Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

安全性公告

我們會不定期發布與 Compute Engine 相關的安全性公告，您可以在這裡找到所有 Compute Engine 安全性公告的相關說明。

使用這個 XML 動態饋給訂閱 Compute Engine 安全性公告。

GCP-2026-073

發布日期 ：2026 年 10 月 26 日

說明

說明	嚴重性	附註
在 2026 年 8 月 31 日前，Compute Engine 發現授權不正確的安全漏洞。該怎麼辦？您無須採取任何行動。這項安全漏洞已於 2026 年 8 月 31 日修補完畢。解決哪些安全漏洞？ 2026 年 8 月 31 日前的 Compute Engine 版本存在授權不正確的安全漏洞，使用者可在沒有必要 IAM 權限的情況下竊取磁碟資料。	高	CVE-2026-85299

嚴重性

附註

在 2026 年 8 月 31 日前，Compute Engine 發現授權不正確的安全漏洞。

該怎麼辦？

您無須採取任何行動。這項安全漏洞已於 2026 年 8 月 31 日修補完畢。

解決哪些安全漏洞？

2026 年 8 月 31 日前的 Compute Engine 版本存在授權不正確的安全漏洞，使用者可在沒有必要 IAM 權限的情況下竊取磁碟資料。

高

CVE-2026-85299

GCP-2026-054

發布日期 ：2026 年 8 月 11 日

說明

說明	嚴重性	附註
我們在 Trusted Computing Group 的 TPM 2.0 參考實作程式碼中發現一個安全漏洞 (CVE-2026-6726，也稱為 TCGVRT0010)，影響所有已發布的程式碼修訂版本 (v1.16、v1.38、v1.59、v1.83、v184)。該怎麼辦？客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。解決哪些安全漏洞？ CVE-2026-6726 漏洞可能讓具備特殊權限的本機攻擊者，從支援 TPM 的憑證授權單位 (CA) 取得偽造 TPM 金鑰的憑證，例如認證金鑰 (AK)、DevID 金鑰或 TLS 驗證金鑰。這可能會導致有心人士使用偽造的金鑰建立詐欺性 TPM 2.0 認證。	高	CVE-2026-6726

嚴重性

附註

我們在 Trusted Computing Group 的 TPM 2.0 參考實作程式碼中發現一個安全漏洞 (CVE-2026-6726，也稱為 TCGVRT0010)，影響所有已發布的程式碼修訂版本 (v1.16、v1.38、v1.59、v1.83、v184)。

該怎麼辦？

客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。

解決哪些安全漏洞？

CVE-2026-6726 漏洞可能讓具備特殊權限的本機攻擊者，從支援 TPM 的憑證授權單位 (CA) 取得偽造 TPM 金鑰的憑證，例如認證金鑰 (AK)、DevID 金鑰或 TLS 驗證金鑰。這可能會導致有心人士使用偽造的金鑰建立詐欺性 TPM 2.0 認證。

高

CVE-2026-6726

GCP-2026-036

發布日期 ：2026 年 6 月 9 日

說明

說明	嚴重性	附註
ARM 已發布 CVE-2025-10263，這項架構問題會影響部分 Arm 核心，讓攻擊者在特定條件下略過轉譯階段或 GPT 保護措施。攻擊者可利用這項漏洞，在較低的例外狀況層級寫入屬於較高例外狀況層級的記憶體，藉此提高權限。這個問題不會影響記憶體讀取。雖然 Google 已保護基礎架構，防範 VM 對 VM 和 VM 對 Hypervisor 的攻擊，但您必須向 OS 供應商取得訪客 OS 層級修補程式。這些更新對於防範訪客環境中的威脅 (例如程序對程序或程序對核心攻擊) 至關重要。 Container-Optimized OS 的訪客緩解措施正在進行中，完成後會新增至 COS 版本資訊。該怎麼辦？這個安全漏洞會影響 Google Cloud中使用的多個 Arm 核心系列，包括 Neoverse V1、V2 和 N1，進而影響 C4A、T2A、A4X 和 A4X Max。如果您在受影響的 Arm 執行個體上執行工作負載，請務必在安全版本推出後，將客體 OS 映像檔升級至安全版本。您必須與發行版供應商合作，修補客體作業系統的 CVE-2025-10263 漏洞。	高	CVE-2025-10263

嚴重性

附註

ARM 已發布 CVE-2025-10263，這項架構問題會影響部分 Arm 核心，讓攻擊者在特定條件下略過轉譯階段或 GPT 保護措施。攻擊者可利用這項漏洞，在較低的例外狀況層級寫入屬於較高例外狀況層級的記憶體，藉此提高權限。這個問題不會影響記憶體讀取。

雖然 Google 已保護基礎架構，防範 VM 對 VM 和 VM 對 Hypervisor 的攻擊，但您必須向 OS 供應商取得訪客 OS 層級修補程式。這些更新對於防範訪客環境中的威脅 (例如程序對程序或程序對核心攻擊) 至關重要。

Container-Optimized OS 的訪客緩解措施正在進行中，完成後會新增至 COS 版本資訊。

該怎麼辦？

這個安全漏洞會影響 Google Cloud中使用的多個 Arm 核心系列，包括 Neoverse V1、V2 和 N1，進而影響 C4A、T2A、A4X 和 A4X Max。如果您在受影響的 Arm 執行個體上執行工作負載，請務必在安全版本推出後，將客體 OS 映像檔升級至安全版本。

您必須與發行版供應商合作，修補客體作業系統的 CVE-2025-10263 漏洞。

高

CVE-2025-10263

GCP-2026-032

發布日期： 2026-05-12

說明

說明	嚴重性	附註
AMD 發現 Zen 2 微架構處理器 (包括 EPYC 和 Ryzen 系列) 存在硬體層級安全漏洞，可能導致微作業 (OP) 快取損毀。在特定情況下，這個問題 (AMD-SN-7052/CVE-2025-54518) 可能導致安全邊界遭到略過，或未經授權存取資料。我們已在 Google 基礎架構中部署修正程式，以緩解這些問題。	高	CVE-2025-54518

GCP-2026-031

發布日期：2026-05-12

說明

說明	嚴重性	附註
研究人員發現 AMD 韌體存在安全漏洞，由於缺乏保護機制，惡意管理程序可能會在 AMD 安全處理器 (ASP) 上執行任意程式碼。這會導致記憶體對應 I/O (MMIO) 讀取和寫入權限提高，進而破壞 SEV-SNP 訪客的機密性和完整性。Google 已採取緩解措施，防止這些問題發生。該怎麼辦？客戶無須採取任何行動。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。解決哪些安全漏洞？詳情請參閱 AMD 公告 AMD-SB-3030。	中	CVE-2025-61971 CVE-2025-61972 CVE-2024-36315

嚴重性

附註

研究人員發現 AMD 韌體存在安全漏洞，由於缺乏保護機制，惡意管理程序可能會在 AMD 安全處理器 (ASP) 上執行任意程式碼。這會導致記憶體對應 I/O (MMIO) 讀取和寫入權限提高，進而破壞 SEV-SNP 訪客的機密性和完整性。Google 已採取緩解措施，防止這些問題發生。

該怎麼辦？

客戶無須採取任何行動。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。

解決哪些安全漏洞？

詳情請參閱 AMD 公告 AMD-SB-3030。

中

GCP-2026-021

發布日期：2026 年 4 月 14 日

說明

說明	嚴重性	附註
AMD 回報其韌體存在一項安全漏洞，可能允許惡意管理程序指示 IOMMU 寫入已啟用 AMD SEV-SNP 的執行個體客體記憶體，進而破壞客體資料完整性。Google 已針對啟用 AMD SEV-SNP 的易受攻擊 Confidential VM 執行個體推出緩解措施。該怎麼辦？客戶無須採取任何行動。這項緩解措施已套用至啟用 AMD SEV-SNP 的 Confidential VM 執行個體。詳情請參閱 AMD 公告 AMD-SB-3016。	中	CVE-2023-20585

嚴重性

附註

AMD 回報其韌體存在一項安全漏洞，可能允許惡意管理程序指示 IOMMU 寫入已啟用 AMD SEV-SNP 的執行個體客體記憶體，進而破壞客體資料完整性。Google 已針對啟用 AMD SEV-SNP 的易受攻擊 Confidential VM 執行個體推出緩解措施。

該怎麼辦？

客戶無須採取任何行動。這項緩解措施已套用至啟用 AMD SEV-SNP 的 Confidential VM 執行個體。

詳情請參閱 AMD 公告 AMD-SB-3016。

中

CVE-2023-20585

GCP-2026-019

發布日期 ：2026-04-14

說明

說明	嚴重性	附註
研究人員發現 AMD 韌體存在安全漏洞，惡意管理程序可能藉此竄改 BIOS 設定和記憶體對應 I/O (MMIO) 轉送設定，破壞 AMD SEV-SNP 訪客 Confidential VM 的機密性和完整性。 Google 已採取緩解措施，防止這個問題發生。該怎麼辦？客戶無須採取任何行動。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。解決哪些安全漏洞？詳情請參閱 AMD 安全公告 AMD-SB-3034。	中	CVE-2025-54510

嚴重性

附註

研究人員發現 AMD 韌體存在安全漏洞，惡意管理程序可能藉此竄改 BIOS 設定和記憶體對應 I/O (MMIO) 轉送設定，破壞 AMD SEV-SNP 訪客 Confidential VM 的機密性和完整性。

Google 已採取緩解措施，防止這個問題發生。

該怎麼辦？

客戶無須採取任何行動。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。

解決哪些安全漏洞？

詳情請參閱 AMD 安全公告 AMD-SB-3034。

中

CVE-2025-54510

GCP-2026-015

發布日期 ：2026 年 3 月 27 日

說明

說明嚴重性附註

說明	嚴重性	附註
Linux 核心中發現安全漏洞，可能導致 Container-Optimized OS 節點上的提權。該怎麼辦？建議您將 Container-Optimized OS (COS) 節點升級至 `cos-125-19216-220-57`，其中包含這項安全漏洞的修正程式。如需升級操作說明，請參閱下列任一文章：如果您直接管理 Container-Optimized OS VM，請使用更新後的映像檔重新建立 VM。詳情請參閱「從公開映像檔建立 VM」。如果您是透過代管服務 (例如 GKE、Dataflow 或 Cloud SQL) 使用 Container-Optimized OS，請參閱該服務的特定升級操作說明。注意：Container-Optimized OS 117 和 121 版的修正作業正在進行中。解決哪些安全漏洞？ AppArmor 的 CrackArmor 漏洞 (CVE-2026-23268) 可讓未具權限的使用者略過核心保護措施、升級至 root 權限，並破壞本機容器隔離機制。	高	CVE-2026-23268

Linux 核心中發現安全漏洞，可能導致 Container-Optimized OS 節點上的提權。

該怎麼辦？

建議您將 Container-Optimized OS (COS) 節點升級至 cos-125-19216-220-57，其中包含這項安全漏洞的修正程式。如需升級操作說明，請參閱下列任一文章：

如果您直接管理 Container-Optimized OS VM，請使用更新後的映像檔重新建立 VM。詳情請參閱「從公開映像檔建立 VM」。
如果您是透過代管服務 (例如 GKE、Dataflow 或 Cloud SQL) 使用 Container-Optimized OS，請參閱該服務的特定升級操作說明。

注意：Container-Optimized OS 117 和 121 版的修正作業正在進行中。

解決哪些安全漏洞？

AppArmor 的 CrackArmor 漏洞 (CVE-2026-23268) 可讓未具權限的使用者略過核心保護措施、升級至 root 權限，並破壞本機容器隔離機制。

高

CVE-2026-23268

GCP-2026-004

發布日期 ：2026 年 1 月 14 日

說明

說明	嚴重性	附註
攻擊者若具備客體核心的特殊權限存取權，就能利用特定 Arm 處理器上的 CPP RCTX 指令，阻止 TLB 失效作業生效。攻擊者可能藉此讀取未獲授權存取的機密資料。這個安全漏洞會影響下列 Compute Engine Arm VM：C4A、A4X。該怎麼辦？客戶無須採取任何行動。我們已對 Google Cloud Arm 伺服器機群採取緩解措施。解決哪些安全漏洞？詳情請參閱 CVE-2025-0647。	中	CVE-2025-0647

