Boletins de segurança

De vez em quando, lançamos boletins de segurança relacionados ao Compute Engine. Todos os boletins de segurança do Compute Engine estão descritos aqui.

Use este feed XML para se inscrever nos boletins de segurança do Compute Engine. Inscreva-se

GCP-2026-054

Publicado em: 11/08/2026

Descrição

Descrição Gravidade Observações

Uma vulnerabilidade (CVE-2026-6726, também conhecida como TCGVRT0010) foi identificada no código de implementação de referência do TPM 2.0 do Trusted Computing Group, afetando todas as revisões publicadas do código (v1.16, v1.38, v1.59, v1.83, v184).

O que fazer?

Nenhuma ação do cliente é necessária. O Google vai atualizar proativamente seus sistemas durante as janelas de manutenção padrão e planejadas.

Quais vulnerabilidades estão sendo abordadas?

A vulnerabilidade CVE-2026-6726 pode permitir que um invasor local privilegiado obtenha credenciais de uma autoridade de certificação (CA, na sigla em inglês) com reconhecimento de TPM para uma chave de TPM falsificada, como uma chave de atestado (AK), uma chave DevID ou uma chave de autenticação TLS. Isso pode permitir a criação de atestados fraudulentos do TPM 2.0 usando a chave falsificada.

 Alta CVE-2026-6726

GCP-2026-036

Publicado em: 09/06/2026

Descrição

Descrição Gravidade Observações

A ARM anunciou a CVE-2025-10263, um problema de arquitetura que afeta alguns núcleos da ARM e permite que um invasor ignore as etapas de tradução ou as proteções de GPT em determinadas condições. Essa vulnerabilidade permite que um invasor em um nível de exceção mais baixo grave na memória de um nível de exceção mais alto, escalonando privilégios. Esse problema não afeta as leituras de memória.

Embora o Google tenha protegido a infraestrutura contra ataques de VM para VM e de VM para hipervisor, você precisa obter patches no nível do SO convidado dos fornecedores de SO. Essas atualizações são essenciais para se defender contra ameaças no ambiente convidado, como ataques de processo para processo ou de processo para kernel.

As mitigações de convidado para o Container-Optimized OS estão em andamento e serão adicionadas às notas da versão do COS quando estiverem prontas.

O que fazer?

Essa vulnerabilidade afeta várias famílias de núcleos Arm usadas no Google Cloud, incluindo Neoverse V1, V2 e N1, afetando C4A, T2A, A4X e A4X Max. Se você executar cargas de trabalho em instâncias baseadas em Arm afetadas, faça upgrade das imagens do SO convidado para as versões seguras assim que elas estiverem disponíveis.

Trabalhe com os fornecedores da sua distribuição para corrigir o sistema operacional convidado em relação à CVE-2025-10263.

 Alta CVE-2025-10263

GCP-2026-032

Publicado em: 12/05/2026

Descrição

Descrição Gravidade Observações

A AMD identificou uma vulnerabilidade no nível do hardware em processadores de microarquitetura Zen 2 (incluindo as séries EPYC e Ryzen) que envolve possível corrupção no cache de micro-operação (OP). Em condições específicas, esse problema (AMD-SN-7052 / CVE-2025-54518) pode levar a bypasses de limites de segurança ou acesso não autorizado a dados.
Implantamos correções em toda a infraestrutura do Google para mitigar esses problemas.

 Alta CVE-2025-54518

GCP-2026-031

Publicado em: 12/05/2026

Descrição

Descrição Gravidade Observações

Pesquisadores descobriram uma vulnerabilidade no firmware da AMD que, devido à falta de proteção, pode permitir que um hipervisor malicioso execute código arbitrário no processador seguro da AMD (ASP, na sigla em inglês). Isso permite o escalonamento de permissões de leitura e gravação de E/S mapeada em memória (MMIO, na sigla em inglês), o que compromete a confidencialidade e a integridade dos convidados do SEV-SNP. O Google aplicou uma mitigação que evita esses problemas.

O que fazer?

Nenhuma ação do cliente é necessária. As mitigações já foram aplicadas a instâncias de VMs confidenciais com AMD SEV-SNP.

Quais vulnerabilidades estão sendo abordadas?

Para mais informações, consulte o aviso da AMD AMD-SB-3030.

 Média

GCP-2026-021

Publicado em: 14/04/2026

Descrição

Descrição Gravidade Observações

A AMD relatou uma vulnerabilidade no firmware que poderia ter permitido que um hipervisor mal-intencionado direcionasse a IOMMU para gravar na memória do convidado de instâncias com AMD SEV-SNP ativado, comprometendo a integridade dos dados do convidado. O Google lançou uma mitigação para instâncias de VM confidencial vulneráveis com AMD SEV-SNP ativado.

O que fazer?

Nenhuma ação do cliente é necessária. A mitigação já foi aplicada a instâncias de VMs confidenciais com AMD SEV-SNP ativado.

Para mais informações, consulte o aviso da AMD AMD-SB-3016.

Média

CVE-2023-20585

GCP-2026-019

Publicado em: 14/04/2026

Descrição

Descrição Gravidade Observações

Pesquisadores descobriram uma vulnerabilidade no firmware da AMD que pode permitir que um hipervisor mal-intencionado altere as configurações da BIOS e as configurações de roteamento de E/S mapeadas na memória (MMIO, na sigla em inglês), comprometendo a confidencialidade e a integridade das VMs confidenciais com convidados AMD SEV-SNP.

O Google implementou a mitigação que impede esse problema.

O que fazer?

Nenhuma ação do cliente é necessária. As mitigações já foram aplicadas às instâncias de VMs confidenciais com AMD SEV-SNP.

Quais vulnerabilidades estão sendo abordadas?

Para mais informações, consulte o aviso da AMD AMD-SB-3034.

 Média CVE-2025-54510

GCP-2026-015

Publicado em: 27/03/2026

Descrição

Descrição Gravidade Observações

Uma vulnerabilidade foi descoberta no kernel do Linux que pode levar a um escalonamento de privilégios nos nós do Container-Optimized OS.

O que fazer?

Recomendamos fazer upgrade do nó do Container-Optimized OS (COS) para cos-125-19216-220-57, que inclui uma correção para essa vulnerabilidade. Para instruções de upgrade, consulte um dos seguintes links:

  • Se você gerencia VMs do Container-Optimized OS diretamente, recrie as VMs usando as imagens atualizadas. Para mais informações, consulte Como criar uma VM a partir de uma imagem pública.
  • Se você usa o Container-Optimized OS por um serviço gerenciado (como GKE, Dataflow ou Cloud SQL), consulte as instruções de upgrade específicas desse serviço.

Observação:as correções estão em andamento para os marcos 117 e 121 do Container-Optimized OS.

Quais vulnerabilidades estão sendo abordadas?

A vulnerabilidade CrackArmor no AppArmor, CVE-2026-23268, permite que usuários sem privilégios ignorem as proteções do kernel, escalem para root e quebrem o isolamento do contêiner local.

 Alta CVE-2026-23268

GCP-2026-004

Publicado em: 14/01/2026

Descrição

Descrição Gravidade Observações

A instrução CPP RCTX em alguns processadores Arm pode ser usada por um invasor com acesso privilegiado ao kernel convidado para impedir que as invalidações do TLB entrem em vigor. Isso permite que o invasor leia dados sensíveis a que não tem autorização para acessar.

A vulnerabilidade afeta as seguintes VMs Arm do Compute Engine: C4A, A4X.

O que fazer?

Nenhuma ação do cliente é necessária. As mitigações já foram aplicadas à frota de servidores Google Cloud Arm.

Quais vulnerabilidades estão sendo abordadas?

Para mais informações, consulte a CVE-2025-0647.

 Média CVE-2025-0647

GCP-2025-058

Publicado em: 20/10/2025

Descrição

Descrição Gravidade Observações

Foi descoberta uma falha na instrução RDSEED em processadores AMD Zen 5 (Turin). Essa instrução é usada para gerar números aleatórios criptográficos. Em determinadas condições de carga do sistema, as versões de 16 e 32 bits do RDSEED podem falhar silenciosamente, o que pode comprometer aplicativos que dependem da geração de números aleatórios. Os clientes que usam a versão de 64 bits do RDSEED não são afetados.

O que fazer?

A AMD está investigando a vulnerabilidade.

É importante observar que o kernel do Linux de 64 bits usa a versão segura de 64 bits da instrução RDSEED, que alimenta os números aleatórios obtidos de /dev/[u]random. Esses números aleatórios não são afetados por essa vulnerabilidade.

Se você tiver um código do aplicativo que sintetiza números aleatórios usando a instrução RDSEED, saiba que as versões de 16 e 32 bits da instrução não são seguras. A versão de 64 bits da instrução é segura.

Quais vulnerabilidades estão sendo abordadas?

Essa vulnerabilidade permite que um invasor faça com que o RDSEED falhe silenciosamente, comprometendo potencialmente a geração de números aleatórios em aplicativos.

Alta CVE-2025-62626

GCP-2025-044

Publicado em: 12/08/2025

Descrição

Descrição Gravidade Observações

A Intel notificou o Google sobre duas novas vulnerabilidades de segurança.

CVE-2025-21090: essa vulnerabilidade afeta os seguintes processadores Intel:

  • Sapphire Rapids: famílias de VMs C3, Z3, H3, A3 e v5p
  • Emerald Rapids: famílias de VMs N4, C4, M4, A3 Ultra e A4
  • Granite Rapids: família de VMs N4 e C4

CVE-2025-22840: essa vulnerabilidade afeta o seguinte processador Intel:

  • Granite Rapids: família de VMs N4 e C4

O que fazer?

Nenhuma ação do cliente é necessária para as vulnerabilidades. O Google vai atualizar seus sistemas de forma proativa durante as janelas de manutenção padrão e planejadas. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração.

Quais vulnerabilidades estão sendo abordadas?

A vulnerabilidade CVE-2025-21090 permite que um ator sem privilégios que usa a instrução de CPU AMX, em conjunto com a instrução de CPU AVX, torne a máquina host inoperante.

A vulnerabilidade CVE-2025-22840 permite que um ator sem privilégios use a instrução de CPU prefetchit para carregar conteúdo de memória que, de outra forma, não estaria acessível, o que pode levar à execução remota de código.

