנו הוכחות פנימיות לכל אחת מהן. בנוסף, עבדנו עם המפתח של Dnsmasq, סיימון קלי, כדי ליצור תיקונים מתאימים ולצמצם את הבעיה.

במהלך הבדיקה, הצוות מצא שלוש פרצות פוטנציאליות להרצת קוד מרחוק, דליפת מידע אחת ושלוש פרצות של התקפת מניעת שירות (DoS) שמשפיעות על הגרסה העדכנית בשרת ה-Git של הפרויקט, נכון ל-5 בספטמבר 2017.

התיקונים האלה מועברים במעלה הזרם ומועברים אל מאגר ה-Git של הפרויקט.

ההשפעה על Compute Engine

כברירת מחדל, Dnsmasq מותקן רק בתמונות שמשתמשות ב-NetworkManager והוא לא פעיל כברירת מחדל. ‫Dnsmasq מותקן בתמונות הציבוריות הבאות של Compute Engine:

  • ‫Ubuntu 16.04, ‏ 16.10, ‏ 17.04
  • ‫CentOS 7
  • RHEL 7

עם זאת, יכול להיות שבתמונות אחרות מותקן Dnsmasq כתלות בחבילות אחרות. מומלץ לעדכן את המכונות של Debian,‏ Ubuntu,‏ CentOS,‏ RHEL,‏ SLES ו-OpenSuse כדי להשתמש בקובץ האימג' העדכני של מערכת ההפעלה. מערכות ההפעלה CoreOS ו-Container-Optimized OS לא מושפעות. גם קובצי אימג' של Windows לא מושפעים.

במקרים שבהם מופעלות דוגמאות של Debian ו-Ubuntu, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות בדוגמה:

sudo apt-get -y update
 
sudo apt-get -y dist-upgrade

במקרים של Red Hat Enterprise Linux ו-CentOS, מריצים:

sudo yum -y upgrade

לתמונות SLES ו-OpenSUSE, מריצים את הפקודה:

sudo zypper up

במקום להריץ את פקודות העדכון הידניות, אתם יכולים ליצור מחדש מכונות וירטואליות באמצעות משפחות התמונות של מערכת ההפעלה המתאימה.

 גבוהה

תאריך הפרסום: 26 באוקטובר 2016

תיאור רמת סיכון הערות

‫CVE-2016-5195 הוא מרוץ תהליכים באופן שבו מערכת המשנה של הזיכרון של ליבת לינוקס טיפלה בשבירה של מיפויי ה-COW הפרטיים לקריאה בלבד במצב של גישת כתיבה.

משתמש מקומי לא מורשה יכול להשתמש בפגם הזה כדי לקבל גישת כתיבה למיפויים של זיכרון לקריאה בלבד, וכך להגדיל את ההרשאות שלו במערכת.

מידע נוסף מפורט בשאלות הנפוצות על Dirty COW.

ההשפעה על Compute Engine

כל ההפצות והגרסאות של Linux ב-Compute Engine מושפעות. ברוב המכונות, הורדה והתקנה של ליבה חדשה יותר מתבצעות באופן אוטומטי. עם זאת, צריך להפעיל מחדש כדי לתקן את המערכת שפועלת.

במכונות חדשות או במכונות שנוצרו מחדש על סמך קובצי האימג' הבאים של Compute Engine, כבר מותקנות ליבות מתוקנות.

  • centos-6-v20161026
  • centos-7-v20161025
  • coreos-alpha-1192-2-0-v20161021
  • coreos-beta-1185-2-0-v20161021
  • coreos-stable-1122-3-0-v20161021
  • debian-8-jessie-v20161020
  • rhel-6-v20161026
  • rhel-7-v20161024
  • sles-11-sp4-v20161021
  • sles-12-sp1-v20161021
  • ubuntu-1204-precise-v20161020
  • ubuntu-1404-trusty-v20161020
  • ubuntu-1604-xenial-v20161020
  • ubuntu-1610-yakkety-v20161020
 גבוהה CVE-2016-5195

תאריך הפרסום: 2016-02-16

עדכון אחרון: 22.02.2016

תיאור רמת סיכון הערות

‫CVE-2015-7547 היא פגיעות שבה פותר הבעיות בצד הלקוח של glibc DNS הופך את התוכנה לפגיעה לגלישת חוצץ מבוססת-מחסנית כשמשתמשים בפונקציית הספרייה getaddrinfo(). תוקף יכול לנצל את התוכנה שמשתמשת בפונקציה כדי לנצל את הפגיעות הזו באמצעות שמות דומיין בשליטת התוקף, שרתי DNS בשליטת התוקף או באמצעות התקפת אדם בתווך.