嚴重性

附註

攻擊者若具備客體核心的特殊權限存取權，就能利用特定 Arm 處理器上的 CPP RCTX 指令，阻止 TLB 失效作業生效。攻擊者可能藉此讀取未獲授權存取的機密資料。

這個安全漏洞會影響下列 Compute Engine Arm VM：C4A、A4X。

該怎麼辦？

客戶無須採取任何行動。我們已對 Google Cloud Arm 伺服器機群採取緩解措施。

解決哪些安全漏洞？

詳情請參閱 CVE-2025-0647。

中

CVE-2025-0647

GCP-2025-058

發布日期：2025 年 10 月 20 日

說明

說明嚴重性附註

說明	嚴重性	附註
AMD Zen 5 處理器 (Turin) 的 RDSEED 指令發現缺陷。這項指令用於產生密碼編譯隨機號碼。在特定系統負載條件下，16 位元和 32 位元版本的 RDSEED 可能會失敗，但不會顯示任何訊息，這可能會影響依賴隨機號碼產生功能的應用程式。使用 64 位元版 RDSEED 的客戶則不受影響。該怎麼辦？ AMD 正在調查這個安全漏洞。請注意，64 位元 Linux 核心會使用安全的 64 位元版本 RDSEED 指令，並提供從 `/dev/[u]random` 取得的隨機號碼。這些隨機數字不受這項安全漏洞影響。如果應用程式程式碼使用 RDSEED 指令自行合成隨機號碼，請注意，16 位元和 32 位元版本的指令並不安全。64 位元版本的指令是安全的。解決哪些安全漏洞？攻擊者可利用這項安全漏洞，導致 RDSEED 在不發出通知的情況下失敗，進而破壞應用程式中的隨機號碼產生機制。	高	CVE-2025-62626

AMD Zen 5 處理器 (Turin) 的 RDSEED 指令發現缺陷。這項指令用於產生密碼編譯隨機號碼。在特定系統負載條件下，16 位元和 32 位元版本的 RDSEED 可能會失敗，但不會顯示任何訊息，這可能會影響依賴隨機號碼產生功能的應用程式。使用 64 位元版 RDSEED 的客戶則不受影響。

該怎麼辦？

AMD 正在調查這個安全漏洞。

請注意，64 位元 Linux 核心會使用安全的 64 位元版本 RDSEED 指令，並提供從 /dev/[u]random 取得的隨機號碼。這些隨機數字不受這項安全漏洞影響。

如果應用程式程式碼使用 RDSEED 指令自行合成隨機號碼，請注意，16 位元和 32 位元版本的指令並不安全。64 位元版本的指令是安全的。

解決哪些安全漏洞？

攻擊者可利用這項安全漏洞，導致 RDSEED 在不發出通知的情況下失敗，進而破壞應用程式中的隨機號碼產生機制。

高

CVE-2025-62626

GCP-2025-044

發布日期： 2025 年 8 月 12 日

說明

說明	嚴重性	附註
Intel 已通知 Google 兩個新的安全漏洞。 CVE-2025-21090：這個安全漏洞會影響下列 Intel 處理器： Sapphire Rapids：C3、Z3、H3、A3、v5p VM 系列 Emerald Rapids：N4、C4、M4、A3 Ultra、A4 VM 系列 Granite Rapids：N4、C4 VM 系列 CVE-2025-22840：這個安全漏洞會影響下列 Intel 處理器： Granite Rapids：N4、C4 VM 系列該怎麼辦？客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。目前尚未發現或接獲任何漏洞遭濫用的證據。解決哪些安全漏洞？這項安全漏洞 (CVE-2025-21090) 可讓不具權限的執行者利用 AMX CPU 指令，搭配 AVX CPU 指令，使主機機器無法運作。這個安全漏洞 (CVE-2025-22840) 可讓不具權限的執行者利用 prefetchit CPU 指令，載入原本無法存取的記憶體內容，可能導致遠端執行程式碼。	中	CVE-2025-21090 CVE-2025-22840

嚴重性

附註

Intel 已通知 Google 兩個新的安全漏洞。

CVE-2025-21090：這個安全漏洞會影響下列 Intel 處理器：

Sapphire Rapids：C3、Z3、H3、A3、v5p VM 系列
Emerald Rapids：N4、C4、M4、A3 Ultra、A4 VM 系列
Granite Rapids：N4、C4 VM 系列

CVE-2025-22840：這個安全漏洞會影響下列 Intel 處理器：

Granite Rapids：N4、C4 VM 系列

該怎麼辦？

客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。目前尚未發現或接獲任何漏洞遭濫用的證據。

解決哪些安全漏洞？

這項安全漏洞 (CVE-2025-21090) 可讓不具權限的執行者利用 AMX CPU 指令，搭配 AVX CPU 指令，使主機機器無法運作。

這個安全漏洞 (CVE-2025-22840) 可讓不具權限的執行者利用 prefetchit CPU 指令，載入原本無法存取的記憶體內容，可能導致遠端執行程式碼。

中

GCP-2025-042

發布日期： 2025 年 8 月 11 日

說明

說明	嚴重性	附註
研究人員發現特定 Intel CPU 存在安全漏洞，包括採用 Skylake、Broadwell 和 Haswell 微架構的 CPU。攻擊者可能利用這個安全漏洞，直接從 CPU 的 L1 快取讀取未獲授權存取的機密資料。這個安全漏洞最初是在 2018 年的 CVE-2018-3646 中揭露。發現這個安全漏洞後，Google 立即採取緩解措施，解決已知風險。我們當時已發布有關安全漏洞和初步修正措施的資訊。自那時起，我們便持續研究殘留風險，並與上游 Linux 社群合作，致力於消除這項風險。我們最近與學術界的安全研究人員合作，評估 CPU 安全性緩解措施的最新技術，以及 2018 年未考慮到的潛在攻擊技術。 Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，以緩解問題。該怎麼辦？客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。解決哪些安全漏洞？詳情請參閱 Intel 公告 INTEL-SA-00161 和 CVE-2018-3646。	高	CVE-2018-3646

嚴重性

附註

研究人員發現特定 Intel CPU 存在安全漏洞，包括採用 Skylake、Broadwell 和 Haswell 微架構的 CPU。攻擊者可能利用這個安全漏洞，直接從 CPU 的 L1 快取讀取未獲授權存取的機密資料。

這個安全漏洞最初是在 2018 年的 CVE-2018-3646 中揭露。發現這個安全漏洞後，Google 立即採取緩解措施，解決已知風險。我們當時已發布有關安全漏洞和初步修正措施的資訊。自那時起，我們便持續研究殘留風險，並與上游 Linux 社群合作，致力於消除這項風險。

我們最近與學術界的安全研究人員合作，評估 CPU 安全性緩解措施的最新技術，以及 2018 年未考慮到的潛在攻擊技術。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，以緩解問題。

該怎麼辦？

客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。

解決哪些安全漏洞？

詳情請參閱 Intel 公告 INTEL-SA-00161 和 CVE-2018-3646。

高

CVE-2018-3646

GCP-2025-031

發布日期： 2025 年 6 月 10 日

說明

說明	嚴重性	附註
Trusted Computing Group (TCG) 回報了信任平台模組 (TPM) 軟體安全漏洞，這會影響使用虛擬 TPM (vTPM) 的 Shielded VM。這個安全漏洞可讓通過驗證的本機攻擊者讀取機密 vTPM 資料，或影響 vTPM 可用性。 vTPM 存取權通常需要特殊權限。不過，某些設定可能允許更廣泛的 vTPM 存取權。該怎麼辦？客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。不過，您可以限制只有管理員 (超級使用者) 才能存取 vTPM，藉此降低 Shielded VM 的風險。解決哪些安全漏洞？安全漏洞 CVE-2025-2884 可讓具備 vTPM 介面存取權的本機攻擊者傳送惡意指令。這些指令會利用不相符的情況，讀取超出範圍 (OOB) 的 vTPM 記憶體。這項操作可能會導致機密資料外洩。	高	CVE-2025-2884

嚴重性

附註

Trusted Computing Group (TCG) 回報了信任平台模組 (TPM) 軟體安全漏洞，這會影響使用虛擬 TPM (vTPM) 的 Shielded VM。這個安全漏洞可讓通過驗證的本機攻擊者讀取機密 vTPM 資料，或影響 vTPM 可用性。

vTPM 存取權通常需要特殊權限。不過，某些設定可能允許更廣泛的 vTPM 存取權。

該怎麼辦？

客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。不過，您可以限制只有管理員 (超級使用者) 才能存取 vTPM，藉此降低 Shielded VM 的風險。

解決哪些安全漏洞？

安全漏洞 CVE-2025-2884 可讓具備 vTPM 介面存取權的本機攻擊者傳送惡意指令。這些指令會利用不相符的情況，讀取超出範圍 (OOB) 的 vTPM 記憶體。這項操作可能會導致機密資料外洩。

高

CVE-2025-2884

GCP-2025-025

發布日期： 2025 年 5 月 13 日

說明

說明	嚴重性	附註
Intel 已通知 Google，有新的側通道安全漏洞會影響下列 Intel 處理器：CascadeLake、Ice Lake XeonSP、Ice Lake XeonD、Sapphire Rapids 和 Emerald Rapids。 Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前並未發現或接獲任何針對此漏洞的惡意攻擊。該怎麼辦？客戶無須採取任何行動。我們已對 Google 伺服器機群套用修正程式，以保護客戶。解決哪些安全漏洞？ CVE-2024-45332。詳情請參閱 Intel 諮詢 INTEL-SA-01247。我們很樂意提供協助如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417536835。	高	CVE-2024-45332

嚴重性

附註

Intel 已通知 Google，有新的側通道安全漏洞會影響下列 Intel 處理器：CascadeLake、Ice Lake XeonSP、Ice Lake XeonD、Sapphire Rapids 和 Emerald Rapids。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前並未發現或接獲任何針對此漏洞的惡意攻擊。

該怎麼辦？

客戶無須採取任何行動。我們已對 Google 伺服器機群套用修正程式，以保護客戶。

解決哪些安全漏洞？

CVE-2024-45332。詳情請參閱 Intel 諮詢 INTEL-SA-01247。

我們很樂意提供協助

如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417536835。

高

CVE-2024-45332

GCP-2025-024

發布日期： 2025 年 5 月 12 日

更新日期： 2025 年 5 月 13 日

說明

說明	嚴重性	附註
2025 年 5 月 13 日更新：如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417458390。 Intel 已通知 Google，有新的推測執行安全漏洞會影響 Intel Cascade Lake 處理器和 Intel Ice Lake 處理器。 Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶安全無虞。目前尚未發現或接獲任何漏洞遭濫用的證據。該怎麼辦？客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。 Intel 原始設備製造商 (OEM) 和其他作業系統合作夥伴提供的進一步緩解措施，將在可用時立即部署，以緩解同模式間接目標選擇 (ITS) 漏洞。套用作業系統緩解措施後，如果客戶的第 3 代或更新版本 VM 長時間執行，可能會發生非預期的效能降低解決哪些安全漏洞？ CVE-2024-28956。詳情請參閱 Intel 安全性諮詢 INTEL-SA-01153。	高	CVE-2024-28956

嚴重性

附註

2025 年 5 月 13 日更新：如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417458390。

Intel 已通知 Google，有新的推測執行安全漏洞會影響 Intel Cascade Lake 處理器和 Intel Ice Lake 處理器。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶安全無虞。目前尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。