 Média

GCP-2025-042

Publicado em: 11/08/2025

Descrição

Descrição Gravidade Observações

Pesquisadores descobriram uma vulnerabilidade de segurança em CPUs Intel específicas, incluindo aquelas baseadas nas microarquiteturas Skylake, Broadwell e Haswell. Essa vulnerabilidade permite que um invasor leia dados sensíveis diretamente do cache L1 da CPU que não está autorizado a acessar.

Essa vulnerabilidade foi divulgada inicialmente na CVE-2018-3646 em 2018. Ao descobrir essa vulnerabilidade, o Google implementou imediatamente mitigações que abordavam os riscos conhecidos. A comunicação sobre a vulnerabilidade e as correções iniciais foram publicadas na época. Desde então, estamos pesquisando o risco residual e trabalhando com a comunidade upstream do Linux para corrigir esse risco.

Recentemente, trabalhamos com pesquisadores de segurança da academia para avaliar o estado da arte das mitigações de segurança da CPU e possíveis técnicas de ataque não consideradas em 2018.

O Google aplicou correções aos recursos afetados, incluindo o Google Cloud, para mitigar o problema.

O que fazer?

Nenhuma ação do cliente é necessária. As mitigações já foram aplicadas à frota de servidores do Google.

Quais vulnerabilidades estão sendo abordadas?

Para mais informações, consulte o aviso da Intel INTEL-SA-00161 e CVE-2018-3646.

 Alta CVE-2018-3646

GCP-2025-031

Publicado em: 10/06/2025

Descrição

Descrição Gravidade Observações

O Trusted Computing Group (TCG) informou sobre uma vulnerabilidade de software do módulo de plataforma confiável (TPM, na sigla em inglês), que afeta as VMs protegidas que usam o TPM virtual (vTPM). Essa vulnerabilidade permite que um invasor local autenticado leia dados sensíveis do vTPM ou afete a disponibilidade do vTPM.

O acesso ao vTPM geralmente é privilegiado. No entanto, algumas configurações podem permitir um acesso mais amplo ao vTPM.

O que fazer?

Nenhuma ação do cliente é necessária. O Google vai atualizar proativamente seus sistemas durante as janelas de manutenção padrão e planejadas. No entanto, é possível limitar o acesso do vTPM a usuários administrativos (raiz). Essa ação ajuda a reduzir o risco para as VMs protegidas.

Quais vulnerabilidades estão sendo abordadas?

A vulnerabilidade CVE-2025-2884 permite que um invasor local com acesso à interface do vTPM envie comandos maliciosos. Esses comandos exploram uma incompatibilidade, que lê memória vTPM fora dos limites (OOB). Essa ação pode expor dados sensíveis.

Alta CVE-2025-2884

GCP-2025-025

Publicado em: 13/05/2025

Descrição

Descrição Gravidade Observações

A Intel notificou o Google sobre uma nova vulnerabilidade de canal lateral que afeta os seguintes processadores Intel: CascadeLake, Ice Lake XeonSP, Ice Lake XeonD, Sapphire Rapids e Emerald Rapids.

O Google corrigiu os recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração.

O que devo fazer?

Nenhuma ação do cliente é necessária. As correções já foram aplicadas à frota de servidores do Google para proteger os clientes.

Quais vulnerabilidades estão sendo abordadas?

CVE-2024-45332. Para mais informações, consulte o aviso da Intel INTEL-SA-01247.

Estamos aqui para ajudar

Se tiver dúvidas ou precisar de ajuda, entre em contato com o Cloud Customer Care e informe o número de referência 417536835.

 Alta CVE-2024-45332

GCP-2025-024

Publicado em: 12/05/2025

Atualizado em: 13/05/2025

Descrição

Descrição Gravidade Observações

Atualização de 13/05/2025: se você tiver dúvidas ou precisar de ajuda, entre em contato com o Cloud Customer Care e informe o número de referência 417458390.

A Intel notificou o Google sobre uma nova vulnerabilidade de execução especulativa que afeta os processadores Intel Cascade Lake e Intel Ice Lake.

O Google corrigiu os recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração.

O que devo fazer?

Nenhuma ação do cliente é necessária. As mitigações já foram aplicadas à frota de servidores do Google.

Outras mitigações dos fabricantes de equipamentos originais (OEMs, na sigla em inglês) da Intel e outros parceiros de sistemas operacionais serão implantadas assim que estiverem disponíveis para mitigar a vulnerabilidade de seleção de destino indireta (ITS, na sigla em inglês) de mesmo modo.

Depois que as mitigações do sistema operacional forem aplicadas, os clientes com VMs de terceira geração ou mais recentes de longa duração poderão sofrer uma degradação de desempenho não intencional.

Quais vulnerabilidades estão sendo abordadas?

CVE-2024-28956. Para mais informações, consulte Aviso de segurança da Intel INTEL-SA-01153.

 Alta CVE-2024-28956

GCP-2024-040

Publicado em: 01/07/2024
Atualizado em: 20/08/2024
Descrição Gravidade Observações
Atualização: 20/08/2024 Crítico CVE-2024-6387

20/08/2024: inclusão de patches para TPUs. Aplique as atualizações das distribuições do Linux assim que elas forem disponibilizadas. Consulte as orientações das distribuições do Linux. Se você estiver usando TPUs, atualize para uma das seguintes versões com patch:

  • tpu-ubuntu2204-base
  • v2-alpha-tpuv5
  • v2-alpha-tpuv5-lite

Uma vulnerabilidade (CVE-2024-6387) foi descoberta no OpenSSH. Se explorada, essa vulnerabilidade permite que um invasor remoto e não autenticado execute código arbitrário como raiz na máquina invadida.

Recomendamos que todas as VMs do Compute Engine que usam uma distribuição Linux baseada em glibc e têm o OpenSSH exposto sejam analisadas para verificar se há versões vulneráveis.

O que fazer?

  1. Aplique as atualizações das distribuições do Linux assim que elas forem disponibilizadas. Consulte as orientações das distribuições do Linux. Para o Container-Optimized OS do Google, atualize para uma das seguintes versões corrigidas:
    • cos-113-18244-85-49
    • cos-109-17800-218-69
    • cos-105-17412-370-67
    • cos-101-17162-463-55
    Se você estiver usando o Container-Optimized OS por um serviço gerenciado do Google (por exemplo, o GKE), consulte o boletim de segurança desse serviço para saber mais sobre a disponibilidade de patches.
  2. Se não for possível atualizar, considere desativar o OpenSSH até que ele possa ser corrigido. A rede padrão é pré-preenchida com uma regra de firewall default-allow-ssh para permitir o acesso SSH pela Internet pública. Para remover esse acesso, os clientes podem:
    1. Opcionalmente, crie regras para permitir qualquer acesso SSH necessário de redes confiáveis aos nós do GKE ou a outras VMs do Compute Engine no projeto.
    2. Desative a regra de firewall padrão com o seguinte comando: 
      gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT
    Se você criou outras regras de firewall que permitem o SSH pelo TCP na porta 22, desative-as ou limite os IPs de origem a redes confiáveis.

    Verifique se não é mais possível acessar as VMs usando SSH pela Internet. Essa configuração de firewall mitiga a vulnerabilidade.
  3. Se o OpenSSH precisar ficar ativado, execute uma atualização de configuração que elimine a condição de disputa para o exploit. Essa é uma mitigação de ambiente de execução. Para aplicar as mudanças na configuração do sshd, este script vai reiniciar o serviço sshd. 
    #!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd
  4. Por fim, monitore qualquer atividade da rede incomum envolvendo servidores SSH.
Crítico CVE-2024-6387

GCP-2024-021

Publicado em: 03/04/2024
Descrição Gravidade Observações

O Compute Engine não é afetado pela CVE-2024-3094, que impacta as versões 5.6.0 e 5.6.1 do pacote xz-utils na biblioteca liblzma e pode comprometer o utilitário OpenSSH.

O que fazer?

As imagens públicas com suporte e oferecidas pelo Compute Engine não são afetadas por essa CVE. Se você usa imagens públicas do Compute Engine para suas VMs, não é necessário fazer nada.

Você poderá estar em risco se tiver criado uma imagem personalizada que usou as versões 5.6.0 e 5.6.1 do pacote xz-utils, como os seguintes sistemas operacionais:

Para mitigar esse risco, pare todas as VMs que usam esses sistemas operacionais ou outros que poderiam ter usado sistemas operacionais afetados. Se você tiver VMs criadas com base em imagens personalizadas de outros sistemas operacionais, verifique com o fornecedor do SO se as VMs foram afetadas.

Quais vulnerabilidades estão sendo abordadas?

CVE-2024-3094

 Média CVE-2024-3094

GCP-2024-001

Publicado em: 09/01/2024
Descrição Gravidade Observações

Várias vulnerabilidades foram descobertas no firmware UEFI TianoCore EDK II. Esse firmware é usado em VMs do Google Compute Engine. Se exploradas, elas podem permitir uma violação da inicialização segura, o que forneceria medições falsas no processo de inicialização segura, inclusive quando usadas em VMs protegidas.

O que fazer?

Você não precisa fazer nada. O Google corrigiu essa vulnerabilidade no Compute Engine, e todas as VMs estão protegidas contra ela.

Quais vulnerabilidades são corrigidas por esse patch?

O patch mitigou as seguintes vulnerabilidades:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 Média

GCP-2023-44

Publicado em: 15/11/2023
Descrição Gravidade Observações

Em 14 de novembro, a AMD divulgou várias vulnerabilidades que afetam várias CPUs de servidor da AMD. Especificamente, as vulnerabilidades afetam as CPUs de servidor EPYC que usam a geração 2 "Rome", a geração 3 "Milan" e a geração 4 "Genoa" do Zen Core.

O Google aplicou correções aos recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração.

O que fazer?

Nenhuma ação do cliente é necessária.

As correções já foram aplicadas à frota de servidores do Google para Google Cloud, incluindo o Google Compute Engine.

Quais vulnerabilidades são corrigidas por esse patch?