לפרטים נוספים, אפשר לקרוא את הפוסט בבלוג האבטחה של Google או לעיין במסד הנתונים של נקודות חולשה וחשיפות נפוצות (CVE).

ההשפעה על Compute Engine

עדכון (22 בפברואר 2016):

עכשיו אפשר ליצור מחדש את המכונות באמצעות קובצי האימג' הבאים של CoreOS,‏ SLES ו-OpenSUSE:

  • coreos-alpha-962-0-0-v20160218
  • coreos-beta-899-7-0-v20160218
  • coreos-stable-835-13-0-v20160218
  • opensuse-13-2-v20160222
  • opensuse-leap-42-1-v20160222
  • sles-11-sp4-v20160222
  • sles-12-sp1-v20160222

עדכון (17.2.2016):

עכשיו אפשר לעדכן את המכונות של Ubuntu 12.04 LTS,‏ Ubuntu 14.04 LTS ו-Ubuntu 15.10 באמצעות הפקודות הבאות:

  1. user@my-instance:~$ sudo apt-get -y update
  2. user@my-instance:~$ sudo apt-get -y dist-upgrade
  3. user@my-instance:~$ sudo reboot

במקום להריץ את פקודות העדכון הידני, אפשר ליצור מחדש את המכונות באמצעות קובצי האימג' החדשים הבאים:

  • backports-debian-7-wheezy-v20160216
  • centos-6-v20160216
  • centos-7-v20160216
  • debian-7-wheezy-v20160216
  • debian-8-jessie-v20160216
  • rhel-6-v20160216
  • rhel-7-v20160216
  • ubuntu-1204-precise-v20160217a
  • ubuntu-1404-trusty-v20160217a
  • ubuntu-1510-wily-v20160217

אנחנו לא מכירים שיטות שיכולות לנצל את נקודת החולשה הזו דרך מפענחי ה-DNS של Compute Engine עם הגדרת ברירת המחדל של glibc. מומלץ לתקן את מכונות ה-VM בהקדם האפשרי, כי כמו בכל נקודת חולשה חדשה, עם הזמן עלולות להתגלות שיטות ניצול חדשות. אם הפעלתם את edns0 (מושבת כברירת מחדל), כדאי להשבית אותו עד שהמקרים שלכם יתוקנו.

הודעה מקורית:

יכול להיות שהפצת Linux שלכם חשופה לפרצות אבטחה. לקוחות Compute Engine שמריצים מערכת הפעלה של Linux צריכים לעדכן את קובצי האימג' של מערכת ההפעלה במכונות שלהם כדי לבטל את נקודת החולשה הזו.

במכונות שבהן פועלת מערכת Debian, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

  1. user@my-instance:~$ sudo apt-get -y update
  2. user@my-instance:~$ sudo apt-get -y dist-upgrade
  3. user@my-instance:~$ sudo reboot

אנחנו ממליצים גם להתקין את UnattendedUpgrades במכונות של Debian.

במכונות של Red Hat Enterprise Linux:

  • user@my-instance:~$ sudo yum -y upgrade
  • user@my-instance:~$ sudo reboot

נמשיך לעדכן את המאמר הזה כשמנהלי מערכות הפעלה אחרות יפרסמו תיקונים לפגיעוּת הזו, וכש-Compute Engine יפרסם קובצי אימג' מעודכנים של מערכת ההפעלה.