Intel 原始設備製造商 (OEM) 和其他作業系統合作夥伴提供的進一步緩解措施，將在可用時立即部署，以緩解同模式間接目標選擇 (ITS) 漏洞。

套用作業系統緩解措施後，如果客戶的第 3 代或更新版本 VM 長時間執行，可能會發生非預期的效能降低

解決哪些安全漏洞？

CVE-2024-28956。詳情請參閱 Intel 安全性諮詢 INTEL-SA-01153。

高

CVE-2024-28956

GCP-2024-040

發布日期：2024 年 7 月 1 日
更新日期：2024 年 8 月 20 日

說明嚴重性附註

更新日期：2024 年 8 月 20 日 重大 CVE-2024-6387

說明	嚴重性	附註
更新日期：2024 年 8 月 20 日	重大	CVE-2024-6387
2024-08-20：加入 TPU 修補程式。 Linux 發行版推出更新時，請立即套用。請參閱 Linux 發行版的指南。如果您使用 TPU，請更新至下列其中一個修補版本： tpu-ubuntu2204-base v2-alpha-tpuv5 v2-alpha-tpuv5-lite OpenSSH 發現安全漏洞 (CVE-2024-6387)。如果成功利用這個漏洞，未經驗證的遠端攻擊者就能在目標機器上以 root 身分執行任意程式碼。建議您分析所有使用 glibc Linux 發行版且公開 OpenSSH 的 Compute Engine VM，確認是否有易受攻擊的版本。該怎麼辦？請在 Linux 發行版本推出更新時立即套用。請參閱 Linux 發行版的指南。如果是 Google 的 Container-Optimized OS，請更新至下列其中一個修補版本： cos-113-18244-85-49 cos-109-17800-218-69 cos-105-17412-370-67 cos-101-17162-463-55 如果您是透過 Google 代管服務 (例如 GKE) 使用 Container-Optimized OS，請參閱該服務的安全性公告，瞭解修補程式是否可用。如果無法更新，建議您先關閉 OpenSSH，直到可以修補為止。預設網路已預先填入 `default-allow-ssh` 防火牆規則，允許從公開網際網路進行 SSH 存取。如要移除這項存取權，客戶可以：視需要建立規則，允許從信任的網路對專案中的 GKE 節點或其他 Compute Engine VM 進行任何 SSH 存取；然後使用下列指令停用預設防火牆規則： gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT 如果您建立的其他防火牆規則可能允許透過 TCP 通訊埠 22 進行 SSH 連線，請停用這些規則，或將來源 IP 限制為信任的網路。確認您無法再透過網際網路，使用 SSH 連線至 VM。這項防火牆設定可降低安全漏洞風險。如果必須保持啟用 OpenSSH，您也可以執行設定更新，消除漏洞的競爭狀況。這項緩解措施會在執行階段生效。為套用 sshd 設定中的變更，這個指令碼會重新啟動 sshd 服務。 #!/bin/bash set -e SSHD_CONFIG_FILE=/etc/ssh/sshd_config # -c: count the matches # -q: don't print to console # -i: sshd_config keywords are case insensitive. if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE" echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE" else sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE" fi # Restart the sshd service to apply the new config. systemctl restart sshd 最後，請監控是否有任何涉及 SSH 伺服器的異常網路活動。	Critical	CVE-2024-6387

2024-08-20：加入 TPU 修補程式。 Linux 發行版推出更新時，請立即套用。請參閱 Linux 發行版的指南。如果您使用 TPU，請更新至下列其中一個修補版本：

tpu-ubuntu2204-base
v2-alpha-tpuv5
v2-alpha-tpuv5-lite

OpenSSH 發現安全漏洞 (CVE-2024-6387)。如果成功利用這個漏洞，未經驗證的遠端攻擊者就能在目標機器上以 root 身分執行任意程式碼。

建議您分析所有使用 glibc Linux 發行版且公開 OpenSSH 的 Compute Engine VM，確認是否有易受攻擊的版本。

該怎麼辦？

請在 Linux 發行版本推出更新時立即套用。請參閱 Linux 發行版的指南。如果是 Google 的 Container-Optimized OS，請更新至下列其中一個修補版本：
- cos-113-18244-85-49
- cos-109-17800-218-69
- cos-105-17412-370-67
- cos-101-17162-463-55
如果您是透過 Google 代管服務 (例如 GKE) 使用 Container-Optimized OS，請參閱該服務的安全性公告，瞭解修補程式是否可用。
如果無法更新，建議您先關閉 OpenSSH，直到可以修補為止。預設網路已預先填入 default-allow-ssh 防火牆規則，允許從公開網際網路進行 SSH 存取。如要移除這項存取權，客戶可以：
1. 視需要建立規則，允許從信任的網路對專案中的 GKE 節點或其他 Compute Engine VM 進行任何 SSH 存取；然後
2. 使用下列指令停用預設防火牆規則：
```
gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT
      
```
如果您建立的其他防火牆規則可能允許透過 TCP 通訊埠 22 進行 SSH 連線，請停用這些規則，或將來源 IP 限制為信任的網路。

確認您無法再透過網際網路，使用 SSH 連線至 VM。這項防火牆設定可降低安全漏洞風險。

如果必須保持啟用 OpenSSH，您也可以執行設定更新，消除漏洞的競爭狀況。這項緩解措施會在執行階段生效。為套用 sshd 設定中的變更，這個指令碼會重新啟動 sshd 服務。

#!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd

最後，請監控是否有任何涉及 SSH 伺服器的異常網路活動。

Critical

CVE-2024-6387

GCP-2024-021

發布日期：2024-04-03

說明	嚴重性	附註
Compute Engine 不受 CVE-2024-3094 影響，該漏洞會影響 liblzma 程式庫中 xz-utils 套件的 5.6.0 和 5.6.1 版，可能導致 OpenSSH 公用程式遭到入侵。該怎麼辦？ Compute Engine 支援及提供的公開映像檔不受這項 CVE 影響。如果您在 VM 使用 Compute Engine 公開映像檔，則無須採取任何行動。如果您建立的自訂映像檔使用 5.6.0 和 5.6.1 版的 xz-utils 套件，例如下列作業系統，就可能面臨風險： Fedora 41 和 Fedora Rawhide Debian 測試/不穩定 openSUSE tumbleweed 為降低這項風險，請停止所有使用這些作業系統的 VM，或可能使用受影響作業系統的其他 VM。如果您的 VM 是以其他作業系統的自訂映像檔建構而成，請洽詢作業系統供應商，瞭解 VM 是否受到影響。解決哪些安全漏洞？ CVE-2024-3094	Medium	CVE-2024-3094

說明

嚴重性

附註

Compute Engine 不受 CVE-2024-3094 影響，該漏洞會影響 liblzma 程式庫中 xz-utils 套件的 5.6.0 和 5.6.1 版，可能導致 OpenSSH 公用程式遭到入侵。

該怎麼辦？

Compute Engine 支援及提供的公開映像檔不受這項 CVE 影響。如果您在 VM 使用 Compute Engine 公開映像檔，則無須採取任何行動。

如果您建立的自訂映像檔使用 5.6.0 和 5.6.1 版的 xz-utils 套件，例如下列作業系統，就可能面臨風險：

為降低這項風險，請停止所有使用這些作業系統的 VM，或可能使用受影響作業系統的其他 VM。如果您的 VM 是以其他作業系統的自訂映像檔建構而成，請洽詢作業系統供應商，瞭解 VM 是否受到影響。

解決哪些安全漏洞？

CVE-2024-3094

Medium

CVE-2024-3094

GCP-2024-001

發布日期：2024-01-09

說明	嚴重性	附註
我們在 TianoCore EDK II UEFI 韌體中發現多項安全漏洞。這項韌體用於 Google Compute Engine VM。如果遭到利用，攻擊者就能規避安全啟動，在安全啟動程序中提供不實的測量結果，包括在 Shielded VM 中使用時。該怎麼辦？您無須採取任何行動，Google 已在 Compute Engine 中修補這個安全漏洞，所有 VM 都不會受到這個安全漏洞影響。這個修補程式修正了哪些安全漏洞？這個修補程式可緩解下列安全漏洞： CVE-2022-36763 CVE-2022-36764 CVE-2022-36765	Medium	CVE-2022-36763 CVE-2022-36764 CVE-2022-36765

說明

嚴重性

附註

我們在 TianoCore EDK II UEFI 韌體中發現多項安全漏洞。這項韌體用於 Google Compute Engine VM。如果遭到利用，攻擊者就能規避安全啟動，在安全啟動程序中提供不實的測量結果，包括在 Shielded VM 中使用時。

該怎麼辦？

您無須採取任何行動，Google 已在 Compute Engine 中修補這個安全漏洞，所有 VM 都不會受到這個安全漏洞影響。

這個修補程式修正了哪些安全漏洞？

這個修補程式可緩解下列安全漏洞：

CVE-2022-36763
CVE-2022-36764
CVE-2022-36765

Medium

GCP-2023-44

發布日期：2023-11-15

說明	嚴重性	附註
AMD 於 11 月 14 日揭露多項安全漏洞，會影響多種 AMD 伺服器 CPU。具體來說，這些安全漏洞會影響採用 Zen 核心第 2 代「Rome」、第 3 代「Milan」和第 4 代「Genoa」的 EPYC 伺服器 CPU。 Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭利用的證據。該怎麼辦？客戶無須採取任何行動。 Google 已針對 Google Cloud修正 Google 伺服器機群，包括 Google Compute Engine。這個修補程式修正了哪些安全漏洞？這個修補程式可緩解下列安全漏洞： CVE-2022-23820 CVE-2021-46774 CVE-2023-20533 CVE-2023-20519 CVE-2023-20592 CVE-2023-20566 CVE-2023-20521 CVE-2021-46766 CVE-2022-23830 CVE-2023-20526 CVE-2021-26345 詳情請參閱 AMD 的安全性公告 AMD-SN-3005：「AMD INVD 指令安全性通知」(亦稱為 CacheWarp) 和 AMD-SN-3002：「AMD 伺服器安全漏洞 - 2023 年 11 月」。	Medium	CVE-2022-23820 CVE-2021-46774 CVE-2023-20533 CVE-2023-20519 CVE-2023-20592 CVE-2023-20566 CVE-2022-23830 CVE-2023-20526 CVE-2021-26345

說明

嚴重性

附註

AMD 於 11 月 14 日揭露多項安全漏洞，會影響多種 AMD 伺服器 CPU。具體來說，這些安全漏洞會影響採用 Zen 核心第 2 代「Rome」、第 3 代「Milan」和第 4 代「Genoa」的 EPYC 伺服器 CPU。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭利用的證據。

該怎麼辦？

客戶無須採取任何行動。

Google 已針對 Google Cloud修正 Google 伺服器機群，包括 Google Compute Engine。

這個修補程式修正了哪些安全漏洞？

這個修補程式可緩解下列安全漏洞：

CVE-2022-23820
CVE-2021-46774
CVE-2023-20533
CVE-2023-20519
CVE-2023-20592
CVE-2023-20566
CVE-2023-20521
CVE-2021-46766
CVE-2022-23830
CVE-2023-20526
CVE-2021-26345

詳情請參閱 AMD 的安全性公告 AMD-SN-3005：「AMD INVD 指令安全性通知」(亦稱為 CacheWarp) 和 AMD-SN-3002：「AMD 伺服器安全漏洞 - 2023 年 11 月」。

Medium

GCP-2023-004

發布日期：2023-04-26

說明	嚴重性	附註
信任平台模組 (TPM) 2.0 發現兩個安全漏洞 (CVE-2023-1017 和 CVE-2023-1018)。這些安全漏洞可能讓技術高超的攻擊者在特定 Compute Engine VM 上，利用 2 位元組越界讀取/寫入。該怎麼辦？系統已自動為所有易受攻擊的 VM 套用修補程式。客戶無須採取任何行動。這個修補程式修正了哪些安全漏洞？這個修補程式可緩解下列安全漏洞： CVE-2023-1017 CVE-2023-2017 可能會在 vTPM 參數解密常式中觸發緩衝區溢位。本機攻擊者在有安全漏洞的 VM 上執行，可能會利用這項漏洞觸發阻斷服務，或在 vTPM 環境中執行任意程式碼。 CVE-2023-1018 在 CVE-2023-2018 中，vTPM 參數解密常式存在越界讀取問題。本機攻擊者在有安全漏洞的 VM 上執行，可能會利用這項漏洞，間接洩漏 vTPM 內容中的有限資料。	Medium	CVE-2023-1017 CVE-2023-1018

說明

嚴重性

附註

信任平台模組 (TPM) 2.0 發現兩個安全漏洞 (CVE-2023-1017 和 CVE-2023-1018)。

這些安全漏洞可能讓技術高超的攻擊者在特定 Compute Engine VM 上，利用 2 位元組越界讀取/寫入。

該怎麼辦？

系統已自動為所有易受攻擊的 VM 套用修補程式。客戶無須採取任何行動。

這個修補程式修正了哪些安全漏洞？

這個修補程式可緩解下列安全漏洞：

CVE-2023-1017

CVE-2023-2017 可能會在 vTPM 參數解密常式中觸發緩衝區溢位。本機攻擊者在有安全漏洞的 VM 上執行，可能會利用這項漏洞觸發阻斷服務，或在 vTPM 環境中執行任意程式碼。