O patch mitigou as seguintes vulnerabilidades:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

Para mais informações, consulte o aviso de segurança da AMD AMD-SN-3005: "Aviso de segurança da instrução INVD da AMD", também publicado como CacheWarp, e AMD-SN-3002: "Vulnerabilidades do servidor AMD – novembro de 2023".

 Média

GCP-2023-004

Publicado em: 26/04/2023
Descrição Gravidade Observações

Duas vulnerabilidades (CVE-2023-1017 e CVE-2023-1018) foram descobertas no módulo de plataforma confiável (TPM, na sigla em inglês) 2.0.

Elas poderiam permitir que um invasor sofisticado explorasse uma leitura/gravação de 2 bytes fora dos limites em determinadas VMs do Compute Engine.

O que fazer?

Um patch foi aplicado automaticamente a todas as VMs vulneráveis. Nenhuma ação do cliente é necessária.

Quais vulnerabilidades são corrigidas por esse patch?

O patch mitigou as seguintes vulnerabilidades:

CVE-2023-1017

Com a CVE-2023-2017, uma sobrecarga de buffer pode ser acionada na rotina de descriptografia de parâmetros do vTPM. Um invasor local em execução em uma VM vulnerável pode usar isso para acionar uma negação de serviço ou possivelmente executar código arbitrário no contexto do vTPM.

CVE-2023-1018

Com a CVE-2023-2018, havia uma leitura fora dos limites na rotina de descriptografia do parâmetro vTPM. Um invasor local em execução em uma VM vulnerável pode usar isso para vazar indiretamente dados limitados do contexto do vTPM.

 Média

GCP-2021-026

Publicado em: 14/12/2021
Descrição Gravidade Observações

O utilitário Apache Log4j é um componente usado com frequência para registrar solicitações. Em 9 de dezembro de 2021, foi relatada uma vulnerabilidade que poderia permitir que um sistema executando a versão 2.14.1 ou anterior do Apache Log4j fosse comprometido e que um invasor executasse códigos arbitrários.

O NIST publicou um alerta crítico de vulnerabilidades e exposições comuns, CVE-2021-44228, no dia 10 de dezembro de 2021. Em especial, os recursos do Java Naming Directory Interface (JNDI) usados na configuração, mensagens de registro e parâmetros não geram uma proteção contra um LDAP controlado por um invasor e outros endpoints relacionados a JNDI. Um invasor que controla mensagens de registro ou parâmetros de mensagens de registro pode executar códigos arbitrários carregados em servidores remotos quando a substituição de pesquisa de mensagem estiver ativada.

O que fazer?

  • M4CE v4.x:a equipe do Migrate for Compute Engine (M4CE) forneceu uma nova versão em 13 de dezembro de 2021. Os gerentes de projeto precisam substituir a implantação atual pela nova versão, incluindo o M4CE Manager na nuvem e o back-end do M4CE "no local". Consulte o guia de instruções para saber mais sobre a implantação da versão 4.11.
  • M2VMs v5.x:o problema foi corrigido nas versões 5.0 e mais recentes do M2VMs, e nenhuma ação é necessária.
 Crítico

GCP-2021-001

Publicado em: 28/01/2021
Descrição Gravidade Observações

Uma vulnerabilidade foi descoberta recentemente no utilitário sudo do Linux, descrito em CVE-2021-3156, que pode permitir que um invasor com acesso shell local não privilegiado em um sistema com o sudo instalado escale os privilégios ao acesso raiz do sistema.

Impacto no Compute Engine

A infraestrutura que executa o Compute Engine não é afetada por essa vulnerabilidade. As VMs do Compute Engine que executam o Linux precisam atualizar o sistema operacional convidado. Por exemplo, se você usa um Container-Optimized OS, recomendamos atualizar para uma das seguintes imagens: cos-85-13310-1209-7, cos-81-12871-1245-6, cos-dev-89-16091-0-0 ou mais recente.

 Nenhum

Data de publicação: 27/08/2020

Descrição Gravidade Observações

A Eclypsium divulgou a seguinte CVE: CVE-2020-10713.

Vulnerabilidades

Em resposta ao relatório de vulnerabilidade inicial, o código do GRUB2 foi analisado com mais rigor, e as seguintes vulnerabilidades adicionais foram descobertas pela Canonical:

Essas vulnerabilidades, conhecidas coletivamente como BootHole, permitem que invasores com privilégios administrativos carreguem binários não assinados, desativando a aplicação da inicialização segura.

Impacto no Compute Engine

A infraestrutura de host que executa o Compute Engine é protegida contra ataques conhecidos.

Os clientes do Compute Engine que usam a Inicialização segura precisam atualizar os sistemas operacionais convidados nas instâncias para evitar a possibilidade de exploração nos ambientes convidados. Para mais detalhes, consulte a mitigação recomendada pelo fornecedor do SO convidado.

Imagens que receberam patch e recursos do fornecedor

Vamos fornecer links para informações de patch de cada fornecedor de sistema operacional aqui conforme elas forem disponibilizadas. As versões anteriores dessas imagens públicas não contêm esses patches e não mitigam possíveis ataques:

  • Projeto centos-cloud: informações de patch do CentOS
    • centos-7-v20200811
    • centos-8-v20200811
  • Projeto cos-cloud:
    • cos-77-12371-1072-0
    • cos-81-12871-1185-0
    • cos-rc-85-13310-1028-0
    • cos-dev-86-15103-0-0

    Se você estiver usando o COS por um serviço gerenciado (por exemplo, GKE), siga as orientações desse serviço para aplicar atualizações.

  • Projeto debian-cloud: DSA-4753
    • debian-10-buster-v20200805
  • Projeto coreos-cloud:
    • coreos-alpha-2163-2-1-v20190617
    • coreos-beta-2135-3-1-v20190617
    • coreos-stable-2079-6-0-v20190617
  • Projeto rhel-cloud/rhel-sap-cloud: Red Hat Vulnerability Response
    • rhel-7-v20200811
    • rhel-7-4-sap-v20200811
    • rhel-7-6-sap-v20200811
    • rhel-7-7-sap-v20200811
    • rhel-8-v20200811
  • Projeto suse-cloud/suse-sap-cloud:: SUSE KB
    • sles-12-sp5-v20200813
    • sles-15-sp2-v20200804
    • sles-12-sp4-sap-v20200804
    • sles-12-sp5-sap-v20200813
    • sles-15-sap-v20200803
    • sles-15-sp1-sap-v20200803
    • Sles-15-sp2-sap-v20200804
  • Projeto ubuntu-os-cloud: Ubuntu Wiki
    • ubuntu-1604-xenial-v20200729
    • ubuntu-1804-bionic-v20200729
    • ubuntu-2004-focal-v20200729
 Alta

Data de publicação: 19/06/2020

Descrição Gravidade Observações

As VMs com o Login do SO ativado podem ser suscetíveis a vulnerabilidades de escalonamento de privilégios. Com essas vulnerabilidades, os usuários que têm permissões do Login do SO sem acesso de administrador podem escalonar para o acesso raiz na VM.

Vulnerabilidades

As três vulnerabilidades a seguir, que são causadas por associações de grupo padrão excessivamente permissivas, foram identificadas para imagens do Compute Engine:

  • CVE-2020-8903: ao usar o usuário adm, é possível aproveitar o XID do DHCP para obter privilégios de administrador.
  • CVE-2020-8907: ao usar o usuário docker, é possível montar e modificar o sistema de arquivos do SO host para receber privilégios de administrador.
  • CVE-2020-8933: ao usar o usuário lxd, é possível anexar sistemas de arquivos do SO host e obter privilégios de administrador.

Imagens corrigidas e correções

Todas as imagens públicas do Compute Engine criadas após v20200506 foram corrigidas.

Se você precisar corrigir esse problema sem atualizar para uma versão mais recente da imagem, edite o arquivo /etc/security/group.conf e remova os usuários adm, lxd e docker da entrada padrão do Login do SO.

Alta

Data de publicação: 21/01/2020

Descrição Gravidade Observações

A Microsoft divulgou a seguinte vulnerabilidade:

  • CVE-2020-0601: essa vulnerabilidade também é conhecida como vulnerabilidade de spoofing da API Windows Crypto e pode ser explorada para fazer com que executáveis mal-intencionados pareçam confiáveis ou permitir que o invasor realize ataques man-in-the-middle e descriptografe informações confidenciais em conexões de usuários com o software afetado.

Impacto no Compute Engine

A infraestrutura que executa o Compute Engine não é afetada por essa vulnerabilidade. A menos que você esteja executando o Windows Server na máquina virtual do Compute Engine, nenhuma outra ação é necessária. Os clientes que usam VMs do Compute Engine que executam o Windows Server precisam garantir que as instâncias deles tenham o patch do Windows mais recente.

Imagens que receberam patch e recursos do fornecedor

As versões anteriores das imagens públicas do Windows não contêm os seguintes patches e não mitigam possíveis ataques:

  • Projetos windows-cloud e windows-sql-cloud
    • Todas as imagens públicas do Windows Server e do SQL Server a partir da v20200114
 Média

Data de publicação: 12/11/2019

Descrição Gravidade Observações

A Intel divulgou as CVEs a seguir:

  • CVE-2019-11135: essa CVE também é conhecida como TSX Async Abort (TAA). A TAA oferece outra via para exfiltração de dados usando as mesmas estruturas de dados microarquitetônicas que foram exploradas pela amostragem de dados microarquitetônica (MDS).
  • CVE-2018-12207: essa CVE também é conhecida como "Erro de verificação da máquina na alteração de tamanho da página". Essa é uma vulnerabilidade de negação de serviço (DoS) que afeta hosts de máquinas virtuais, permitindo que um convidado mal-intencionado cause uma falha em um host desprotegido.

Impacto no Compute Engine

CVE-2019-11135

A infraestrutura de host que executa o Compute Engine isola as cargas de trabalho do cliente. A menos que você esteja executando código não confiável em VMs N2, C2 ou M2, nenhuma outra ação é necessária.

Os clientes N2, C2 ou M2 que executam código não confiável nos próprios serviços com vários locatários em máquinas virtuais do Compute Engine precisam encerrar e iniciar as VMs para garantir que elas tenham as mitigações de segurança mais recentes. Uma reinicialização sem parada/início não é suficiente. Esta orientação pressupõe que você já tenha aplicado as atualizações lançadas anteriormente que cobrem a vulnerabilidade de MDS. Caso contrário, siga as instruções para aplicar as atualizações apropriadas.