 גבוהה CVE-2015-7547

תאריך הפרסום: 19 במרץ 2015

תיאור רמת סיכון הערות

‫CVE-2015-1427 היא נקודת חולשה במנוע הסקריפטים של Groovy ב-Elasticsearch בגרסאות שלפני 1.3.8 ובכל גרסאות 1.4.x שלפני 1.4.3, שמאפשרת לתוקפים מרחוק לעקוף את מנגנון ההגנה של ארגז החול ולהריץ פקודות שרירותיות של מעטפת.

פרטים נוספים זמינים ב-National Vulnerability Database (NVD)‎ או במסד הנתונים Common Vulnerabilities and Exposures (CVE)‎.

ההשפעה על Compute Engine

אם אתם מריצים את Elasticsearch במכונות Compute Engine, אתם צריכים לשדרג את גרסת Elasticsearch ל-1.4.3 ואילך. אם כבר שדרגתם את תוכנת Elasticsearch, אתם מוגנים מפני נקודת החולשה הזו.

אם לא שדרגתם ל-Elasticsearch בגרסה 1.4.3 ומעלה, אתם יכולים לבצע שדרוג הדרגתי.

אם פרסתם את Elasticsearch באמצעות פריסה בקליק ב- Google Cloud console, תוכלו למחוק את הפריסה כדי להסיר מכונות שמריצות את Elasticsearch.

ה Google Cloud צוות שלנו פועל לתיקון הבעיה כדי לפרוס גרסה מעודכנת של Elasticsearch. עם זאת, התיקון עדיין לא זמין לתכונה פריסה בקליק ב- Google Cloud console.

 גבוהה CVE-2015-1427

תאריך הפרסום: 29 בינואר 2015

תיאור רמת סיכון הערות

‫CVE-2015-0235 (Ghost) היא נקודת חולשה בספריית glibc.

לקוחות של App Engine,‏ Cloud Storage,‏ BigQuery ו-Cloud SQL לא צריכים לעשות שום דבר. השרתים של Google עודכנו ומוגנים מפני נקודת החולשה הזו.

יכול להיות שלקוחות Compute Engine יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה שלהם.

ההשפעה על Compute Engine

יכול להיות שהפצת Linux שלכם פגיעה. לקוחות Compute Engine שמשתמשים ב-Debian 7, ב-Debian 7 backports, ב-Ubuntu 12.04 LTS, ב-Red Hat Enterprise Linux, ב-CentOS או ב-SUSE Linux Enterprise Server 11 SP3 יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה של המכונות שלהם כדי לבטל את נקודת החולשה הזו.

נקודת החולשה הזו לא משפיעה על Ubuntu 14.04 LTS,‏ Ubuntu 14.10 או SUSE Linux Enterprise Server 12.

מומלץ לשדרג את הפצות Linux. במכונות שבהן פועלות הגרסאות Debian 7,‏ Debian 7 backports או Ubuntu 12.04 LTS, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

  1. user@my-instance:~$ sudo apt-get update
  2. user@my-instance:~$ sudo apt-get -y upgrade
  3. user@my-instance:~$ sudo reboot

במכונות של Red Hat Enterprise Linux או CentOS:

  1. user@my-instance:~$ sudo yum -y upgrade
  2. user@my-instance:~$ sudo reboot

במכונות SUSE Linux Enterprise Server 11 SP3:

  1. user@my-instance:~$ sudo zypper --non-interactive up
  2. user@my-instance:~$ sudo reboot

במקום להריץ את פקודות העדכון הידניות שלמעלה, המשתמשים יכולים עכשיו ליצור מחדש את המכונות שלהם באמצעות קובצי האימג' החדשים הבאים:

  • debian-7-wheezy-v20150127
  • backports-debian-7-wheezy-v20150127
  • centos-6-v20150127
  • centos-7-v20150127
  • rhel-6-v20150127
  • rhel-7-v20150127
  • sles-11-sp3-v20150127
  • ubuntu-1204-precise-v20150127

ההשפעה על מכונות וירטואליות בניהול Google

משתמשים במכונות וירטואליות מנוהלות שמשתמשים ב-gcloud preview app deploy צריכים לעדכן את מאגרי Docker הבסיסיים שלהם באמצעות gcloud preview app setup-managed-vms ולפרוס מחדש כל אחת מהאפליקציות הפועלות שלהם באמצעות gcloud preview app deploy. משתמשים שפורסים באמצעות appcfg לא צריכים לעשות שום דבר, והם ישודרגו באופן אוטומטי.