CVE-2023-1018

在 CVE-2023-2018 中，vTPM 參數解密常式存在越界讀取問題。本機攻擊者在有安全漏洞的 VM 上執行，可能會利用這項漏洞，間接洩漏 vTPM 內容中的有限資料。

Medium

GCP-2021-026

發布日期：2021-12-14

說明	嚴重性	附註
Apache Log4j 公用程式是記錄要求時常用的元件。2021 年 12 月 9 日，系統回報的安全漏洞可能會允許執行 Apache Log4j 版本 2.14.1 或以下版本的系統遭到入侵，並允許攻擊者執行任何程式碼。 2021 年 12 月 10 日，NIST 發布了一項重大的「常見安全漏洞與資料外洩」警示：CVE-2021-44228。具體來說，設定、記錄訊息和參數中使用的 Java 命名目錄介面 (JNDI) 功能無法防範由攻擊者控制的 LDAP 和其他 JNDI 相關端點。如果訊息查詢替換功能已啟用，能夠控管記錄訊息或記錄訊息參數的攻擊者，可以執行從遠端伺服器載入的任意程式碼。該怎麼辦？ M4CE 4.x 版：Migrate for Compute Engine (M4CE) 團隊已於 2021 年 12 月 13 日提供新版本。專案經理必須將現有部署項目替換為新版本，包括雲端 M4CE Manager 和 M4CE「地端部署」後端。如要進一步瞭解 4.11 版的部署作業，請參閱使用指南。 M2VMs 5.x 版：M2VMs 5.0 以上版本已修正，無須採取任何行動。	Critical	CVE-2021-44228

說明

嚴重性

附註

Apache Log4j 公用程式是記錄要求時常用的元件。2021 年 12 月 9 日，系統回報的安全漏洞可能會允許執行 Apache Log4j 版本 2.14.1 或以下版本的系統遭到入侵，並允許攻擊者執行任何程式碼。

2021 年 12 月 10 日，NIST 發布了一項重大的「常見安全漏洞與資料外洩」警示：CVE-2021-44228。具體來說，設定、記錄訊息和參數中使用的 Java 命名目錄介面 (JNDI) 功能無法防範由攻擊者控制的 LDAP 和其他 JNDI 相關端點。如果訊息查詢替換功能已啟用，能夠控管記錄訊息或記錄訊息參數的攻擊者，可以執行從遠端伺服器載入的任意程式碼。

該怎麼辦？

M4CE 4.x 版：Migrate for Compute Engine (M4CE) 團隊已於 2021 年 12 月 13 日提供新版本。專案經理必須將現有部署項目替換為新版本，包括雲端 M4CE Manager 和 M4CE「地端部署」後端。如要進一步瞭解 4.11 版的部署作業，請參閱使用指南。
M2VMs 5.x 版：M2VMs 5.0 以上版本已修正，無須採取任何行動。

Critical

CVE-2021-44228

GCP-2021-001

發布日期：2021 年 1 月 28 日

說明嚴重性附註

說明	嚴重性	附註
最近在 Linux 公用程式 `sudo` 中發現一項安全漏洞，如 CVE-2021-3156 所述，攻擊者可能利用該漏洞，在已安裝 `sudo` 的系統上，透過非特殊權限的本機殼層存取權，將權限提升至系統的根層級。對 Compute Engine 的影響執行 Compute Engine 的基礎架構不受這個安全漏洞影響。執行 Linux 的 Compute Engine VM 應考慮更新客體作業系統。舉例來說，如果您使用 Container-Optimized OS，建議您更新至下列其中一個映像檔：cos-85-13310-1209-7、cos-81-12871-1245-6、cos-dev-89-16091-0-0 或更新版本。	None	CVE-2021-3156

最近在 Linux 公用程式 sudo 中發現一項安全漏洞，如 CVE-2021-3156 所述，攻擊者可能利用該漏洞，在已安裝 sudo 的系統上，透過非特殊權限的本機殼層存取權，將權限提升至系統的根層級。

對 Compute Engine 的影響

執行 Compute Engine 的基礎架構不受這個安全漏洞影響。執行 Linux 的 Compute Engine VM 應考慮更新客體作業系統。舉例來說，如果您使用 Container-Optimized OS，建議您更新至下列其中一個映像檔：cos-85-13310-1209-7、cos-81-12871-1245-6、cos-dev-89-16091-0-0 或更新版本。

None

CVE-2021-3156

發布日期：2020-08-27

說明嚴重性附註

說明	嚴重性	附註
Eclypsium 已揭露下列 CVE：CVE-2020-10713。安全漏洞為因應最初的漏洞報告，我們對 GRUB2 程式碼進行了額外審查，Canonical 則發現了下列其他漏洞： CVE-2020-14308 CVE-2020-14309 CVE-2020-14310 CVE-2020-14311 CVE-2020-15705 CVE-2020-15706 CVE-2020-15707 這些安全漏洞統稱為 BootHole，可讓具備管理員權限的攻擊者載入未簽署的二進位檔，進而停用安全啟動強制執行功能。對 Compute Engine 的影響執行 Compute Engine 的主機基礎架構可防範已知攻擊。建議使用安全啟動的 Compute Engine 客戶更新執行個體上的客體作業系統，以免客體環境遭到入侵。詳情請參閱訪客 OS 供應商建議的緩解措施。修補完成的映像檔與廠商資源各作業系統供應商提供修補程式資訊後，我們就會在這裡提供連結。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：專案 `centos-cloud`：CentOS 修補程式資訊 `centos-7-v20200811` `centos-8-v20200811` 專案 `cos-cloud`： `cos-77-12371-1072-0` `cos-81-12871-1185-0` `cos-rc-85-13310-1028-0` `cos-dev-86-15103-0-0` 如果您是透過代管服務 (例如 GKE) 使用 COS，請按照該服務的指南套用更新。專案 `debian-cloud`：DSA-4753 `debian-10-buster-v20200805` 專案 `coreos-cloud`： `coreos-alpha-2163-2-1-v20190617` `coreos-beta-2135-3-1-v20190617` `coreos-stable-2079-6-0-v20190617` Project `rhel-cloud/rhel-sap-cloud:` Red Hat 安全漏洞應變 `rhel-7-v20200811` `rhel-7-4-sap-v20200811` `rhel-7-6-sap-v20200811` `rhel-7-7-sap-v20200811` `rhel-8-v20200811` 專案 `suse-cloud/suse-sap-cloud:`：SUSE KB `sles-12-sp5-v20200813` `sles-15-sp2-v20200804` `sles-12-sp4-sap-v20200804` `sles-12-sp5-sap-v20200813` `sles-15-sap-v20200803` `sles-15-sp1-sap-v20200803` `Sles-15-sp2-sap-v20200804` 專案 `ubuntu-os-cloud`：Ubuntu Wiki `ubuntu-1604-xenial-v20200729` `ubuntu-1804-bionic-v20200729` `ubuntu-2004-focal-v20200729`	高	CVE-2020-10713 CVE-2020-14308 CVE-2020-14309 CVE-2020-14310 CVE-2020-14311 CVE-2020-15705 CVE-2020-15706 CVE-2020-15707

Eclypsium 已揭露下列 CVE：CVE-2020-10713。

安全漏洞

為因應最初的漏洞報告，我們對 GRUB2 程式碼進行了額外審查，Canonical 則發現了下列其他漏洞：

這些安全漏洞統稱為 BootHole，可讓具備管理員權限的攻擊者載入未簽署的二進位檔，進而停用安全啟動強制執行功能。

對 Compute Engine 的影響

執行 Compute Engine 的主機基礎架構可防範已知攻擊。

建議使用安全啟動的 Compute Engine 客戶更新執行個體上的客體作業系統，以免客體環境遭到入侵。詳情請參閱訪客 OS 供應商建議的緩解措施。

修補完成的映像檔與廠商資源

各作業系統供應商提供修補程式資訊後，我們就會在這裡提供連結。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：

專案 centos-cloud：CentOS 修補程式資訊
- centos-7-v20200811
- centos-8-v20200811
專案 cos-cloud：
- cos-77-12371-1072-0
- cos-81-12871-1185-0
- cos-rc-85-13310-1028-0
- cos-dev-86-15103-0-0
如果您是透過代管服務 (例如 GKE) 使用 COS，請按照該服務的指南套用更新。
專案 debian-cloud：DSA-4753
- debian-10-buster-v20200805
專案 coreos-cloud：
- coreos-alpha-2163-2-1-v20190617
- coreos-beta-2135-3-1-v20190617
- coreos-stable-2079-6-0-v20190617
Project rhel-cloud/rhel-sap-cloud: Red Hat 安全漏洞應變
- rhel-7-v20200811
- rhel-7-4-sap-v20200811
- rhel-7-6-sap-v20200811
- rhel-7-7-sap-v20200811
- rhel-8-v20200811
專案 suse-cloud/suse-sap-cloud:：SUSE KB
- sles-12-sp5-v20200813
- sles-15-sp2-v20200804
- sles-12-sp4-sap-v20200804
- sles-12-sp5-sap-v20200813
- sles-15-sap-v20200803
- sles-15-sp1-sap-v20200803
- Sles-15-sp2-sap-v20200804
專案 ubuntu-os-cloud：Ubuntu Wiki
- ubuntu-1604-xenial-v20200729
- ubuntu-1804-bionic-v20200729
- ubuntu-2004-focal-v20200729

高

發布日期：2020-06-19

說明嚴重性附註

說明	嚴重性	附註
啟用 OS 登入功能的 VM 可能容易受到權限提升安全漏洞的影響。這些安全漏洞會讓具備 OS 登入權限 (但未取得管理員存取權) 的使用者，有機會在 VM 中將權限提高至根層級存取權。安全漏洞 Compute Engine 映像檔有下列三個安全漏洞，原因是預設群組成員資格過於寬鬆： CVE-2020-8903：使用 `adm` 使用者，即可利用 DHCP XID 取得管理員權限。 CVE-2020-8907：使用 `docker` 使用者，即可掛接及修改主機 OS 檔案系統，取得管理員權限。 CVE-2020-8933：使用 `lxd` 使用者，即可附加主機 OS 檔案系統並取得管理員權限。修補映像檔和修正 `v20200506`之後建立的所有 Compute Engine 公開映像檔都已修補。如要修正這個問題，但不想更新至較新版本的映像檔，可以編輯 `/etc/security/group.conf` 檔案，並從預設 OS 登入項目中移除 `adm`、`lxd` 和 `docker` 使用者。	High	CVE-2020-8903 CVE-2020-8907 CVE-2020-8933

啟用 OS 登入功能的 VM 可能容易受到權限提升安全漏洞的影響。這些安全漏洞會讓具備 OS 登入權限 (但未取得管理員存取權) 的使用者，有機會在 VM 中將權限提高至根層級存取權。

安全漏洞

Compute Engine 映像檔有下列三個安全漏洞，原因是預設群組成員資格過於寬鬆：

CVE-2020-8903：使用 adm 使用者，即可利用 DHCP XID 取得管理員權限。
CVE-2020-8907：使用 docker 使用者，即可掛接及修改主機 OS 檔案系統，取得管理員權限。
CVE-2020-8933：使用 lxd 使用者，即可附加主機 OS 檔案系統並取得管理員權限。

修補映像檔和修正

v20200506之後建立的所有 Compute Engine 公開映像檔都已修補。

如要修正這個問題，但不想更新至較新版本的映像檔，可以編輯 /etc/security/group.conf 檔案，並從預設 OS 登入項目中移除 adm、lxd 和 docker 使用者。