Para clientes que usam tipos de máquina N1, nenhuma ação é necessária, já que essa vulnerabilidade não representa uma nova exposição além das vulnerabilidades de MDS divulgadas anteriormente.

CVE-2018-12207

A infraestrutura de host que executa o Compute Engine está protegida contra essa vulnerabilidade. Você não precisa fazer mais nada.

 Média

Data da publicação: 18/06/2019

Última atualização: 25/06/2019 às 6h30 (horário do Pacífico)

Descrição Gravidade Observações

A Netflix divulgou recentemente três vulnerabilidades do TCP nos kernels do Linux:

Essas CVEs são coletivamente denominadas NFLX-2019-001 (em inglês).

Impacto no Compute Engine

A infraestrutura que hospeda o Compute Engine tem proteção contra essa vulnerabilidade.

As VMs do Compute Engine que executam sistemas operacionais Linux sem patches e enviam/recebem tráfego de rede não confiável são vulneráveis a esse ataque de DoS. É recomendado atualizar essas instâncias de VM assim que os patches forem disponibilizados para os respectivos sistemas operacionais.

Os balanceadores de carga que fecham conexões TCP foram corrigidos contra essa vulnerabilidade. As instâncias do Compute Engine que recebem apenas tráfego não confiável por esses balanceadores de carga não estão vulneráveis. Isso inclui balanceadores de carga HTTP, SSL Proxy e TCP Proxy.

Os balanceadores de carga de rede e os balanceadores de carga internos não fecham conexões TCP. As instâncias do Compute Engine sem patches que recebem tráfego não confiável por meio desses balanceadores de carga estão vulneráveis.

Imagens que receberam patch e recursos do fornecedor

Vamos fornecer links para informações de patch de cada fornecedor de sistema operacional aqui, conforme forem disponibilizados, incluindo o status de cada CVE. As versões anteriores dessas imagens públicas não contêm esses patches e não mitigam possíveis ataques:

  • Projeto debian-cloud:
    • debian-9-stretch-v20190618
  • Projeto centos-cloud:
    • centos-6-v20190619
    • centos-7-v20190619
  • Projeto cos-cloud:
    • cos-dev-77-12293-0-0
    • cos-beta-76-12239-21-0
    • cos-stable-75-12105-77-0
    • cos-73-11647-217-0
    • cos-69-10895-277-0
  • Projeto coreos-cloud:
    • coreos-alpha-2163-2-1-v20190617
    • coreos-beta-2135-3-1-v20190617
    • coreos-stable-2079-6-0-v20190617
  • Projeto rhel-cloud:
    • rhel-6-v20190618
    • rhel-7-v20190618
    • rhel-8-v20190618
  • Projeto rhel-sap-cloud:
    • rhel-7-4-sap-v20190618
    • rhel-7-6-sap-v20190618
  • Projeto suse-cloud:
    • sles-12-sp4-v20190617
    • sles-15-v20190617
  • Projeto suse-sap-cloud:
    • sles-12-sp1-sap-v20190617
    • sles-12-sp2-sap-v20190617
    • sles-12-sp3-sap-v20190617
    • sles-12-sp4-sap-v20190617
    • sles-15-sap-v20190617
  • Projeto ubuntu-cloud:
    • ubuntu-1604-xenial-v20190617
    • ubuntu-1804-bionic-v20190617
    • ubuntu-1810-cosmic-v20190618
    • ubuntu-1904-disco-v20190619
    • ubuntu-minimal-1604-xenial-v20190618
    • ubuntu-minimal-1804-bionic-v20190617
    • ubuntu-minimal-1810-cosmic-v20190618
    • ubuntu-minimal-1904-disco-v20190618
 Média

Data da publicação: 14/05/2019

Última atualização: 2019-05-20 T 17:00 PST

Descrição Gravidade Observações

A Intel divulgou as CVEs a seguir:

Essas CVEs são coletivamente denominadas "amostragem de dados de microarquitetura (MDS, na sigla em inglês)". Essas vulnerabilidades podem permitir que os dados sejam expostos usando a interação da execução especulativa com o estado microarquitetônico.

Impacto no Compute Engine

A infraestrutura de host que executa o Compute Engine isola as cargas de trabalho dos clientes umas das outras. A menos que você esteja executando código não confiável nas VMs, nenhuma outra ação é necessária.

Os clientes que executam código não confiável nos serviços de vários locatários em máquinas virtuais do Compute Engine precisam consultar as informações de mitigação recomendadas do fornecedor do SO convidado. Elas podem incluir o uso dos recursos de mitigação de microcódigo da Intel. Implantamos o acesso de passagem de convidado na nova funcionalidade de liberação. Veja a seguir um resumo das etapas de mitigação disponíveis para imagens comuns de convidado.

Imagens que receberam patch e recursos do fornecedor

Vamos fornecer links para informações de patch de cada fornecedor de sistema operacional aqui, conforme forem disponibilizados, incluindo o status de cada CVE. Use essas imagens para recriar instâncias de VM. As versões anteriores dessas imagens públicas não contêm esses patches e não mitigam possíveis ataques:

  • Projeto centos-cloud: CESA-2019:1169, CESA-2019:1168
    • centos-6-v20190515
    • centos-7-v20190515
  • Projeto coreos-cloud: mitigações de MDS para o CoreOS Container Linux
    • coreos-stable-2079-4-0-v20190515
    • coreos-beta-2107-3-0-v20190515
    • coreos-alpha-2135-1-0-v20190515
  • Projeto cos-cloud
    • cos-69-10895-242-0
    • cos-73-11647-182-0
  • Projeto debian-cloud: DSA-4444
    • debian-9-stretch-v20190514
  • Projeto rhel-cloud: Artigo de conhecimento do Red Hat MDS
    • rhel-6-v20190515
    • rhel-7-v20190517
    • rhel-8-v20190515
  • Projeto rhel-sap-cloud: Artigo de conhecimento do Red Hat MDS
    • rhel-7-4-sap-v20190515
    • rhel-7-6-sap-v20190517
  • Projeto suse-cloud: Base de conhecimento do SUSE MDS
    • sles-12-sp4-v20190520
    • sles-15-v20190520
  • Projeto suse-sap-cloud
    • sles-12-sp4-sap-v20190520
    • sles-15-sap-v20190520
  • Projeto ubuntu-os-cloud: Wiki do MDS do Ubuntu
    • ubuntu-1404-trusty-v20190514
    • ubuntu-1604-xenial-v20190514
    • ubuntu-1804-bionic-v20190514
    • ubuntu-1810-cosmic-v20190514
    • ubuntu-1904-disco-v20190514
    • ubuntu-minimal-1604-xenial-v20190514
    • ubuntu-minimal-1804-bionic-v20190514
    • ubuntu-minimal-1810-cosmic-v20190514
    • ubuntu-minimal-1904-disco-v20190514
  • Projetos windows-cloud e windows-sql-cloud: Microsoft ADV190013
    • Todas as imagens públicas do Windows Server e do SQL Server com o número de versão v20190514.
  • Projeto gce-uefi-images
    • centos-7-v20190515
    • cos-69-10895-242-0
    • cos-73-11647-182-0
    • rhel-7-v20190517
    • ubuntu-1804-bionic-v20190514
    • Todas as imagens públicas do Windows Server com o número da versão v20190514.

Container-Optimized OS

Se você usa o Container Optimized OS (COS) como SO convidado e está executando cargas de trabalho não confiáveis de vários locatários na máquina virtual, é recomendado o seguinte:

  1. Desative o Hyper-Threading definindo nosmt na linha de comando do kernel.

    Nas VMs do COS, é possível modificar o grub.cfg da seguinte maneira para definir a opção nosmt e reiniciar o sistema:

    # Run as root:
dir="$(mktemp -d)"
mount /dev/sda12 "${dir}"
sed -i -e "s|cros_efi|cros_efi nosmt|g" "${dir}/efi/boot/grub.cfg"
umount "${dir}"
rmdir "${dir}"

reboot

    Para sua conveniência, execute o script abaixo para ter o mesmo resultado que executar os comandos anteriores. Recomendamos que você o inclua nos modelos de instância, scripts de inicialização e cloud-config para garantir que as novas VMs usem esse novo parâmetro. Veja abaixo um exemplo de cloud-config que executa o script.

    Aviso: esse comando ativa a reinicialização imediata da instância quando executado pela primeira vez. As próximas execuções do comando em uma instância com o Hyper-Threading já desativado não terão efeito.

    # Run as root
/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)

    Para incluir esse comando como parte do cloud-config:

    #cloud-config

bootcmd:
- /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)"

    Para confirmar se o Hyper-Threading está desativado na instância, confira a saída dos arquivos /sys/devices/system/cpu/smt/active e /sys/devices/system/cpu/smt/control. Se ele retornar 0 para active e off para control, o Hyper-Threading está desativado:

    cat /sys/devices/system/cpu/smt/active
cat /sys/devices/system/cpu/smt/control

    Observação: se a inicialização segura UEFI estiver ativada na instância, será necessário recriá-la com esse recurso desativado. Depois, você precisará executar o comando acima com a inicialização segura UEFI desativada e ativar esse recurso na nova instância.

  2. Usar a nova versão da imagem do COS

    Além de desativar o Hyper-Threading conforme descrito acima, você também precisa recriar suas instâncias com as imagens atualizadas listadas acima ou versões mais recentes (quando disponíveis) de imagens do Container-Optimized OS para se proteger totalmente contra a vulnerabilidade.

 Média

Data da publicação: 14/08/2018

Última atualização: 2018-08-20 T 17:00 PST

Descrição Gravidade Observações

Descrição

A Intel divulgou as CVEs a seguir:

Essas CVEs são coletivamente denominadas "L1 Terminal Fault (L1TF)".

As vulnerabilidades desse tipo atacam a configuração de estruturas de dados no nível do processador para explorar a execução especulativa. "L1" se refere ao cache de dados de nível 1 (L1D), um pequeno recurso dos núcleos usado para acelerar o acesso à memória.