 גבוהה CVE-2015-0235

תאריך הפרסום: 15.10.2014

עדכון אחרון: 17.10.2014

תיאור רמת סיכון הערות

‫CVE-2014-3566 (שנקרא גם POODLE) הוא נקודת חולשה בעיצוב של SSL גרסה 3.0. נקודת החולשה הזו מאפשרת לתוקף ברשת לחשב את הטקסט הפשוט של חיבורים מאובטחים. פרטים נוספים על נקודת החולשה זמינים בפוסט שלנו בבלוג.

לקוחות של App Engine,‏ Cloud Storage,‏ BigQuery ו-Cloud SQL לא צריכים לעשות שום דבר. השרתים של Google עודכנו ומוגנים מפני נקודת החולשה הזו. לקוחות של Compute Engine צריכים לעדכן את קובצי האימג' של מערכת ההפעלה.

ההשפעה על Compute Engine

עדכון (17 באוקטובר 2014):

אם אתם משתמשים ב-SSLv3, יכול להיות שאתם חשופים לפגיעה. לקוחות Compute Engine יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה במכונות שלהם כדי לפתור את נקודת החולשה הזו.

מומלץ לשדרג את הפצות Linux. במכונות שבהן פועלת מערכת ההפעלה Debian, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במכונה:

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

במכונות CentOS:

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

במקום להריץ את פקודות העדכון הידניות שלמעלה, המשתמשים יכולים עכשיו ליצור מחדש את המכונות שלהם באמצעות קובצי האימג' החדשים הבאים:

  • centos-6-v20141016
  • centos-7-v20141016
  • debian-7-wheezy-v20141017
  • backports-debian-7-wheezy-v20141017

נעדכן את ההודעה לגבי קובצי אימג' של RHEL ו-SLES אחרי שיהיו לנו את קובצי האימג'. בינתיים, משתמשי RHEL יכולים לפנות ישירות אל Red Hat כדי לקבל מידע נוסף.

הודעה מקורית:

לקוחות Compute Engine יצטרכו לעדכן את קובצי האימג' של מערכת ההפעלה במכונות שלהם כדי לבטל את נקודת החולשה הזו. אנחנו נעדכן את עדכון האבטחה הדחוף הזה עם הוראות ברגע שיהיו זמינים קובצי אימג' חדשים של מערכת ההפעלה.

בינוני CVE-2014-3566

תאריך הפרסום: 24 בספטמבר 2014

העדכון האחרון: 29 בספטמבר 2014

תיאור רמת סיכון הערות

יש באג ב-bash‏ (CVE-2014-6271) שמאפשר הרצת קוד מרחוק על סמך ניתוח של משתני סביבה שנשלטים על ידי תוקף. הווקטור הסביר ביותר לניצול הוא שימוש בבקשות HTTP זדוניות שמופנות לסקריפטים של CGI שנחשפים בשרת אינטרנט. מידע נוסף זמין בתיאור הבאג.

הבאגים ב-Bash טופלו ב Google Cloud מוצרים, למעט קובצי אימג' של מערכות הפעלה אורחות ב-Compute Engine מתאריך שלפני 20140926. בהמשך מפורטים השלבים לתיקון הבאגים בתמונות של Compute Engine.

ההשפעה על Compute Engine

הבאג הזה עלול להשפיע כמעט על כל האתרים שמשתמשים בסקריפטים של CGI. בנוסף, סביר להניח שהיא תשפיע על אתרים שמסתמכים על PHP,‏ Perl,‏ Python,‏ SSI,‏ Java,‏ C++‎ ויישומוני Java דומים שיפעילו אי פעם פקודות מעטפת באמצעות קריאות כמו popen,‏ system,‏ shell_exec או ממשקי API דומים. יכול להיות שהיא תשפיע גם על מערכות שמנסות לאפשר גישה מבוקרת להתחברות של משתמשים מוגבלים באמצעות מנגנונים כמו הגבלת פקודות SSH או מעטפת bash מוגבלת.