High

發布日期：2020-01-21

說明嚴重性附註

說明	嚴重性	附註
Microsoft 揭露了下列安全漏洞： CVE-2020-0601：這個安全漏洞又稱為 Windows Crypto API 假冒漏洞，攻擊者可利用這個漏洞，讓惡意執行檔看起來值得信任，或發動中間人攻擊，並在使用者連線至受影響軟體時解密機密資訊。對 Compute Engine 的影響執行 Compute Engine 的基礎架構不受這個安全漏洞影響。除非您在 Compute Engine 虛擬機器中執行 Windows Server，否則不需採取進一步行動。如果客戶使用的 Compute Engine VM 執行 Windows Server，應確保執行個體已安裝最新 Windows 修補程式。修補完成的映像檔與廠商資源舊版公開 Windows 映像檔不含下列修補程式，也無法防範潛在攻擊：專案 `windows-cloud` 和 `windows-sql-cloud` v20200114 起的所有 Windows Server 和 SQL Server 公開映像檔	中	CVE-2020-0601

Microsoft 揭露了下列安全漏洞：

CVE-2020-0601：這個安全漏洞又稱為 Windows Crypto API 假冒漏洞，攻擊者可利用這個漏洞，讓惡意執行檔看起來值得信任，或發動中間人攻擊，並在使用者連線至受影響軟體時解密機密資訊。

對 Compute Engine 的影響

執行 Compute Engine 的基礎架構不受這個安全漏洞影響。除非您在 Compute Engine 虛擬機器中執行 Windows Server，否則不需採取進一步行動。如果客戶使用的 Compute Engine VM 執行 Windows Server，應確保執行個體已安裝最新 Windows 修補程式。

修補完成的映像檔與廠商資源

舊版公開 Windows 映像檔不含下列修補程式，也無法防範潛在攻擊：

專案 windows-cloud 和 windows-sql-cloud
- v20200114 起的所有 Windows Server 和 SQL Server 公開映像檔

中

CVE-2020-0601

發布日期：2019-11-12

說明	嚴重性	附註
Intel 已揭露下列 CVE： CVE-2019-11135：這個 CVE 也稱為 TSX Async Abort (TAA)。TAA 提供了另一種資料竊取途徑，使用與微架構資料取樣 (MDS) 相同的微架構資料結構。 CVE-2018-12207：這個 CVE 也稱為「頁面大小變更時發生機器檢查錯誤」。這項阻斷攻擊 (DoS) 漏洞會影響虛擬機器主機，讓惡意訪客能癱瘓未受保護的主機。對 Compute Engine 的影響 CVE-2019-11135 執行 Compute Engine 的主機基礎架構會隔離客戶工作負載。除非您在 N2、C2 或 M2 VM 中執行不受信任的程式碼，否則無須採取進一步行動。如果 N2、C2 或 M2 客戶在 Compute Engine 虛擬機器內的多租戶服務中執行不受信任的程式碼，應停止並啟動 VM，確保已套用最新的安全防護措施。如果只是重新啟動，而未停止/啟動，則無法解決問題。本指南假設您已套用先前發布的更新，解決 MDS 漏洞。如果沒有，請按照操作說明套用適當的更新。如果客戶執行的是 N1 機器類型，則不需採取任何行動，因為這項安全漏洞並未帶來新的風險，與先前揭露的 MDS 安全漏洞相同。 CVE-2018-12207 執行 Compute Engine 的主機基礎架構不會受到這項安全漏洞影響。您無需採取進一步行動。	中	CVE-2019-11135 CVE-2018-12207

說明

嚴重性

附註

Intel 已揭露下列 CVE：

CVE-2019-11135：這個 CVE 也稱為 TSX Async Abort (TAA)。TAA 提供了另一種資料竊取途徑，使用與微架構資料取樣 (MDS) 相同的微架構資料結構。
CVE-2018-12207：這個 CVE 也稱為「頁面大小變更時發生機器檢查錯誤」。這項阻斷攻擊 (DoS) 漏洞會影響虛擬機器主機，讓惡意訪客能癱瘓未受保護的主機。

對 Compute Engine 的影響

CVE-2019-11135

執行 Compute Engine 的主機基礎架構會隔離客戶工作負載。除非您在 N2、C2 或 M2 VM 中執行不受信任的程式碼，否則無須採取進一步行動。

如果 N2、C2 或 M2 客戶在 Compute Engine 虛擬機器內的多租戶服務中執行不受信任的程式碼，應停止並啟動 VM，確保已套用最新的安全防護措施。如果只是重新啟動，而未停止/啟動，則無法解決問題。本指南假設您已套用先前發布的更新，解決 MDS 漏洞。如果沒有，請按照操作說明套用適當的更新。

如果客戶執行的是 N1 機器類型，則不需採取任何行動，因為這項安全漏洞並未帶來新的風險，與先前揭露的 MDS 安全漏洞相同。

CVE-2018-12207

執行 Compute Engine 的主機基礎架構不會受到這項安全漏洞影響。您無需採取進一步行動。

中

發布日期：2019 年 6 月 18 日

上次更新時間：2019 年 6 月 25 日下午 6:30 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
Netflix 最近揭露了 Linux 核心的 3 個 TCP 安全漏洞： CVE-2019-11477 CVE-2019-11478 CVE-2019-11479 上述 CVE 統稱為 NFLX-2019-001。對 Compute Engine 的影響託管 Compute Engine 的基礎架構具備防護機制，因此不會受到這個安全漏洞的影響。如果 Compute Engine VM 執行未經修補的 Linux 作業系統，且該作業系統會傳送/接收不受信任的網路流量，這個 VM 就可能會受到這類 DoS 攻擊。因此，我們建議您在該作業系統的修補程式推出時，立即更新這些 VM 執行個體。關閉 TCP 連線的負載平衡器已修補這項安全漏洞。如果 Compute Engine 執行個體只透過這些負載平衡器接收不受信任流量，則沒有安全漏洞。包括 HTTP 負載平衡器、SSL Proxy 負載平衡器和 TCP Proxy 負載平衡器。網路負載平衡器和內部負載平衡器不會關閉 TCP 連線。如果 Compute Engine 執行個體未套用修補程式，且透過這些負載平衡器接收不受信任的流量，就容易受到攻擊。修補完成的映像檔與廠商資源我們會在各作業系統供應商提供修補程式資訊後，在此提供相關連結，包括各個 CVE 的狀態。這些公開映像檔的早期版本不含這些修補程式，也無法緩解潛在攻擊：專案 `debian-cloud`： `debian-9-stretch-v20190618` 專案 `centos-cloud`： `centos-6-v20190619` `centos-7-v20190619` 專案 `cos-cloud`： `cos-dev-77-12293-0-0` `cos-beta-76-12239-21-0` `cos-stable-75-12105-77-0` `cos-73-11647-217-0` `cos-69-10895-277-0` 專案 `coreos-cloud`： `coreos-alpha-2163-2-1-v20190617` `coreos-beta-2135-3-1-v20190617` `coreos-stable-2079-6-0-v20190617` 專案 `rhel-cloud`： `rhel-6-v20190618` `rhel-7-v20190618` `rhel-8-v20190618` 專案 `rhel-sap-cloud`： `rhel-7-4-sap-v20190618` `rhel-7-6-sap-v20190618` 專案 `suse-cloud`： `sles-12-sp4-v20190617` `sles-15-v20190617` 專案 `suse-sap-cloud`： `sles-12-sp1-sap-v20190617` `sles-12-sp2-sap-v20190617` `sles-12-sp3-sap-v20190617` `sles-12-sp4-sap-v20190617` `sles-15-sap-v20190617` 專案 `ubuntu-cloud`： `ubuntu-1604-xenial-v20190617` `ubuntu-1804-bionic-v20190617` `ubuntu-1810-cosmic-v20190618` `ubuntu-1904-disco-v20190619` `ubuntu-minimal-1604-xenial-v20190618` `ubuntu-minimal-1804-bionic-v20190617` `ubuntu-minimal-1810-cosmic-v20190618` `ubuntu-minimal-1904-disco-v20190618`	中	CVE-2019-11477 CVE-2019-11478 CVE-2019-11479

Netflix 最近揭露了 Linux 核心的 3 個 TCP 安全漏洞：

上述 CVE 統稱為 NFLX-2019-001。

對 Compute Engine 的影響

託管 Compute Engine 的基礎架構具備防護機制，因此不會受到這個安全漏洞的影響。

如果 Compute Engine VM 執行未經修補的 Linux 作業系統，且該作業系統會傳送/接收不受信任的網路流量，這個 VM 就可能會受到這類 DoS 攻擊。因此，我們建議您在該作業系統的修補程式推出時，立即更新這些 VM 執行個體。

關閉 TCP 連線的負載平衡器已修補這項安全漏洞。如果 Compute Engine 執行個體只透過這些負載平衡器接收不受信任流量，則沒有安全漏洞。包括 HTTP 負載平衡器、SSL Proxy 負載平衡器和 TCP Proxy 負載平衡器。

網路負載平衡器和內部負載平衡器不會關閉 TCP 連線。如果 Compute Engine 執行個體未套用修補程式，且透過這些負載平衡器接收不受信任的流量，就容易受到攻擊。

修補完成的映像檔與廠商資源

我們會在各作業系統供應商提供修補程式資訊後，在此提供相關連結，包括各個 CVE 的狀態。這些公開映像檔的早期版本不含這些修補程式，也無法緩解潛在攻擊：

專案 debian-cloud：
- debian-9-stretch-v20190618
專案 centos-cloud：
- centos-6-v20190619
- centos-7-v20190619
專案 cos-cloud：
- cos-dev-77-12293-0-0
- cos-beta-76-12239-21-0
- cos-stable-75-12105-77-0
- cos-73-11647-217-0
- cos-69-10895-277-0
專案 coreos-cloud：
- coreos-alpha-2163-2-1-v20190617
- coreos-beta-2135-3-1-v20190617
- coreos-stable-2079-6-0-v20190617
專案 rhel-cloud：
- rhel-6-v20190618
- rhel-7-v20190618
- rhel-8-v20190618
專案 rhel-sap-cloud：
- rhel-7-4-sap-v20190618
- rhel-7-6-sap-v20190618
專案 suse-cloud：
- sles-12-sp4-v20190617
- sles-15-v20190617
專案 suse-sap-cloud：
- sles-12-sp1-sap-v20190617
- sles-12-sp2-sap-v20190617
- sles-12-sp3-sap-v20190617
- sles-12-sp4-sap-v20190617
- sles-15-sap-v20190617
專案 ubuntu-cloud：
- ubuntu-1604-xenial-v20190617
- ubuntu-1804-bionic-v20190617
- ubuntu-1810-cosmic-v20190618
- ubuntu-1904-disco-v20190619
- ubuntu-minimal-1604-xenial-v20190618
- ubuntu-minimal-1804-bionic-v20190617
- ubuntu-minimal-1810-cosmic-v20190618
- ubuntu-minimal-1904-disco-v20190618