Leia a postagem do blog doGoogle Cloud para mais detalhes sobre essas vulnerabilidades e as mitigações do Compute Engine.

Impacto no Compute Engine

A infraestrutura de host que executa o Compute Engine e isola as cargas de trabalho do cliente umas das outras é protegida contra ataques conhecidos.

Recomendamos que os clientes do Compute Engine atualizem as imagens para evitar a possibilidade de exploração indireta nos ambientes convidados deles. Isso é importante principalmente para os clientes que executam os próprios serviços de vários locatários nas máquinas virtuais do Compute Engine.

Os clientes do Compute Engine podem atualizar os sistemas operacionais convidados nas instâncias usando uma das seguintes opções:

  • Use imagens públicas que receberam patch para recriar instâncias de VM.
  • Em instâncias atuais, instalar os patches cedidos pelo fornecedor do sistema operacional e reinicie as instâncias que receberam patch.

Imagens que receberam patch e recursos do fornecedor

Enviaremos links com informações sobre os patches de cada fornecedor do sistema operacional assim que estiverem disponíveis, incluindo o status de ambas as CVEs. Use essas imagens para recriar instâncias de VM. As versões anteriores dessas imagens públicas não contêm esses patches e não mitigam possíveis ataques:

  • Projeto centos-cloud:
    • centos-7-v20180815
    • centos-6-v20180815
  • Projeto coreos-cloud:
    • coreos-stable-1800-7-0-v20180816
    • coreos-beta-1855-2-0-v20180816
    • coreos-alpha-1871-0-0-v20180816
  • Projeto cos-cloud:
    • cos-stable-66-10452-110-0
    • cos-stable-67-10575-66-0
    • cos-beta-68-10718-81-0
    • cos-dev-69-10895-23-0
  • Projeto debian-cloud:
    • debian-9-stretch-v20180820
  • Projeto rhel-cloud:
    • rhel-7-v20180814
    • rhel-6-v20180814
  • Projeto rhel-sap-cloud:
    • rhel-7-sap-apps-v20180814
    • rhel-7-sap-hana-v20180814
  • Projeto suse-cloud:
    • sles-15-v20180816
    • sles-12-sp3-v20180814
    • sles-11-sp4-v20180816
  • Projeto suse-sap-cloud:
    • sles-15-sap-v20180816
    • sles-12-sp3-sap-v20180814
    • sles-12-sp2-sap-v20180816
  • Projeto ubuntu-os-cloud:
    • ubuntu-1804-bionic-v20180814
    • ubuntu-1604-xenial-v20180814
    • ubuntu-1404-trusty-v20180814
    • ubuntu-minimal-1804-bionic-v20180814
    • ubuntu-minimal-1604-xenial-v20180814
  • Projetos windows-cloud gce-uefi-images e windows-sql-cloud:
    • Todas as imagens públicas do Windows Server e do SQL Server com o número de versão -v201800814 e posterior incluem patches.
 Alta

Data da publicação: 06/08/2018

Última atualização: 05/09/2018, às 17h (horário do Pacífico)

Descrição Gravidade Observações

Atualização: 05/09/2018

A CVE-2018-5391 foi divulgada em 14/08/2018 pelo US-CERT. Assim como a CVE-2018-5390, é uma vulnerabilidade de rede no nível do kernel que aumenta a eficiência de ataques de negação de serviço (DoS) contra sistemas vulneráveis. A principal diferença é que a CVE-2018-5391 pode ser explorada em conexões por IP. Atualizamos este boletim para cobrir as duas vulnerabilidades.

Descrição

Na CVE-2018-5390 ("SegmentSmack"), há a descrição de uma vulnerabilidade de rede no nível do kernel que aumenta a eficácia de ataques de negação de serviço (DoS) em sistemas vulneráveis com conexões TCP.

A CVE-2018-5391 ("FragmentSmack") descreve uma vulnerabilidade de rede no nível do kernel que aumenta a eficácia dos ataques de negação de serviço (DoS) contra sistemas vulneráveis em conexões por IP.

Impacto no Compute Engine

A infraestrutura de host que executa VMs do Compute Engine não está em risco. A infraestrutura de rede que processa o tráfego com origem e destino nas VMs do Compute Engine está protegida contra essa vulnerabilidade. As VMs do Compute Engine que apenas enviam/recebem tráfego de rede não confiável usando HTTP(S), SSL ou balanceadores de carga TCP estão protegidas contra essa vulnerabilidade.

As VMs do Compute Engine que executam sistemas operacionais sem patch e enviam/recebem tráfego de rede não confiável diretamente ou usando balanceadores de carga de rede estão vulneráveis a esse ataque DoS.

Recomendamos atualizar suas instâncias de VM assim que os patches forem disponibilizados para os respectivos sistemas operacionais.

Os clientes do Compute Engine podem atualizar os sistemas operacionais convidados nas instâncias usando uma das seguintes opções:

  • Use imagens públicas que receberam patch para recriar instâncias de VM. Veja a seguir a lista de imagens públicas que receberam patch.
  • Em instâncias, instale os patches cedidos pelo fornecedor do sistema operacional e reinicie as instâncias que receberam patch.

Imagens que receberam patch e recursos do fornecedor

Enviaremos links com informações de patches de cada fornecedor de sistema operacional, assim que estiverem disponíveis.

  • Projeto centos-cloud (somente CVE-2018-5390):
    • centos-7-v20180815
    • centos-6-v20180815
  • Projeto coreos-cloud (CVE-2018-5390 e CVE-2018-5391):
    • coreos-stable-1800-7-0-v20180816
    • coreos-beta-1855-2-0-v20180816
    • coreos-alpha-1871-0-0-v20180816
  • Projeto cos-cloud (CVE-2018-5390 e CVE-2018-5391):
    • cos-stable-65-10323-98-0
    • cos-stable-66-10452-109-0
    • cos-stable-67-10575-65-0
    • cos-beta-68-10718-76-0
    • cos-dev-69-10895-16-0
  • Projeto debian-cloud (CVE-2018-5390 e CVE-2018-5391):
    • debian-9-stretch-v20180814
  • Projeto rhel-cloud (somente CVE-2018-5390):
    • rhel-7-v20180814
    • rhel-6-v20180814
  • Projeto suse-cloud (CVE-2018-5390 e CVE-2018-5391):
    • sles-15-v20180816
    • sles-12-sp3-v20180814
  • Projeto suse-sap-cloud (CVE-2018-5390 e CVE-2018-5391):
    • sles-15-sap-v20180816
    • sles-12-sp3-sap-v20180814
    • sles-12-sp2-sap-v20180816
  • Projeto ubuntu-os-cloud (CVE-2018-5390 e CVE-2018-5391):
    • ubuntu-1804-bionic-v20180814
    • ubuntu-1604-xenial-v20180814
    • ubuntu-1404-trusty-v20180814
    • ubuntu-minimal-1804-bionic-v20180814
    • ubuntu-minimal-1604-xenial-v20180814
 Alta

Data da publicação: 03/01/2018

Última atualização: 21/05/2018, às 15h (horário do Pacífico)

Descrição Gravidade Notas

Atualização: 21/05/2018

A CVE-2018-3640 e a CVE-2018-3639, variantes 3a e 4, respectivamente, foram divulgadas pela Intel. Assim como no caso das primeiras três variantes do Spectre e do Meltdown, a infraestrutura em que as instâncias de VM do Compute Engine são executadas está protegida, e as instâncias de VM de clientes estão isoladas e protegidas umas das outras. Além disso, a equipe do Compute Engine planeja implantar patches de microcódigo da Intel na nossa infraestrutura. Isso permitirá que os clientes que executam cargas de trabalho não confiáveis ou multilocatárias em uma única instância de VM habilitem mitigações na própria VM quando essas mitigações forem disponibilizadas pelos fornecedores de sistemas operacionais. A equipe do Compute Engine implantará os patches de microcódigo após a certificação da Intel, depois de testá-los e qualificá-los para nosso ambiente de produção. Apresentaremos cronogramas e atualizações mais detalhados nesta página quando eles estiverem disponíveis.

Descrição

Essas CVEs são variantes de uma nova classe de ataque. Elas exploram a tecnologia de execução especulativa disponível em muitos processadores. Essa classe de ataque pode permitir acesso somente leitura não autorizado aos dados da memória em diversas circunstâncias.

O Google Compute Engine usou a tecnologia VM Live Migration para executar atualizações no sistema host e no hipervisor sem impacto ao usuário, sem janelas de manutenção forçadas e sem a necessidade de uma reinicialização geral. No entanto, é preciso corrigir todos os sistemas operacionais convidados e versões para fins de proteção contra essa nova classe de ataque, independentemente do lugar de execução desses sistemas.

Leia a postagem do blog Project Zero para saber detalhes técnicos completos sobre esse método de ataque. Leia a postagem do blog de segurança do Google para ver todos os detalhes sobre as mitigações do Google, incluindo todas as informações específicas do produto.

Impacto no Compute Engine

A infraestrutura que executa o Compute Engine e isola as instâncias de VM do cliente umas das outras é protegida contra ataques conhecidos. Nossas ações de redução de danos impedem o acesso não autorizado a nossos sistemas host de aplicativos que estão sendo executados em instâncias de VM. Essas ações também impedem o acesso não autorizado entre instâncias de VM que funcionam no mesmo sistema host.

Para evitar o acesso não autorizado nas instâncias da máquina virtual, é necessário atualizar os sistemas operacionais convidados nessas instâncias usando uma das seguintes opções:

  • Use imagens públicas que receberam patch para recriar suas instâncias de VM. Veja a seguir a lista de imagens públicas que receberam patch.
  • Em suas instâncias, instale os patches cedidos pelo fornecedor do sistema operacional para sua distribuição e reinicie as instâncias que receberam patch. Veja a seguir links para informações sobre os patches de cada fornecedor do sistema operacional.

Imagens que receberam patch e recursos do fornecedor

Observação: as imagens que receberam patch podem não incluir correções para todas as CVEs listadas neste aviso do boletim de segurança. Além disso, imagens diferentes podem incluir diferentes métodos para prevenir esses tipos de ataques. Entre em contato com o fornecedor do sistema operacional para confirmar quais CVEs eles abordam nos respectivos patches e quais métodos de prevenção eles usam.