עדכון (29 בספטמבר 2014):

במקום להריץ את פקודות העדכון הידניות שבהמשך, המשתמשים יכולים ליצור מחדש את המופעים שלהם באמצעות תמונות שמצמצמות את נקודות החולשה הנוספות שקשורות לבאג האבטחה ב-Bash, כולל CVE-2014-7169,‏ CVE-2014-6277,‏ CVE-2014-6278,‏ CVE-2014-7186 ו-CVE-2014-7187. כדי ליצור מחדש את המכונות, משתמשים בתמונות החדשות הבאות:

  • centos-6-v20140926
  • centos-7-v20140926
  • debian-7-wheezy-v20140926
  • backports-debian-7-wheezy-v20140926
  • rhel-6-v20140926

עדכון (25 בספטמבר 2014):

עכשיו המשתמשים יכולים לבחור ליצור מחדש את המכונות שלהם במקום לבצע עדכון ידני. כדי ליצור מחדש את המכונות, צריך להשתמש בתמונות החדשות הבאות שכוללות תיקונים לבאג האבטחה הזה:

  • backports-debian-7-wheezy-v20140924
  • debian-7-wheezy-v20140924
  • rhel-6-v20140924
  • centos-6-v20140924
  • centos-7-v20140924

בתמונות של RHEL ו-SUSE, אפשר גם לבצע עדכונים באופן ידני על ידי הרצת הפקודות הבאות במופעים:

# RHEL instances
user@my-instance:~$ sudo yum -y upgrade

# SUSE instances
user@my-instance:~$ sudo zypper --non-interactive up

הודעה מקורית:

מומלץ לשדרג את הפצות ה-Linux. במקרים שבהם מופעלת מערכת Debian, אפשר לבצע עדכון על ידי הרצת הפקודות הבאות במופע:

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade

במופעי CentOS:

user@my-instance:~$ sudo yum -y upgrade

למידע מפורט, אפשר לעיין בהודעה לגבי הפצת Linux הרלוונטית:

 גבוהה CVE-2014-7169, CVE-2014-6271, CVE-2014-6277, CVE-2014-6278 CVE-2014-7186, CVE-2014-7187

תאריך הפרסום: 25.07.2014

תיאור רמת סיכון הערות

‫ Elasticsearch Logstash חשוף להזרקת פקודות למערכת ההפעלה, שעלולה לאפשר שינוי וחשיפה של נתונים ללא הרשאה. תוקף יכול לשלוח אירועים מותאמים אישית לכל אחד ממקורות הנתונים של Logstash, וכך להריץ פקודות עם ההרשאות של תהליך Logstash.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל המכונות של Compute Engine שפועלות בהן גרסאות של Elasticsearch Logstash שקודמות ל-1.4.2, עם פלט zabbix או nagios_nsca מופעל. כדי למנוע מתקפה, אתם יכולים:

  • שדרוג ל-Logstash 1.4.2
  • החלת התיקון על גרסאות 1.3.x
  • משביתים את הפלטים של zabbix ו-nagios_nsca.

מידע נוסף זמין בבלוג של Logstash.

ב-Elasticsearch ממליצים גם להשתמש בחומת אש כדי למנוע גישה מרחוק מכתובות IP לא מהימנות.

גבוהה CVE-2014-4326

תאריך הפרסום: 18 ביוני 2014

תיאור רמת סיכון הערות

אנחנו רוצים להקדיש כמה רגעים כדי להגיב לחששות אפשריים של לקוחות לגבי האבטחה של קונטיינרים של Docker שפועלים ב- Google Cloud. ההגדרה הזו כוללת לקוחות שמשתמשים בתוספים שלנו ל-App Engine שתומכים בקונטיינרים של Docker, במכונות וירטואליות שעברו אופטימיזציה לקונטיינרים או בתזמן Kubernetes בקוד פתוח.