中

發布日期：2019 年 5 月 14 日

上次更新時間：2019 年 5 月 20 日下午 5 點 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
Intel 已揭露下列 CVE： CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 CVE-2019-11091 上述 CVE 統稱為「微架構資料取樣」(MDS)。攻擊者可能利用這些安全漏洞，透過推測執行與微架構狀態的互動，導致資料外洩。對 Compute Engine 的影響執行 Compute Engine 的主機基礎架構會將客戶工作負載彼此隔離。除非您在 VM 中執行不受信任的程式碼，否則不必採取進一步行動。如果客戶在 Compute Engine 虛擬機器中自己的多用戶群服務上執行不受信任的程式碼，請參考您客體 OS 廠商建議的緩解方法，其中可能包含使用 Intel 的微碼緩解功能。我們已經為新的清除功能部署訪客傳遞存取權。以下概述適用於一般訪客映像檔的緩解步驟。修補完成的映像檔與廠商資源各作業系統供應商提供修補程式資訊後，我們就會在這裡提供相關連結，包括各個 CVE 的狀態。您可以使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：專案 `centos-cloud`：CESA-2019:1169、CESA-2019:1168 `centos-6-v20190515` `centos-7-v20190515` `coreos-cloud` 專案：CoreOS Container Linux 的 MDS 緩解措施 `coreos-stable-2079-4-0-v20190515` `coreos-beta-2107-3-0-v20190515` `coreos-alpha-2135-1-0-v20190515` 專案 `cos-cloud` `cos-69-10895-242-0` `cos-73-11647-182-0` 專案 `debian-cloud`：DSA-4444 `debian-9-stretch-v20190514` 專案 `rhel-cloud`：Red Hat MDS 知識庫文章 `rhel-6-v20190515` `rhel-7-v20190517` `rhel-8-v20190515` 專案 `rhel-sap-cloud`：Red Hat MDS 知識庫文章 `rhel-7-4-sap-v20190515` `rhel-7-6-sap-v20190517` 專案 `suse-cloud`： SUSE MDS KB `sles-12-sp4-v20190520` `sles-15-v20190520` 專案 `suse-sap-cloud` `sles-12-sp4-sap-v20190520` `sles-15-sap-v20190520` 專案 `ubuntu-os-cloud`：Ubuntu MDS Wiki `ubuntu-1404-trusty-v20190514` `ubuntu-1604-xenial-v20190514` `ubuntu-1804-bionic-v20190514` `ubuntu-1810-cosmic-v20190514` `ubuntu-1904-disco-v20190514` `ubuntu-minimal-1604-xenial-v20190514` `ubuntu-minimal-1804-bionic-v20190514` `ubuntu-minimal-1810-cosmic-v20190514` `ubuntu-minimal-1904-disco-v20190514` 專案 `windows-cloud` 和 `windows-sql-cloud`：Microsoft ADV190013 所有版本號碼為 `v20190514` 的 Windows Server 和 SQL Server 公開映像檔。專案 `gce-uefi-images` `centos-7-v20190515` `cos-69-10895-242-0` `cos-73-11647-182-0` `rhel-7-v20190517` `ubuntu-1804-bionic-v20190514` 所有版本號碼為 `v20190514` 的 Windows Server 公開映像檔。 Container-Optimized OS 如果您把 Container Optimized OS (COS) 當做客體 Guest OS 來使用，且您在自己的虛擬機器上執行不受信任的多用戶群工作負載，我們建議您：在核心指令列上設定 `nosmt`，即可停用超執行緒。在現有的 COS VM 上，您可以按照下列方式修改 `grub.cfg`，設定 `nosmt` 選項，然後重新啟動系統： # Run as root: dir="$(mktemp -d)" mount /dev/sda12 "${dir}" sed -i -e "s\|cros_efi\|cros_efi nosmt\|g" "${dir}/efi/boot/grub.cfg" umount "${dir}" rmdir "${dir}" reboot 為方便起見，您可以執行下列指令碼，達到與先前執行指令相同的結果。我們建議您把該指令碼新增到您的雲端組態、開機指令碼，或執行個體範本中，以確保新的 VM 會使用這個參數。以下是執行這個指令碼的 cloud-config 範例。警告：第一次執行這個指令時，執行個體會立即重新啟動。如果執行個體已停用超執行緒，後續執行指令不會產生任何影響。 # Run as root /bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh) 如何將該指令新增到您的雲端組態中： #cloud-config bootcmd: - /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)" 如要確認執行個體是否已停用超執行緒，請查看 `/sys/devices/system/cpu/smt/active` 和 `/sys/devices/system/cpu/smt/control` 檔案的輸出內容。如果 `active` 傳回 `0`，`control` 傳回 `off`，則表示超執行緒已停用： cat /sys/devices/system/cpu/smt/active cat /sys/devices/system/cpu/smt/control 注意：如果您已在執行個體上啟用 UEFI 安全啟動功能，則必須在停用 UEFI 安全啟動功能的情況下重新建立執行個體，並在停用 UEFI 安全啟動功能的情況下執行上述指令，然後在新執行個體上啟用 UEFI 安全啟動功能。使用新版 COS 映像檔除了採用上述方法來停用超執行緒功能之外，您也應該利用上述已更新或較新版本 (如果已推出) 的 Container-Optimized OS 映像檔來重新建立執行個體，以便獲得可抵擋該安全漏洞的完整保護。	中	CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 CVE-2019-11091

Intel 已揭露下列 CVE：

上述 CVE 統稱為「微架構資料取樣」(MDS)。攻擊者可能利用這些安全漏洞，透過推測執行與微架構狀態的互動，導致資料外洩。

對 Compute Engine 的影響

執行 Compute Engine 的主機基礎架構會將客戶工作負載彼此隔離。除非您在 VM 中執行不受信任的程式碼，否則不必採取進一步行動。

如果客戶在 Compute Engine 虛擬機器中自己的多用戶群服務上執行不受信任的程式碼，請參考您客體 OS 廠商建議的緩解方法，其中可能包含使用 Intel 的微碼緩解功能。我們已經為新的清除功能部署訪客傳遞存取權。以下概述適用於一般訪客映像檔的緩解步驟。

修補完成的映像檔與廠商資源

各作業系統供應商提供修補程式資訊後，我們就會在這裡提供相關連結，包括各個 CVE 的狀態。您可以使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：

專案 centos-cloud：CESA-2019:1169、CESA-2019:1168

centos-6-v20190515
centos-7-v20190515

coreos-cloud 專案：CoreOS Container Linux 的 MDS 緩解措施

coreos-stable-2079-4-0-v20190515
coreos-beta-2107-3-0-v20190515
coreos-alpha-2135-1-0-v20190515

專案 cos-cloud

cos-69-10895-242-0
cos-73-11647-182-0

專案 debian-cloud：DSA-4444

debian-9-stretch-v20190514

專案 rhel-cloud：Red Hat MDS 知識庫文章

rhel-6-v20190515
rhel-7-v20190517
rhel-8-v20190515

專案 rhel-sap-cloud：Red Hat MDS 知識庫文章

rhel-7-4-sap-v20190515
rhel-7-6-sap-v20190517

專案 suse-cloud： SUSE MDS KB

sles-12-sp4-v20190520
sles-15-v20190520

專案 suse-sap-cloud

sles-12-sp4-sap-v20190520
sles-15-sap-v20190520

專案 ubuntu-os-cloud：Ubuntu MDS Wiki

ubuntu-1404-trusty-v20190514
ubuntu-1604-xenial-v20190514
ubuntu-1804-bionic-v20190514
ubuntu-1810-cosmic-v20190514
ubuntu-1904-disco-v20190514
ubuntu-minimal-1604-xenial-v20190514
ubuntu-minimal-1804-bionic-v20190514
ubuntu-minimal-1810-cosmic-v20190514
ubuntu-minimal-1904-disco-v20190514

專案 windows-cloud 和 windows-sql-cloud：Microsoft ADV190013

所有版本號碼為 v20190514 的 Windows Server 和 SQL Server 公開映像檔。

專案 gce-uefi-images

centos-7-v20190515
cos-69-10895-242-0
cos-73-11647-182-0
rhel-7-v20190517
ubuntu-1804-bionic-v20190514
所有版本號碼為 v20190514 的 Windows Server 公開映像檔。

Container-Optimized OS

如果您把 Container Optimized OS (COS) 當做客體 Guest OS 來使用，且您在自己的虛擬機器上執行不受信任的多用戶群工作負載，我們建議您：

在核心指令列上設定 nosmt，即可停用超執行緒。
在現有的 COS VM 上，您可以按照下列方式修改 grub.cfg，設定 nosmt 選項，然後重新啟動系統：
```
# Run as root:
dir="$(mktemp -d)"
mount /dev/sda12 "${dir}"
sed -i -e "s|cros_efi|cros_efi nosmt|g" "${dir}/efi/boot/grub.cfg"
umount "${dir}"
rmdir "${dir}"

reboot
```
為方便起見，您可以執行下列指令碼，達到與先前執行指令相同的結果。我們建議您把該指令碼新增到您的雲端組態、開機指令碼，或執行個體範本中，以確保新的 VM 會使用這個參數。以下是執行這個指令碼的 cloud-config 範例。

警告：第一次執行這個指令時，執行個體會立即重新啟動。如果執行個體已停用超執行緒，後續執行指令不會產生任何影響。
```
# Run as root
/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)
```
如何將該指令新增到您的雲端組態中：
```
#cloud-config

bootcmd:
- /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)"
```
如要確認執行個體是否已停用超執行緒，請查看 /sys/devices/system/cpu/smt/active 和 /sys/devices/system/cpu/smt/control 檔案的輸出內容。如果 active 傳回 0，control 傳回 off，則表示超執行緒已停用：
```
cat /sys/devices/system/cpu/smt/active
cat /sys/devices/system/cpu/smt/control
```
注意：如果您已在執行個體上啟用 UEFI 安全啟動功能，則必須在停用 UEFI 安全啟動功能的情況下重新建立執行個體，並在停用 UEFI 安全啟動功能的情況下執行上述指令，然後在新執行個體上啟用 UEFI 安全啟動功能。
使用新版 COS 映像檔

除了採用上述方法來停用超執行緒功能之外，您也應該利用上述已更新或較新版本 (如果已推出) 的 Container-Optimized OS 映像檔來重新建立執行個體，以便獲得可抵擋該安全漏洞的完整保護。

中

發布日期：2018 年 8 月 14 日

上次更新時間：2018 年 8 月 20 日下午 5:00 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
說明 Intel 已揭露下列 CVE： CVE-2018-3615 (發生於 SGX) CVE-2018-3620 (發生於作業系統和 SMT) CVE-2018-3646 (發生於虛擬化作業) 上述 CVE 統稱為「L1 終端機錯誤」(L1TF)。這些 L1TF 安全漏洞會攻擊處理器層級的資料結構設定，藉此濫用推測性執行功能。「L1」是指 1 級資料快取 (L1D)，這是一種用於加快記憶體存取速度的小型核心資源。如要進一步瞭解這些安全漏洞和 Compute Engine 的緩解措施，請參閱 Google Cloud 網誌文章。對 Compute Engine 的影響用於執行 Compute Engine 及隔離各個客戶工作負載的主機基礎架構具備充分的防護機制，因此未受到已知攻擊的影響。我們建議 Compute Engine 的客戶更新映像檔，以免訪客環境中出現間接的惡意利用活動。對於在 Compute Engine 虛擬機器上執行多用戶群服務的客戶來說，這一點尤為重要。 Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：使用修補完成的公開映像檔重新建立現有的 VM 執行個體。在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。修補完成的映像檔與廠商資源作業系統廠商發布修補程式資訊之後，我們就會在這裡提供相關連結和前述兩個 CVE 的狀態。您可以使用這些映像檔來重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：專案 `centos-cloud`： `centos-7-v20180815` `centos-6-v20180815` 專案 `coreos-cloud`： `coreos-stable-1800-7-0-v20180816` `coreos-beta-1855-2-0-v20180816` `coreos-alpha-1871-0-0-v20180816` 專案 `cos-cloud`： `cos-stable-66-10452-110-0` `cos-stable-67-10575-66-0` `cos-beta-68-10718-81-0` `cos-dev-69-10895-23-0` 專案 `debian-cloud`： `debian-9-stretch-v20180820` 專案 `rhel-cloud`： `rhel-7-v20180814` `rhel-6-v20180814` 專案 `rhel-sap-cloud`： `rhel-7-sap-apps-v20180814` `rhel-7-sap-hana-v20180814` 專案 `suse-cloud`： `sles-15-v20180816` `sles-12-sp3-v20180814` `sles-11-sp4-v20180816` 專案 `suse-sap-cloud`： `sles-15-sap-v20180816` `sles-12-sp3-sap-v20180814` `sles-12-sp2-sap-v20180816` 專案 `ubuntu-os-cloud`： `ubuntu-1804-bionic-v20180814` `ubuntu-1604-xenial-v20180814` `ubuntu-1404-trusty-v20180814` `ubuntu-minimal-1804-bionic-v20180814` `ubuntu-minimal-1604-xenial-v20180814` 專案 `windows-cloud` `gce-uefi-images` 和 `windows-sql-cloud`：版本號碼為 `-v201800814` 以上的所有 Windows Server 和 SQL Server 公開映像檔都包含修補程式。	高	CVE-2018-3615 CVE-2018-3620 CVE-2018-3646

說明

Intel 已揭露下列 CVE：

CVE-2018-3615 (發生於 SGX)
CVE-2018-3620 (發生於作業系統和 SMT)
CVE-2018-3646 (發生於虛擬化作業)

上述 CVE 統稱為「L1 終端機錯誤」(L1TF)。

這些 L1TF 安全漏洞會攻擊處理器層級的資料結構設定，藉此濫用推測性執行功能。「L1」是指 1 級資料快取 (L1D)，這是一種用於加快記憶體存取速度的小型核心資源。