  • Projeto cos-cloud: inclui patches que evitam ataques da Variante 2 (CVE-2017-5715) e da Variante 3 (CVE-2017-5754). O Google usou o Retpoline nessas imagens para mitigar ataques da Variante 2.
    • cos-stable-63-10032-71-0 ou família de imagens cos-stable
  • Projeto centos-cloud: Informações do patch do CentOS
    • centos-7-v20180104 ou família de imagens centos-7
    • centos-6-v20180104 ou família de imagens centos-6
  • Projeto coreos-cloud: Informações do patch do CoreOS
    • coreos-stable-1576-5-0-v20180105 ou família de imagens coreos-stable
    • coreos-beta-1632-1-0-v20180105 ou família de imagens coreos-beta
    • coreos-alpha-1649-0-0-v20180105 ou família de imagens coreos-alpha
  • Projeto debian-cloud: Informações do patch do Debian
    • debian-9-stretch-v20180105 ou família de imagens debian-9
    • debian-8-jessie-v20180109 ou família de imagens debian-8
  • Projeto rhel-cloud: Informações sobre o patch do RHEL
    • rhel-7-v20180104 ou família de imagens rhel-7
    • rhel-6-v20180104 ou família de imagens rhel-6
  • Projeto suse-cloud: Informações do patch do SUSE
    • sles-12-sp3-v20180104 ou família de imagens sles-12
    • sles-11-sp4-v20180104 ou família de imagens sles-11
  • Projeto suse-sap-cloud: informações de patch do SUSE
    • sles-12-sp3-sap-v20180104 ou família de imagens sles-12-sp3-sap
    • sles-12-sp2-sap-v20180104 ou família de imagens sles-12-sp2-sap
  • Projeto ubuntu-os-cloud: informações de patch do Ubuntu
    • ubuntu-1710-artful-v20180109 ou família de imagens ubuntu-1710
    • ubuntu-1604-xenial-v20180109 ou família de imagens ubuntu-1604-lts
    • ubuntu-1404-trusty-v20180110 ou família de imagens ubuntu-1404-lts
  • Projetos windows-cloud e windows-sql-cloud:
    • Todas as imagens públicas do Windows Server e do SQL Server com o número de versão -v20180109 e posterior incluem patches. No entanto, é preciso seguir as ações recomendadas pela Microsoft no boletim de suporte Orientação do Windows Server para ativar e verificar essas mitigações nas instâncias atuais e nas recém-criadas.

Use essas imagens para recriar suas instâncias de VMs. As versões anteriores dessas imagens públicas não contêm esses patches e não mitigam possíveis ataques.

Patches de fornecedores de hardware

A NVIDIA fornece drivers de patch para reduzir possíveis ataques contra sistemas com o software do driver da NVIDIA® instalado. Para saber quais versões de driver são corrigidas, leia o boletim de segurança Atualizações de segurança no driver de exibição da GPU da NVIDIA (em inglês) da NVIDIA.

Histórico de revisão:

  • 21/05/2018 T 14h PST: informações adicionadas sobre duas novas variantes divulgadas em 21 de maio de 2018.
  • 10/01/2018 T 15h PST: informações adicionadas sobre imagens públicas do Windows Server e do SQL Server corrigidas.
  • 10/01/2018 T 10h15 PST: várias imagens Ubuntu adicionadas à lista de imagens públicas corrigidas.
  • 10/01/2018 T 09h50 PST: fornecedores de hardware adicionaram orientações para correções.
  • 03/01/2018 a 29/01/2018: várias revisões realizadas na lista de imagens públicas corrigidas.
 Alta

Data da publicação: 02/10/2017

Descrição Gravidade Observações

O Dnsmasq fornece funcionalidades para veicular DNS, DHCP, anúncios de roteadores e inicialização de rede. Normalmente, esse software é instalado em sistemas tão variados quanto distribuições Linux para desktop (como Ubuntu), roteadores domésticos e dispositivos IoT. O Dnsmasq é amplamente utilizado, tanto na Internet aberta quanto internamente em redes privadas.

O Google descobriu sete problemas diferentes ao longo de nossas avaliações de segurança interna regulares. Depois de determinarmos a gravidade desses problemas, trabalhamos para investigar o impacto e a capacidade de exploração deles e, em seguida, produzimos provas internas de conceito para cada um deles. Também trabalhamos com o mantenedor do Dnsmasq, Simon Kelly, para produzir os patches adequados e mitigar o problema.

Durante nossa revisão, a equipe encontrou três possíveis execuções de código remoto, um vazamento de informações e três vulnerabilidades de negação de serviço que afetam a versão mais recente no servidor git do projeto em 5 de setembro de 2017.

Esses patches são upstreamed e confirmados no repositório Git do projeto.

Impacto no Compute Engine

Por padrão, o Dnsmasq só é instalado em imagens que usam NetworkManager (em inglês) e fica inativo por padrão. As imagens públicas do Compute Engine a seguir têm o Dnsmasq instalado:

  • Ubuntu 16.04, 16.10, 17.04
  • CentOS 7
  • RHEL 7

No entanto, outras imagens podem ter o Dnsmasq instalado como uma dependência de outros pacotes. Recomendamos que você atualize suas instâncias do Debian, Ubuntu, CentOS, RHEL, SLES e OpenSuse para usar a imagem mais recente do sistema operacional. O CoreOS e o Container-Optimized OS não foram afetados. As imagens do Windows também não são afetadas.

Para instâncias com o Debian e Ubuntu, execute uma atualização com os seguintes comandos em sua instância:

sudo apt-get -y update
 
sudo apt-get -y dist-upgrade

Para instâncias do Red Hat Enterprise Linux e CentOS, execute:

sudo yum -y upgrade

Para imagens SLES e OpenSUSE, execute:

sudo zypper up

Como alternativa à execução dos comandos de atualização manual, recrie instâncias de VM usando as famílias de imagens do respectivo sistema operacional.

 Alta

Data da publicação: 26/10/2016

Descrição Gravidade Observações

A CVE-2016-5195 é uma disputa na maneira como o subsistema de memória do kernel do Linux lidava com a quebra da situação de COW de mapeamentos particulares somente leitura no acesso de gravação.

Um usuário local sem privilégios pode usar essa falha para ter acesso de gravação a mapeamentos de memória somente de leitura e, assim, aumentar os privilégios no sistema.

Para mais informações, consulte Perguntas frequentes sobre Dirty COW (em inglês).

Impacto no Compute Engine

Todas as distribuições e versões do Linux no Compute Engine são afetadas. A maioria das instâncias faz o download e a instalação de um kernel mais recente automaticamente. No entanto, é necessário reinicializar para corrigir o sistema em execução.

Instâncias novas ou recriadas com base nas seguintes imagens do Compute Engine têm kernels com patches já instalados.

  • centos-6-v20161026
  • centos-7-v20161025
  • coreos-alpha-1192-2-0-v20161021
  • coreos-beta-1185-2-0-v20161021
  • coreos-stable-1122-3-0-v20161021
  • debian-8-jessie-v20161020
  • rhel-6-v20161026
  • rhel-7-v20161024
  • sles-11-sp4-v20161021
  • sles-12-sp1-v20161021
  • ubuntu-1204-precise-v20161020
  • ubuntu-1404-trusty-v20161020
  • ubuntu-1604-xenial-v20161020
  • ubuntu-1610-yakkety-v20161020
 Alta CVE-2016-5195

Data da publicação: 16/02/2016

Última atualização: 22/02/2016

Descrição Gravidade Observações

A CVE-2015-7547 é uma vulnerabilidade em que o resolvedor do lado do cliente DNS glibc torna o software vulnerável a um estouro de buffer baseado em pilha ao usar a função de biblioteca getaddrinfo(). Um invasor se beneficia do software usando a função para explorar essa vulnerabilidade, com nomes de domínio e servidores DNS controlados pelo invasor, ou por meio de um ataque indireto.

Para mais detalhes, consulte o post do blog de segurança do Google ou o banco de dados de Vulnerabilidades e Exposições Comuns (CVE).

Impacto no Compute Engine

Atualização (22/02/2016):

Agora é possível recriar suas instâncias usando as seguintes imagens do CoreOS, SLES e OpenSUSE:

  • coreos-alpha-962-0-0-v20160218
  • coreos-beta-899-7-0-v20160218
  • coreos-stable-835-13-0-v20160218
  • opensuse-13-2-v20160222
  • opensuse-leap-42-1-v20160222
  • sles-11-sp4-v20160222
  • sles-12-sp1-v20160222

Atualização (17/02/2016):

Agora é possível fazer uma atualização nas instâncias do Ubuntu 12.04 LTS, Ubuntu 14.04 LTS e Ubuntu 15.10 executando os seguintes comandos:

  1. user@my-instance:~$ sudo apt-get -y update
  2. user@my-instance:~$ sudo apt-get -y dist-upgrade
  3. user@my-instance:~$ sudo reboot

Como alternativa para executar comandos de atualização manual, recrie as instâncias com estas imagens novas:

  • backports-debian-7-wheezy-v20160216
  • centos-6-v20160216
  • centos-7-v20160216
  • debian-7-wheezy-v20160216
  • debian-8-jessie-v20160216
  • rhel-6-v20160216
  • rhel-7-v20160216
  • ubuntu-1204-precise-v20160217a
  • ubuntu-1404-trusty-v20160217a
  • ubuntu-1510-wily-v20160217

Desconhecemos métodos que possam explorar essa vulnerabilidade por meio dos resolvedores DNS do Compute Engine com a configuração glibc padrão. Recomendamos que você corrija as instâncias de máquina virtual assim que possível, já que, como acontece com qualquer nova vulnerabilidade, novos métodos de exploração podem ser descobertos ao longo do tempo. Se você ativou o edns0 (desativado por padrão), é necessário desabilitá-lo até que os patches sejam aplicados às suas instâncias.

Boletim original:

É possível que sua distribuição Linux esteja vulnerável. Os clientes do Compute Engine precisarão atualizar as imagens do SO das instâncias para eliminar essa vulnerabilidade se estiverem executando um SO Linux.