חברת Docker הגיבה לבעיה בצורה מצוינת, ואפשר לקרוא את התגובה שלה בבלוג כאן. חשוב לציין שכפי שנאמר בתגובה שלהם, הבעיה שנחשפה רלוונטית רק ל-Docker 0.11, גרסה ישנה יותר, טרום-ייצור.

בזמן שבעולם חושבים על אבטחת קונטיינרים, אנחנו רוצים לציין שב- Google Cloud, פתרונות שמבוססים על קונטיינרים של אפליקציות Linux (במיוחד קונטיינרים של Docker) פועלים במכונות וירטואליות מלאות (Compute Engine). אנחנו תומכים במאמצים של קהילת Docker להקשיח את מחסנית הקונטיינרים של אפליקציות Linux, אבל אנחנו מבינים שהטכנולוגיה חדשה ושטח הפנים גדול. אנחנו מאמינים שכרגע, מנהלי Hypervisor מלאים (מכונות וירטואליות) מספקים שטח פנים קומפקטי יותר וקל יותר להגנה. מכונות וירטואליות תוכננו מההתחלה כך שיבודדו עומסי עבודה זדוניים ויצמצמו את הסבירות לבאג בקוד ואת ההשפעה שלו.

הלקוחות שלנו יכולים להיות בטוחים שקיים גבול מלא של היפר-ויזורים בינם לבין כל צד שלישי, כולל קוד זדוני פוטנציאלי. אם נגיע למצב שבו נחשוב שמחסנית הקונטיינרים של אפליקציות Linux חזקה מספיק כדי לתמוך בעומסי עבודה של כמה דיירים, נודיע על כך לקהילה. בשלב הזה, קונטיינר האפליקציות של Linux לא מחליף את המכונה הווירטואלית. זו דרך להפיק ממנו הרבה יותר.

נמוכה פוסט בבלוג של Docker

תאריך הפרסום: 2014-06-05

העדכון האחרון: 09.06.2014

תיאור רמת סיכון הערות

ב-OpenSSL יש בעיה שבה ההודעות של ChangeCipherSpec לא מקושרות בצורה נכונה למכונת המצבים של לחיצת היד. כך אפשר להחדיר אותם מוקדם בתהליך הלחיצה. תוקף שמשתמש בלחיצת יד שנוצרה בקפידה יכול לכפות שימוש בחומר מפתח חלש בלקוחות ובשרתים של OpenSSL SSL/TLS. תוקפים יכולים לנצל את הפגיעות הזו כדי לבצע התקפת אדם בתווך (PITM), שבה התוקף יכול לפענח ולשנות את התנועה מהלקוח ומהשרת שהותקפו.

הבעיה הזו מזוהה בתור CVE-2014-0224. הצוות של OpenSSL תיקן את הבעיה והתריע לקהילת OpenSSL על הצורך לעדכן את OpenSSL.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל המכונות של Compute Engine שמשתמשות ב-OpenSSL, כולל Debian,‏ CentOS,‏ Red Hat Enterprise Linux ו-SUSE Linux Enterprise Server. אפשר לעדכן את המופעים על ידי יצירה מחדש שלהם עם תמונות חדשות, או על ידי עדכון ידני של חבילות במופעים.

עדכון (9 ביוני 2014): כדי לעדכן את המכונות שמריצות את SUSE Linux Enterprise Server עם קובצי אימג' חדשים, צריך ליצור מחדש את המכונות באמצעות גרסאות קובצי האימג' הבאות או גרסאות חדשות יותר:

  • sles-11-sp3-v20140609

הפוסט המקורי:

כדי לעדכן מכונות של Debian ו-CentOS באמצעות קובצי אימג' חדשים, צריך ליצור מחדש את המכונות באמצעות אחת מגרסאות קובצי האימג' הבאות או גרסה חדשה יותר:

  • debian-7-wheezy-v20140605
  • backports-debian-7-wheezy-v20140605
  • centos-6-v20140605
  • rhel-6-v20140605