如要進一步瞭解這些安全漏洞和 Compute Engine 的緩解措施，請參閱 Google Cloud 網誌文章。

對 Compute Engine 的影響

用於執行 Compute Engine 及隔離各個客戶工作負載的主機基礎架構具備充分的防護機制，因此未受到已知攻擊的影響。

我們建議 Compute Engine 的客戶更新映像檔，以免訪客環境中出現間接的惡意利用活動。對於在 Compute Engine 虛擬機器上執行多用戶群服務的客戶來說，這一點尤為重要。

Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：

使用修補完成的公開映像檔重新建立現有的 VM 執行個體。
在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。

修補完成的映像檔與廠商資源

作業系統廠商發布修補程式資訊之後，我們就會在這裡提供相關連結和前述兩個 CVE 的狀態。您可以使用這些映像檔來重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：

專案 centos-cloud：
- centos-7-v20180815
- centos-6-v20180815
專案 coreos-cloud：
- coreos-stable-1800-7-0-v20180816
- coreos-beta-1855-2-0-v20180816
- coreos-alpha-1871-0-0-v20180816
專案 cos-cloud：
- cos-stable-66-10452-110-0
- cos-stable-67-10575-66-0
- cos-beta-68-10718-81-0
- cos-dev-69-10895-23-0
專案 debian-cloud：
- debian-9-stretch-v20180820
專案 rhel-cloud：
- rhel-7-v20180814
- rhel-6-v20180814
專案 rhel-sap-cloud：
- rhel-7-sap-apps-v20180814
- rhel-7-sap-hana-v20180814
專案 suse-cloud：
- sles-15-v20180816
- sles-12-sp3-v20180814
- sles-11-sp4-v20180816
專案 suse-sap-cloud：
- sles-15-sap-v20180816
- sles-12-sp3-sap-v20180814
- sles-12-sp2-sap-v20180816
專案 ubuntu-os-cloud：
- ubuntu-1804-bionic-v20180814
- ubuntu-1604-xenial-v20180814
- ubuntu-1404-trusty-v20180814
- ubuntu-minimal-1804-bionic-v20180814
- ubuntu-minimal-1604-xenial-v20180814
專案 windows-cloud gce-uefi-images 和 windows-sql-cloud：
- 版本號碼為 -v201800814 以上的所有 Windows Server 和 SQL Server 公開映像檔都包含修補程式。

高

發布日期：2018 年 8 月 6 日

上次更新時間：2018 年 9 月 5 日下午 5 點 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
2018 年 9 月 5 日更新 CVE-2018-5391 是由 US-CERT 於 2018 年 8 月 14 日揭露。與 CVE-2018-5390 相同，這也是核心層級的網路安全漏洞，會提高針對易受攻擊系統的阻斷攻擊 (DoS) 效果。兩者的主要差異在於不肖人士可以透過 IP 連線利用 CVE-2018-5391。我們已更新這份公告，涵蓋這兩項安全漏洞。說明 CVE-2018-5390 (「SegmentSmack」) 描述的是核心層級網路安全漏洞，會提高透過 TCP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的有效性。 CVE-2018-5391 (「FragmentSmack」) 描述核心層級的網路安全漏洞，會提高透過 IP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的效果。對 Compute Engine 的影響執行 Compute Engine VM 的主機基礎架構並無風險。處理 Compute Engine VM 往來流量的網路基礎架構，已受到保護，不受這項安全漏洞影響。如果 Compute Engine VM 僅使用 HTTP(S)、SSL 或 TCP 負載平衡器傳送/接收不受信任的網路流量，則不會受到這個安全漏洞影響。如果 Compute Engine VM 執行的作業系統未安裝修補程式，且直接傳送/接收不受信任的網路流量，或使用網路負載平衡器，就容易受到這類 DoS 攻擊。 VM 執行個體的作業系統廠商發布修補程式之後，建議您立即進行更新。 Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：使用已修補的公開映像檔重新建立現有 VM 執行個體。請參閱下方已修補的公開映像檔清單。在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。修補完成的映像檔與廠商資源當每個作業系統廠商發布修補程式資訊時，我們就會在這裡提供相關連結。專案 `centos-cloud` (僅限 CVE-2018-5390)： `centos-7-v20180815` `centos-6-v20180815` Project `coreos-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `coreos-stable-1800-7-0-v20180816` `coreos-beta-1855-2-0-v20180816` `coreos-alpha-1871-0-0-v20180816` Project `cos-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `cos-stable-65-10323-98-0` `cos-stable-66-10452-109-0` `cos-stable-67-10575-65-0` `cos-beta-68-10718-76-0` `cos-dev-69-10895-16-0` Project `debian-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `debian-9-stretch-v20180814` 專案 `rhel-cloud` (僅限 CVE-2018-5390)： `rhel-7-v20180814` `rhel-6-v20180814` Project `suse-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `sles-15-v20180816` `sles-12-sp3-v20180814` Project `suse-sap-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `sles-15-sap-v20180816` `sles-12-sp3-sap-v20180814` `sles-12-sp2-sap-v20180816` Project `ubuntu-os-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `ubuntu-1804-bionic-v20180814` `ubuntu-1604-xenial-v20180814` `ubuntu-1404-trusty-v20180814` `ubuntu-minimal-1804-bionic-v20180814` `ubuntu-minimal-1604-xenial-v20180814`	高	CVE-2018-5390 CVE-2018-5391

2018 年 9 月 5 日更新

CVE-2018-5391 是由 US-CERT 於 2018 年 8 月 14 日揭露。與 CVE-2018-5390 相同，這也是核心層級的網路安全漏洞，會提高針對易受攻擊系統的阻斷攻擊 (DoS) 效果。兩者的主要差異在於不肖人士可以透過 IP 連線利用 CVE-2018-5391。我們已更新這份公告，涵蓋這兩項安全漏洞。

說明

CVE-2018-5390 (「SegmentSmack」) 描述的是核心層級網路安全漏洞，會提高透過 TCP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的有效性。

CVE-2018-5391 (「FragmentSmack」) 描述核心層級的網路安全漏洞，會提高透過 IP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的效果。

對 Compute Engine 的影響

執行 Compute Engine VM 的主機基礎架構並無風險。處理 Compute Engine VM 往來流量的網路基礎架構，已受到保護，不受這項安全漏洞影響。如果 Compute Engine VM 僅使用 HTTP(S)、SSL 或 TCP 負載平衡器傳送/接收不受信任的網路流量，則不會受到這個安全漏洞影響。

如果 Compute Engine VM 執行的作業系統未安裝修補程式，且直接傳送/接收不受信任的網路流量，或使用網路負載平衡器，就容易受到這類 DoS 攻擊。

VM 執行個體的作業系統廠商發布修補程式之後，建議您立即進行更新。

Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：

使用已修補的公開映像檔重新建立現有 VM 執行個體。請參閱下方已修補的公開映像檔清單。
在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。

修補完成的映像檔與廠商資源

當每個作業系統廠商發布修補程式資訊時，我們就會在這裡提供相關連結。

專案 centos-cloud (僅限 CVE-2018-5390)：
- centos-7-v20180815
- centos-6-v20180815
Project coreos-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- coreos-stable-1800-7-0-v20180816
- coreos-beta-1855-2-0-v20180816
- coreos-alpha-1871-0-0-v20180816
Project cos-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- cos-stable-65-10323-98-0
- cos-stable-66-10452-109-0
- cos-stable-67-10575-65-0
- cos-beta-68-10718-76-0
- cos-dev-69-10895-16-0
Project debian-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- debian-9-stretch-v20180814
專案 rhel-cloud (僅限 CVE-2018-5390)：
- rhel-7-v20180814
- rhel-6-v20180814
Project suse-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- sles-15-v20180816
- sles-12-sp3-v20180814
Project suse-sap-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- sles-15-sap-v20180816
- sles-12-sp3-sap-v20180814
- sles-12-sp2-sap-v20180816
Project ubuntu-os-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- ubuntu-1804-bionic-v20180814
- ubuntu-1604-xenial-v20180814
- ubuntu-1404-trusty-v20180814
- ubuntu-minimal-1804-bionic-v20180814
- ubuntu-minimal-1604-xenial-v20180814

高

發布日期：2018 年 1 月 3 日

上次更新：2018 年 5 月 21 日下午 3 點 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
2018 年 5 月 21 日更新 CVE-2018-3640 和 CVE-2018-3639 (分別為變體 3a 和 4) 是由 Intel 揭露。與 Spectre 和 Meltdown 前三個變種的情況相同，執行 Compute Engine VM 執行個體的基礎架構具備充分的防護機制，因此未受到這個安全漏洞的影響。由於客戶 VM 執行個體彼此隔離，亦未受影響。另外，Compute Engine 預計將 Intel 的微碼修補程式部署至自有基礎架構。作業系統廠商與供應商提供可於 VM 內部執行的解決方法之後，在單一 VM 執行個體中處理不受信任或多用戶群工作負載的客戶即可啟用這類額外的解決方法。Intel 認證微碼修補程式後，Compute Engine 會在正式環境中測試並驗證修補程式，然後部署修補程式。修補程式發布之後，我們會在這個頁面中提供更詳細的時程表與相關最新消息。說明這些 CVE 屬於新型攻擊的變體，會利用許多處理器採用的推測執行技術。這類攻擊可讓攻擊者在各種情況下，未經授權取得記憶體資料的唯讀存取權。 Compute Engine 使用 VM 即時遷移技術來執行主機系統和管理程序更新，因此您無須指派任何人加以管理，也不需要進行強制性維護作業或大規模重新啟動執行個體。不過請注意，無論訪客作業系統是在何種環境中運作，這類作業系統和版本都必須經過修補，否則可能會受到這種新型攻擊的威脅。如要全面瞭解這種攻擊方法的相關技術資訊，請參閱 Project Zero 網誌文章。如要進一步瞭解 Google 的緩解措施，包括所有產品專屬資訊，請參閱 Google 安全性網誌文章。對 Compute Engine 的影響執行 Compute Engine 並將客戶 VM 執行個體彼此隔離的基礎架構，可防範已知攻擊。我們的緩解措施可防止未經授權的使用者從 VM 執行個體內執行的應用程式存取主機系統。執行相同主機系統的其他 VM 執行個體也不會遭到未經授權的存取。如要避免虛擬機器執行個體中發生未經授權的存取活動，您必須透過下列其中一種方法更新這些執行個體上的訪客作業系統：使用已修補的公開映像檔重新建立現有 VM 執行個體。請參閱下方已修補的公開映像檔清單。在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。各家作業系統廠商已提供相關的修補程式資訊，請見下方連結。修補完成的映像檔與廠商資源注意事項：這則安全性公告通知列出了多項 CVE，但修補完成的映像檔中可能未含所有安全漏洞的修正內容。另外，不同映像檔中提供的攻擊防護方法可能不同。請向作業系統供應商確認其修補程式解決了哪些 CVE，以及他們採用的預防方法。 Project `cos-cloud`：包含可防範變體 2 (CVE-2017-5715) 和變體 3 (CVE-2017-5754) 攻擊的修補程式。Google 在這些映像檔中使用了 Retpoline，以緩解變體 2 攻擊。 `cos-stable-63-10032-71-0` 或映像檔系列 `cos-stable` 專案 `centos-cloud`：CentOS 修補程式資訊 `centos-7-v20180104` 或映像檔系列 `centos-7` `centos-6-v20180104` 或映像檔系列 `centos-6` 專案 `coreos-cloud`：CoreOS 修補程式資訊 `coreos-stable-1576-5-0-v20180105` 或映像檔系列 `coreos-stable` `coreos-beta-1632-1-0-v20180105` 或映像檔系列 `coreos-beta` `coreos-alpha-1649-0-0-v20180105` 或映像檔系列 `coreos-alpha` 專案 `debian-cloud`： Debian 修補程式資訊 `debian-9-stretch-v20180105` 或映像檔系列 `debian-9` `debian-8-jessie-v20180109` 或映像檔系列 `debian-8` 專案 `rhel-cloud`： RHEL 修補程式資訊 `rhel-7-v20180104` 或映像檔系列 `rhel-7` `rhel-6-v20180104` 或映像檔系列 `rhel-6` 專案 `suse-cloud`：SUSE 修補程式資訊 `sles-12-sp3-v20180104` 或映像檔系列 `sles-12` `sles-11-sp4-v20180104` 或映像檔系列 `sles-11` 專案 `suse-sap-cloud`：SUSE 修補程式資訊 `sles-12-sp3-sap-v20180104` 或映像檔系列 `sles-12-sp3-sap` `sles-12-sp2-sap-v20180104` 或映像檔系列 `sles-12-sp2-sap` 專案 `ubuntu-os-cloud`： Ubuntu 修補程式資訊 `ubuntu-1710-artful-v20180109` 或映像檔系列 `ubuntu-1710` `ubuntu-1604-xenial-v20180109` 或映像檔系列 `ubuntu-1604-lts` `ubuntu-1404-trusty-v20180110` 或映像檔系列 `ubuntu-1404-lts` 專案 `windows-cloud` 和 `windows-sql-cloud`：所有版本號碼為 `-v20180109` 以上的 Windows Server 和 SQL Server 公開映像檔都包含修補程式。不過，您必須按照 Microsoft 在 Windows Server 指南支援公告中提供的應變措施建議，在現有執行個體和新建立的執行個體上啟用及驗證這些緩解措施。使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊。硬體廠商提供的修補程式 NVIDIA 提供經過修補的驅動程式，可防範針對已安裝 NVIDIA® 驅動程式軟體的系統進行的潛在攻擊。如要瞭解哪些驅動程式版本已修補，請參閱 NVIDIA 的 NVIDIA GPU 顯示卡驅動程式安全性更新安全性公告。修訂版本記錄： 2018 年 5 月 21 日 14:00 (太平洋標準時間)：新增 2018 年 5 月 21 日揭露的 2 個新型變種相關資訊。 2018 年 1 月 10 日 15:00 (太平洋標準時間)：新增修補完成的 Windows Server 和 SQL Server 公開映像檔相關資訊。 2018 年 1 月 10 日 10:15 (太平洋標準時間)：將多個 Ubuntu 映像檔新增至已修補公開映像檔清單。 2018 年 1 月 10 日 09:50 (太平洋標準時間)：新增硬體廠商提供的修補程式相關指南。 2018 年 1 月 3 日至 2018 年 1 月 9 日：多次修改已修補公開映像檔清單的內容。	高	CVE-2017-5753 CVE-2017-5715 CVE-2017-5754 CVE-2018-3640 CVE-2018-3639