Para instâncias que executam o Debian, atualize com os seguintes comandos:

  1. user@my-instance:~$ sudo apt-get -y update
  2. user@my-instance:~$ sudo apt-get -y dist-upgrade
  3. user@my-instance:~$ sudo reboot

Recomendamos também a instalação de UnattendedUpgrades para suas instâncias do Debian.

Para instâncias do Red Hat Enterprise Linux:

  • user@my-instance:~$ sudo yum -y upgrade
  • user@my-instance:~$ sudo reboot

Vamos continuar atualizando este boletim à medida que outros mantenedores de sistemas operacionais publicarem patches para essa vulnerabilidade e o Compute Engine lançar imagens do SO atualizadas.

 Alta CVE-2015-7547

Data da publicação: 19/03/2015

Descrição Gravidade Observações

A CVE-2015-1427 é uma vulnerabilidade em que o mecanismo de script Groovy no Elasticsearch anterior à versão 1.3.8 e outras versões 1.4.x anteriores à 1.4.3 permite que invasores remotos ignorem o mecanismo de proteção sandbox e executem os comandos shell que quiserem.

Para mais detalhes, consulte o Banco de dados nacional de vulnerabilidades ou o banco de dados de Vulnerabilidades e Exposições Comuns (ambos em inglês).

Impacto no Compute Engine

Se você está executando o Elasticsearch nas suas instâncias do Compute Engine, faça upgrade do Elasticsearch para a versão 1.4.3 ou posterior. Se você já fez upgrade do software do Elasticsearch, você está protegido contra essa vulnerabilidade.

Se você não fez o upgrade do Elasticsearch 1.4.3 ou superior, é possível fazer um upgrade contínuo.

Se você implantou o Elasticsearch usando o Click-to-deploy no Google Cloud console, é possível excluir a implantação para remover as instâncias que executam o Elasticsearch.

A equipe do Google Cloud está trabalhando em uma correção para implantar uma versão atualizada do Elasticsearch. No entanto, a correção ainda não está disponível para o recurso de click-to-deploy no Google Cloud console.

 Alta CVE-2015-1427

Data da publicação: 29/01/2015

Descrição Gravidade Observações

A CVE-2015-0235 (Ghost) é uma vulnerabilidade na biblioteca glibc.

Os clientes do App Engine, Cloud Storage, BigQuery e Cloud SQL não precisam fazer nada. Os servidores do Google foram atualizados e estão protegidos contra essa vulnerabilidade.

Talvez os clientes do Compute Engine precisem atualizar as imagens do SO.

Impacto no Compute Engine

É possível que sua distribuição Linux esteja vulnerável. Os clientes do Compute Engine precisarão atualizar as imagens do SO das instâncias para eliminar essa vulnerabilidade se estiverem executando o Debian 7, backports do Debian 7, Ubuntu 12.04 LTS, Red Hat Enterprise Linux, CentOS ou SUSE Linux Enterprise Server 11 SP3.

Essa vulnerabilidade não afeta o Ubuntu 14.04 LTS, o Ubuntu 14.10 nem o SUSE Linux Enterprise Server 12.

Recomendamos que você faça o upgrade das suas distribuições Linux. Para instâncias que executam o Debian 7, Debian 7 backports ou Ubuntu 12.04 LTS, atualize com os seguintes comandos:

  1. user@my-instance:~$ sudo apt-get update
  2. user@my-instance:~$ sudo apt-get -y upgrade
  3. user@my-instance:~$ sudo reboot

Para instâncias do Red Hat Enterprise Linux ou CentOS:

  1. user@my-instance:~$ sudo yum -y upgrade
  2. user@my-instance:~$ sudo reboot

Para instâncias do SUSE Linux Enterprise Server 11 SP3:

  1. user@my-instance:~$ sudo zypper --non-interactive up
  2. user@my-instance:~$ sudo reboot

Como alternativa para executar os comandos de atualização manual acima, os usuários recriam as instâncias deles com estas imagens novas:

  • debian-7-wheezy-v20150127
  • backports-debian-7-wheezy-v20150127
  • centos-6-v20150127
  • centos-7-v20150127
  • rhel-6-v20150127
  • rhel-7-v20150127
  • sles-11-sp3-v20150127
  • ubuntu-1204-precise-v20150127

Impacto na VM gerenciada do Google

Os usuários de VMs gerenciadas que usam gcloud preview app deploy precisam atualizar os contêineres Docker de base com gcloud preview app setup-managed-vms e reimplantar cada um dos apps em execução usando gcloud preview app deploy. Os usuários que implantam com o appcfg não precisam fazer nada e vão receber o upgrade automaticamente.

 Alta CVE-2015-0235

Data da publicação: 15/10/2014

Última atualização: 17/10/2014

Descrição Gravidade Observações

A CVE-2014-3566 (também conhecida como POODLE) é uma vulnerabilidade na concepção do SSL, versão 3.0. Essa vulnerabilidade permite que o plaintext de conexões seguras seja calculado por um invasor de rede. Para mais detalhes, confira nossa postagem do blog sobre a vulnerabilidade.

Os clientes do App Engine, Cloud Storage, BigQuery e Cloud SQL não precisam fazer nada. Os servidores do Google foram atualizados e estão protegidos contra essa vulnerabilidade. Os clientes do Compute Engine precisam atualizar as imagens do SO.

Impacto no Compute Engine

Atualizado (17/10/2014):

Se você está usando o SSLv3, é possível que esteja vulnerável. Clientes do Compute Engine precisam atualizar as imagens do SO das instâncias deles para eliminar essa vulnerabilidade.

Recomendamos que você faça o upgrade das suas distribuições Linux. Para instâncias que executam o Debian, atualize com os seguintes comandos:

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

Para instâncias do CentOS:

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

Como alternativa para executar os comandos de atualização manual acima, os usuários recriam as instâncias deles com estas imagens novas:

  • centos-6-v20141016
  • centos-7-v20141016
  • debian-7-wheezy-v20141017
  • backports-debian-7-wheezy-v20141017

Vamos atualizar o boletim para imagens RHEL e SLES assim que tivermos as imagens. Enquanto isso, os usuários do RHEL podem consultar a Red Hat para mais informações.

Boletim original:

Os clientes do Compute Engine precisam atualizar as imagens do SO das instâncias deles para eliminar essa vulnerabilidade. Esse boletim de segurança será atualizado com instruções assim que novas imagens do SO estiverem disponíveis.

Média CVE-2014-3566

Data da publicação: 24/09/2014

Última atualização: 29/09/2014

Descrição Gravidade Observações

Há um bug no bash (CVE-2014-6271) que permite a execução remota do código baseado em análise de qualquer variável de ambiente controlada pelo invasor. O vetor de exploração mais provável é o uso de solicitações HTTP maliciosas feitas a scripts CGI expostos em um servidor da Web. Para mais informações, consulte a descrição do bug.

Os bugs do bash foram mitigados para Google Cloud produtos, exceto para imagens do SO convidado do Compute Engine com data anterior a 26/09/2014. Consulte abaixo as etapas para mitigar os bugs das suas imagens do Compute Engine.

Impacto no Compute Engine

Esse bug afeta quase todos os sites que usam scripts CGI. Além disso, é provável que ele afete sites que dependem de PHP, Perl, Python, SSI, Java, C++ e servlets semelhantes que invocam comandos de shell usando chamadas como popen, system, shell_exec ou APIs semelhantes. Isso também pode afetar sistemas que tentam permitir o acesso de login controlado a usuários restritos usando mecanismos como a limitação de comandos SSH ou o shell restrito do bash.

Atualização (29/09/2014):

Como alternativa à execução dos comandos de atualização manual abaixo, os usuários agora podem recriar as instâncias com imagens que reduzem outras vulnerabilidades relacionadas ao bug de segurança do bash, incluindo CVE-2014-7169, CVE-2014-6277, CVE-2014-6278, CVE-2014-7186 e CVE-2014-7187. Use estas imagens novas para recriar suas instâncias:

  • centos-6-v20140926
  • centos-7-v20140926
  • debian-7-wheezy-v20140926
  • backports-debian-7-wheezy-v20140926
  • rhel-6-v20140926

Atualização (25/09/2014):

Os usuários agora podem recriar as instâncias deles em vez de executar uma atualização manual. Para recriar suas instâncias, use estas imagens novas que contêm correções para este bug de segurança:

  • backports-debian-7-wheezy-v20140924
  • debian-7-wheezy-v20140924
  • rhel-6-v20140924
  • centos-6-v20140924
  • centos-7-v20140924

Para imagens RHEL e SUSE, faça as atualizações manualmente executando os seguintes comandos em suas instâncias:

# RHEL instances
user@my-instance:~$ sudo yum -y upgrade

# SUSE instances
user@my-instance:~$ sudo zypper --non-interactive up

Boletim original:

Recomendamos que você faça o upgrade das suas distribuições Linux. Para instâncias com o Debian, execute os seguintes comandos:

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade

Para instâncias do CentOS:

user@my-instance:~$ sudo yum -y upgrade

Para mais informações, analise o anúncio da respectiva distribuição Linux:

 Alta CVE-2014-7169, CVE-2014-6271, CVE-2014-6277, CVE-2014-6278 CVE-2014-7186, CVE-2014-7187

Data da publicação: 25/07/2014

Descrição Gravidade Observações

O Elasticsearch Logstash é vulnerável à injeção de comando do SO que permite modificação e divulgação não autorizadas de dados. Um invasor pode enviar eventos criados para qualquer uma das fontes de dados do Logstash, permitindo que ele execute comandos com as permissões do processo do Logstash.

Impacto no Compute Engine

Essa vulnerabilidade afeta todas as instâncias do Compute Engine que executam versões do Elasticsearch Logstash anteriores à 1.4.2 com saídas Zabbix ou nagios_nsca ativadas. Para evitar o ataque, siga estas etapas:

  • Faça o upgrade para Logstash 1.4.2.
  • Aplique o patch nas versões 1.3.x.
  • Desative as saídas zabbix e nagios_nsca.

Leia mais sobre no blog Logstash.

O Elasticsearch também recomenda o uso de um firewall para impedir o acesso remoto de IPs não confiáveis.