כדי לעדכן ידנית את OpenSSL במכונות, מריצים את הפקודות הבאות כדי לעדכן את החבילות המתאימות. במקרים שבהם מופעלים CentOS ו-RHEL, אפשר לעדכן את OpenSSL על ידי הרצת הפקודות הבאות במופע: 

user@my-instance:~$ sudo yum -y update
user@my-instance:~$ sudo reboot

במכונות שבהן פועלת מערכת Debian, אפשר לעדכן את OpenSSL על ידי הרצת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

במכונות שבהן פועל SUSE Linux Enterprise Server, אפשר לוודא ש-OpenSSL מעודכן על ידי הרצת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo zypper --non-interactive up
user@my-instance:~$ sudo reboot
 		בינוני CVE-2014-0224

תאריך הפרסום: 8 באפריל 2014

תיאור רמת סיכון הערות

ההטמעות של (1) TLS ו-(2) DTLS ב-OpenSSL 1.0.1 לפני 1.0.1g לא מטפלות כראוי בחבילות של Heartbeat Extension, מה שמאפשר לתוקפים מרוחקים להשיג מידע רגיש מזיכרון התהליך באמצעות חבילות מותאמות שמפעילות קריאת יתר של מאגר נתונים זמני, כפי שניתן לראות בקריאת מפתחות פרטיים, שקשורים ל-d1_both.c ול-t1_lib.c, הידועה גם בשם פרצת Heartbleed.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל המכונות של Compute Engine ב-Debian, ב-RHEL וב-CentOS שאין בהן את הגרסה העדכנית ביותר של OpenSSL. אפשר לעדכן את המופעים על ידי יצירה מחדש שלהם עם תמונות חדשות, או על ידי עדכון חבילות באופן ידני במופעים.

כדי לעדכן את המכונות באמצעות קובצי אימג' חדשים, צריך ליצור מחדש את המכונות באמצעות אחת מגרסאות קובצי האימג' הבאות או גרסה גבוהה יותר:

  • debian-7-wheezy-v20140408
  • backports-debian-7-wheezy-v20140408
  • centos-6-v20140408
  • rhel-6-v20140408

כדי לעדכן ידנית את OpenSSL במכונות, מריצים את הפקודות הבאות כדי לעדכן את החבילות המתאימות. במכונות שבהן פועלות מערכות ההפעלה CentOS ו-RHEL, אפשר לוודא ש-OpenSSL מעודכן על ידי הרצת הפקודות הבאות במכונה: 

user@my-instance:~$ sudo yum update
user@my-instance:~$ sudo reboot

במקרים שבהם מופעלת Debian, אפשר לעדכן את OpenSSL על ידי הרצת הפקודות הבאות במופע: 

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get upgrade
user@my-instance:~$ sudo reboot

השינוי לא משפיע על מקרים שבהם פועלת מערכת SUSE Linux.

עדכון מ-14 באפריל 2014: בעקבות מחקר חדש על חילוץ מפתחות באמצעות באג Heartbleed,‏ Compute Engine ממליץ ללקוחות Compute Engine ליצור מפתחות חדשים לכל שירות SSL שהושפע מהבאג.

בינוני CVE-2014-0160

תאריך הפרסום: 2013-06-07

תיאור רמת סיכון הערות

הערה: נקודת החולשה הזו רלוונטית רק לקרנלים, שהוצאו משימוש והוסרו החל מגרסה v1 של ה-API.

נקודת חולשה בפורמט מחרוזת בפונקציה b43_request_firmware ב-drivers/net/wireless/b43/main.c במנהל ההתקן האלחוטי Broadcom B43 בקרנל של לינוקס עד גרסה 3.9.4 מאפשרת למשתמשים מקומיים לקבל הרשאות על ידי מינוף גישת root וצירוף מפרטי פורמט מחרוזת לפרמטר fwpostfix modprobe, מה שמוביל ליצירה לא תקינה של הודעת שגיאה.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל הליבות של Compute Engine בגרסאות שקודמות ל-gcg-3.3.8-201305291443. בתגובה, הוצאו משימוש ב-Compute Engine כל הליבות הקודמות, ומומלץ למשתמשים לעדכן את המכונות והתמונות שלהם כדי להשתמש בליבה gce-v20130603 של Compute Engine. ‫gce-v20130603 מכיל את ליבת gcg-3.3.8-201305291443, שכוללת את התיקון לנקודת החולשה הזו.