Alta CVE-2014-4326

Data da publicação: 18/06/2014

Descrição Gravidade Observações

Queremos responder a possíveis preocupações dos clientes sobre a segurança dos contêineres do Docker ao executar no Google Cloud. Isso inclui clientes que utilizam as extensões do App Engine que suportam contêineres do Docker, máquinas virtuais otimizadas de contêiner ou programador de Kubernetes de código aberto.

O excelente trabalho feito pelo Docker em resposta aos problemas está no blog. Clique aqui e confira. Observe que, como diz a resposta, o problema revelado só se aplica ao Docker 0.11, uma versão antiga de pré-produção.

Enquanto o mundo pensa na segurança de contêineres, gostaríamos de destacar que, no Google Cloud, as soluções baseadas em contêineres de aplicativos do Linux (especificamente contêineres do Docker) são executadas em máquinas virtuais completas (Compute Engine). Mesmo com nosso apoio aos esforços da comunidade do Docker para fortalecer a pilha de contêineres de aplicativos do Linux, reconhecemos que a tecnologia é nova e a área de superfície é grande. Acreditamos que, por enquanto, hipervisores completos (máquinas virtuais) oferecem uma área de superfície mais compacta e justificável. As máquinas virtuais foram projetadas desde o início para isolar cargas de trabalho mal-intencionadas e minimizar a probabilidade e o impacto de um bug de código.

Nossos clientes podem ter certeza de que existe um limite de hipervisor completo entre eles e qualquer código potencialmente mal-intencionado de terceiros. Quando considerarmos a pilha de contêineres de aplicativos do Linux robusta o suficiente para suportar cargas de trabalho com hospedagem múltipla, informaremos à comunidade. Por enquanto, o contêiner de aplicativos do Linux não substitui a máquina virtual. É uma maneira de ter um desempenho ainda melhor.

Baixa Postagem do blog do Docker

Data da publicação: 05/06/2014

Última atualização: 09/06/2014

Descrição Gravidade Observações

O OpenSSL tem um problema em que as mensagens ChangeCipherSpec não são vinculadas corretamente à máquina de estado de handshake. Isso permite que elas sejam inseridas antecipadamente no handshake. Um invasor que usa um handshake bem desenvolvido força o uso de material de chave fraca em clientes e servidores do OpenSSL SSL/TLS. Isso pode ser explorado por um ataque de interceptação (PITM, na sigla em inglês), em que o invasor pode descriptografar e modificar o tráfego do cliente e do servidor atacados.

Esse problema é identificado como CVE-2014-0224. A equipe do OpenSSL corrigiu o problema e alertou a comunidade do OpenSSL para atualizá-lo.

Impacto no Compute Engine

Essa vulnerabilidade afeta todas as instâncias do Compute Engine que usam OpenSSL, inclusive Debian, CentOS, Red Hat Enterprise Linux e SUSE Linux Enterprise Server. Atualize suas instâncias recriando-as com novas imagens ou atualizando manualmente os pacotes.

Atualização em 09/06/2014: para atualizar as instâncias que executam o SUSE Linux Enterprise Server com novas imagens, recrie-as usando as seguintes versões de imagem ou superiores:

  • sles-11-sp3-v20140609

Post original:

Para atualizar instâncias do Debian e do CentOS usando novas imagens, recrie suas instâncias usando uma das seguintes versões de imagem ou superiores:

  • debian-7-wheezy-v20140605
  • backports-debian-7-wheezy-v20140605
  • centos-6-v20140605
  • rhel-6-v20140605

Para atualizar manualmente o OpenSSL em suas instâncias, execute os seguintes comandos para atualizar os pacotes apropriados. Para instâncias com o CentOS e o RHEL, atualize o OpenSSL executando estes comandos: 

user@my-instance:~$ sudo yum -y update
user@my-instance:~$ sudo reboot

Para instâncias que executam o Debian, atualize o OpenSSL com os seguintes comandos: 

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

Para instâncias com o SUSE Linux Enterprise Server, garanta a atualização do OpenSSL executando estes comandos: 

user@my-instance:~$ sudo zypper --non-interactive up
user@my-instance:~$ sudo reboot
 		Média CVE-2014-0224

Data da publicação: 08/04/2014

Descrição Gravidade Observações

As implementações (1) TLS e (2) DTLS no OpenSSL 1.0.1 antes da versão 1.0.1g não processam corretamente os pacotes de extensão Heartbeat, o que permite que invasores remotos recebam informações sensíveis da memória do processo usando pacotes criados que acionam uma leitura excessiva do buffer, conforme demonstrado pela leitura de chaves privadas, relacionadas a d1_both.c e t1_lib.c, também conhecido como bug Heartbleed.

Impacto no Compute Engine

Essa vulnerabilidade afeta todas as instâncias do Debian, do RHEL e do CentOS do Compute Engine que não têm a versão mais atualizada do OpenSSL. É possível atualizar as instâncias recriando-as com novas imagens ou atualizando manualmente os pacotes nelas.

Para atualizar suas instâncias usando novas imagens, recrie-as usando qualquer uma das seguintes versões de imagem ou superiores:

  • debian-7-wheezy-v20140408
  • backports-debian-7-wheezy-v20140408
  • centos-6-v20140408
  • rhel-6-v20140408

Para atualizar manualmente o OpenSSL em suas instâncias, execute os seguintes comandos para atualizar os pacotes apropriados. Para instâncias com o CentOS e o RHEL, garanta a atualização do OpenSSL executando estes comandos: 

user@my-instance:~$ sudo yum update
user@my-instance:~$ sudo reboot

Para instâncias que executam o Debian, atualize o OpenSSL com os seguintes comandos: 

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get upgrade
user@my-instance:~$ sudo reboot

Instâncias que executam o SUSE Linux não são afetadas.

Atualização em 14 de abril de 2014: segundo o critério de novas pesquisas sobre extração de chaves usando o bug Heartbleed, o Compute Engine recomenda que seus clientes criem novas chaves para qualquer serviço SSL afetado.

Média CVE-2014-0160

Data da publicação: 07/06/2013

Descrição Gravidade Observações

Observação: essa vulnerabilidade só é aplicável a kernels obsoletos e removidos desde a versão v1 da API.

A vulnerabilidade de string de formato na função b43_request_firmware em drivers/net/wireless/b43/main.c no driver sem fio Broadcom B43 no kernel do Linux até 3.9.4 permite que usuários locais ganhem privilégios aproveitando o acesso raiz e incluindo especificadores de string de formato em um parâmetro modprobe fwpostfix, levando à construção inadequada de uma mensagem de erro.

Impacto no Compute Engine

Essa vulnerabilidade afeta todos os kernels do Compute Engine anteriores a gcg-3.3.8-201305291443. Em resposta, o Compute Engine descontinuou todos os kernels anteriores e recomenda que os usuários atualizem as instâncias e imagens para usar o kernel gce-v20130603 do Compute Engine. gce-v20130603 contém o kernel gcg-3.3.8-201305291443, que tem o patch para essa vulnerabilidade.

Para saber qual versão do kernel a instância está usando, faça o seguinte:

  1. Conecte-se à instância usando SSH.
  2. Executar uname -r
 Média CVE-2013-2852

Data da publicação: 07/06/2013

Descrição Gravidade Observações

Observação: essa vulnerabilidade só é aplicável a kernels obsoletos e removidos desde a versão v1 da API.

A vulnerabilidade de string de formato na função register_disk em block/genhd.c no kernel do Linux até 3.9.4 permite que usuários locais ganhem privilégios aproveitando o acesso raiz e gravando especificadores de string de formato em /sys/module/md_mod/parameters/new_array para criar um nome de dispositivo /dev/md criado.

Impacto no Compute Engine

Essa vulnerabilidade afeta todos os kernels do Compute Engine anteriores a gcg-3.3.8-201305291443. Em resposta, o Compute Engine descontinuou todos os kernels anteriores e recomenda que os usuários atualizem as instâncias e imagens para usar o kernel gce-v20130603 do Compute Engine. gce-v20130603 contém o kernel gcg-3.3.8-201305291443, que tem o patch para essa vulnerabilidade.

Para saber qual versão do kernel a instância está usando, faça o seguinte:

  1. Conecte-se à instância usando SSH.
  2. Executar uname -r
 Média CVE-2013-2851

Data da publicação: 14/05/2013

Descrição Gravidade Observações

Observação: essa vulnerabilidade só é aplicável a kernels obsoletos e removidos desde a versão v1 da API.

A função perf_swevent_init em kernel/events/core.c no kernel do Linux antes da versão 3.8.9 usa um tipo de dados integer incorreto, o que permite que usuários locais ganhem privilégios usando uma chamada de sistema perf_event_open criada.

Impacto no Compute Engine

Essa vulnerabilidade afeta todos os kernels do Compute Engine anteriores a gcg-3.3.8-201305211623. Em resposta, o Compute Engine descontinuou todos os kernels anteriores e recomenda que os usuários atualizem as instâncias e imagens para usar o kernel gce-v20130521 do Compute Engine. gce-v20130521 contém o kernel gcg-3.3.8-201305211623, que tem o patch para essa vulnerabilidade.

Para saber qual versão do kernel a instância está usando, faça o seguinte:

  1. Conecte-se à instância usando SSH.
  2. Executar uname -r
 Alta CVE-2013-2094

Data da publicação: 18/02/2013

Descrição Gravidade Observações

Observação: essa vulnerabilidade só é aplicável a kernels obsoletos e removidos desde a versão v1 da API.

A disputa na funcionalidade ptrace no kernel do Linux anterior à versão 3.7.5 permite que usuários locais recebam privilégios usando uma chamada do sistema PTRACE_SETREGS ptrace em um aplicativo criado.

Impacto no Compute Engine

Essa vulnerabilidade afeta os kernels do Compute Engine 2.6.x-gcg-<date>. Em resposta, o Compute Engine descontinuou os kernels 2.6.x e recomenda que os usuários atualizem as instâncias e imagens para usar o kernel gce-v20130225 do Compute Engine. gce-v20130225 contém o kernel 3.3.8-gcg-201302081521, que tem o patch para essa vulnerabilidade.

Para saber qual versão do kernel a instância está usando, faça o seguinte:

  1. Conecte-se à instância usando SSH.
  2. Executar uname -r
 Média CVE-2013-0871