כדי לבדוק באיזו גרסת ליבה המכונה משתמשת:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 בינוני CVE-2013-2852

תאריך הפרסום: 2013-06-07

תיאור רמת סיכון הערות

הערה: הפגיעות הזו רלוונטית רק לליבות שהוצאו משימוש והוסרו מאז גרסת API‏ v1.

פגיעות של מחרוזת פורמט בפונקציה register_disk ב-block/genhd.c בליבת Linux עד גרסה 3.9.4 מאפשרת למשתמשים מקומיים לקבל הרשאות על ידי מינוף גישת הבסיס (root) וכתיבת מפרטי מחרוזת פורמט אל /sys/module/md_mod/parameters/new_array כדי ליצור שם מכשיר /dev/md מותאם אישית.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל הליבות של Compute Engine בגרסאות שקודמות ל-gcg-3.3.8-201305291443. בתגובה, הוצאנו משימוש ב-Compute Engine את כל הגרעינים הקודמים, ואנחנו ממליצים למשתמשים לעדכן את המופעים והתמונות שלהם כדי להשתמש בגרעין gce-v20130603 של Compute Engine. ‫gce-v20130603 מכיל את הליבה gcg-3.3.8-201305291443, שכוללת את התיקון לנקודת החולשה הזו.

כדי לגלות באיזו גרסת ליבה נעשה שימוש במופע:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 בינוני CVE-2013-2851

תאריך הפרסום: 14.5.2013

תיאור רמת סיכון הערות

הערה: נקודת החולשה הזו רלוונטית רק לקרנלים, שהוצאו משימוש והוסרו החל מגרסת API‏ v1.

הפונקציה perf_swevent_init ב-kernel/events/core.c בליבת Linux לפני גרסה 3.8.9 משתמשת בסוג נתונים שגוי integer, שמאפשר למשתמשים מקומיים לקבל הרשאות באמצעות קריאה למערכת perf_event_open שנוצרה במיוחד.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על כל הליבות של Compute Engine בגרסאות שקודמות ל-gcg-3.3.8-201305211623. בתגובה, הוצאנו משימוש את כל ליבות ה-kernel הקודמות ב-Compute Engine, ואנחנו ממליצים למשתמשים לעדכן את המופעים והתמונות שלהם כדי להשתמש בליבת ה-kernel של Compute Engine‏ gce-v20130521. ‫gce-v20130521 מכיל את הליבה gcg-3.3.8-201305211623, שכוללת את התיקון לנקודת החולשה הזו.

כדי לבדוק באיזו גרסת ליבה המכונה משתמשת:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 גבוהה CVE-2013-2094

תאריך הפרסום: 18.2.2013

תיאור רמת סיכון הערות

הערה: נקודת החולשה הזו רלוונטית רק לקרנלים, שהוצאו משימוש והוסרו החל מגרסה v1 של ה-API.

מרוץ תהליכים בפונקציונליות ptrace בגרסת ליבת Linux לפני 3.7.5 מאפשר למשתמשים מקומיים לקבל הרשאות באמצעות קריאת מערכת PTRACE_SETREGS ptrace באפליקציה שנוצרה במיוחד.

ההשפעה על Compute Engine

נקודת החולשה הזו משפיעה על ליבות של Compute Engine בגרסה 2.6.x-gcg-<date>. בתגובה, הוצאו משימוש ב-Compute Engine ליבות 2.6.x, ומומלץ למשתמשים לעדכן את המכונות והתמונות שלהם כדי להשתמש בליבת Compute Engine gce-v20130225. ‫gce-v20130225 מכיל את הליבה 3.3.8-gcg-201302081521, שכוללת את התיקון לנקודת החולשה הזו.

כדי לבדוק באיזו גרסת ליבה המכונה משתמשת:

  1. התחברות למכונה באמצעות SSH
  2. מריצים את uname -r
 בינוני CVE-2013-0871