2018 年 5 月 21 日更新

CVE-2018-3640 和 CVE-2018-3639 (分別為變體 3a 和 4) 是由 Intel 揭露。與 Spectre 和 Meltdown 前三個變種的情況相同，執行 Compute Engine VM 執行個體的基礎架構具備充分的防護機制，因此未受到這個安全漏洞的影響。由於客戶 VM 執行個體彼此隔離，亦未受影響。另外，Compute Engine 預計將 Intel 的微碼修補程式部署至自有基礎架構。作業系統廠商與供應商提供可於 VM 內部執行的解決方法之後，在單一 VM 執行個體中處理不受信任或多用戶群工作負載的客戶即可啟用這類額外的解決方法。Intel 認證微碼修補程式後，Compute Engine 會在正式環境中測試並驗證修補程式，然後部署修補程式。修補程式發布之後，我們會在這個頁面中提供更詳細的時程表與相關最新消息。

說明

這些 CVE 屬於新型攻擊的變體，會利用許多處理器採用的推測執行技術。這類攻擊可讓攻擊者在各種情況下，未經授權取得記憶體資料的唯讀存取權。

Compute Engine 使用 VM 即時遷移技術來執行主機系統和管理程序更新，因此您無須指派任何人加以管理，也不需要進行強制性維護作業或大規模重新啟動執行個體。不過請注意，無論訪客作業系統是在何種環境中運作，這類作業系統和版本都必須經過修補，否則可能會受到這種新型攻擊的威脅。

如要全面瞭解這種攻擊方法的相關技術資訊，請參閱 Project Zero 網誌文章。如要進一步瞭解 Google 的緩解措施，包括所有產品專屬資訊，請參閱 Google 安全性網誌文章。

對 Compute Engine 的影響

執行 Compute Engine 並將客戶 VM 執行個體彼此隔離的基礎架構，可防範已知攻擊。我們的緩解措施可防止未經授權的使用者從 VM 執行個體內執行的應用程式存取主機系統。執行相同主機系統的其他 VM 執行個體也不會遭到未經授權的存取。

如要避免虛擬機器執行個體中發生未經授權的存取活動，您必須透過下列其中一種方法更新這些執行個體上的訪客作業系統：

使用已修補的公開映像檔重新建立現有 VM 執行個體。請參閱下方已修補的公開映像檔清單。
在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。各家作業系統廠商已提供相關的修補程式資訊，請見下方連結。

修補完成的映像檔與廠商資源

注意事項：這則安全性公告通知列出了多項 CVE，但修補完成的映像檔中可能未含所有安全漏洞的修正內容。另外，不同映像檔中提供的攻擊防護方法可能不同。請向作業系統供應商確認其修補程式解決了哪些 CVE，以及他們採用的預防方法。

Project cos-cloud：包含可防範變體 2 (CVE-2017-5715) 和變體 3 (CVE-2017-5754) 攻擊的修補程式。Google 在這些映像檔中使用了 Retpoline，以緩解變體 2 攻擊。
- cos-stable-63-10032-71-0 或映像檔系列 cos-stable
專案 centos-cloud：CentOS 修補程式資訊
- centos-7-v20180104 或映像檔系列 centos-7
- centos-6-v20180104 或映像檔系列 centos-6
專案 coreos-cloud：CoreOS 修補程式資訊
- coreos-stable-1576-5-0-v20180105 或映像檔系列 coreos-stable
- coreos-beta-1632-1-0-v20180105 或映像檔系列 coreos-beta
- coreos-alpha-1649-0-0-v20180105 或映像檔系列 coreos-alpha
專案 debian-cloud： Debian 修補程式資訊
- debian-9-stretch-v20180105 或映像檔系列 debian-9
- debian-8-jessie-v20180109 或映像檔系列 debian-8
專案 rhel-cloud： RHEL 修補程式資訊
- rhel-7-v20180104 或映像檔系列 rhel-7
- rhel-6-v20180104 或映像檔系列 rhel-6
專案 suse-cloud：SUSE 修補程式資訊
- sles-12-sp3-v20180104 或映像檔系列 sles-12
- sles-11-sp4-v20180104 或映像檔系列 sles-11
專案 suse-sap-cloud：SUSE 修補程式資訊
- sles-12-sp3-sap-v20180104 或映像檔系列 sles-12-sp3-sap
- sles-12-sp2-sap-v20180104 或映像檔系列 sles-12-sp2-sap
專案 ubuntu-os-cloud： Ubuntu 修補程式資訊
- ubuntu-1710-artful-v20180109 或映像檔系列 ubuntu-1710
- ubuntu-1604-xenial-v20180109 或映像檔系列 ubuntu-1604-lts
- ubuntu-1404-trusty-v20180110 或映像檔系列 ubuntu-1404-lts
專案 windows-cloud 和 windows-sql-cloud：
- 所有版本號碼為 -v20180109 以上的 Windows Server 和 SQL Server 公開映像檔都包含修補程式。不過，您必須按照 Microsoft 在 Windows Server 指南支援公告中提供的應變措施建議，在現有執行個體和新建立的執行個體上啟用及驗證這些緩解措施。

使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊。

硬體廠商提供的修補程式

NVIDIA 提供經過修補的驅動程式，可防範針對已安裝 NVIDIA® 驅動程式軟體的系統進行的潛在攻擊。如要瞭解哪些驅動程式版本已修補，請參閱 NVIDIA 的 NVIDIA GPU 顯示卡驅動程式安全性更新安全性公告。

修訂版本記錄：

2018 年 5 月 21 日 14:00 (太平洋標準時間)：新增 2018 年 5 月 21 日揭露的 2 個新型變種相關資訊。
2018 年 1 月 10 日 15:00 (太平洋標準時間)：新增修補完成的 Windows Server 和 SQL Server 公開映像檔相關資訊。
2018 年 1 月 10 日 10:15 (太平洋標準時間)：將多個 Ubuntu 映像檔新增至已修補公開映像檔清單。
2018 年 1 月 10 日 09:50 (太平洋標準時間)：新增硬體廠商提供的修補程式相關指南。
2018 年 1 月 3 日至 2018 年 1 月 9 日：多次修改已修補公開映像檔清單的內容。

高

發布日期：2017 年 10 月 2 日

說明	嚴重性	附註
Dnsmasq 提供 DNS、DHCP、路由器通告和網路開機服務。這個軟體通常安裝在桌機版本的 Linux (如 Ubuntu)、家用路由器和 IoT 裝置等各種系統中，並且廣泛使用於開放式網路和內部私人網絡。 Google 在定期的內部安全評估過程中，發現了七項值得注意的問題。在確定這些問題的嚴重性後，我們研究了它們的影響和可利用性，然後為每個問題建立內部概念驗證。我們還與 Dnsmasq 的維護人員 Simon Kelly 合作，製作了相應的修補程式來減緩問題。在審查期間，團隊發現三個潛在的遠端程式碼執行漏洞、一個資訊外洩漏洞，以及三個阻斷攻擊漏洞，這些漏洞會影響截至 2017 年 9 月 5 日專案 Git 伺服器上的最新版本。這些修補程式會上游化，並提交至專案的 Git 存放區。對 Compute Engine 的影響根據預設，Dnsmasq 僅安裝在使用 NetworkManager 的映像檔中，且預設為停用狀態。下列 Compute Engine 公開映像檔已安裝 Dnsmasq： Ubuntu 16.04、16.10、17.04 CentOS 7 RHEL 7 但是，其他映像檔可能已安裝 Dnsmasq，做為其他套件的依附元件。建議您更新 Debian、Ubuntu、CentOS、RHEL、SLES 和 OpenSuse 執行個體，改用最新版作業系統映像檔。CoreOS 和 Container-Optimized OS 則不受影響。Windows 映像檔也不會受影響。執行 Debian 和 Ubuntu 的執行個體，可於執行個體中使用以下指令來更新： sudo apt-get -y update sudo apt-get -y dist-upgrade 如果是 Red Hat Enterprise Linux 和 CentOS 執行個體，請執行： sudo yum -y upgrade 如果是 SLES 和 OpenSUSE 映像檔，請執行： sudo zypper up 除了執行手動更新指令之外，也可以使用個別作業系統的映像檔系列，重新建立 VM 執行個體。	高	CVE-2017-14491 CVE-2017-14492 CVE-2017-14493 CVE-2017-14494 CVE-2017-14495 CVE-2017-14496 CVE-2017-13704

說明

嚴重性

附註

Dnsmasq 提供 DNS、DHCP、路由器通告和網路開機服務。這個軟體通常安裝在桌機版本的 Linux (如 Ubuntu)、家用路由器和 IoT 裝置等各種系統中，並且廣泛使用於開放式網路和內部私人網絡。

Google 在定期的內部安全評估過程中，發現了七項值得注意的問題。在確定這些問題的嚴重性後，我們研究了它們的影響和可利用性，然後為每個問題建立內部概念驗證。我們還與 Dnsmasq 的維護人員 Simon Kelly 合作，製作了相應的修補程式來減緩問題。

在審查期間，團隊發現三個潛在的遠端程式碼執行漏洞、一個資訊外洩漏洞，以及三個阻斷攻擊漏洞，這些漏洞會影響截至 2017 年 9 月 5 日專案 Git 伺服器上的最新版本。

這些修補程式會上游化，並提交至專案的 Git 存放區。

對 Compute Engine 的影響

根據預設，Dnsmasq 僅安裝在使用 NetworkManager 的映像檔中，且預設為停用狀態。下列 Compute Engine 公開映像檔已安裝 Dnsmasq：

Ubuntu 16.04、16.10、17.04
CentOS 7
RHEL 7

但是，其他映像檔可能已安裝 Dnsmasq，做為其他套件的依附元件。建議您更新 Debian、Ubuntu、CentOS、RHEL、SLES 和 OpenSuse 執行個體，改用最新版作業系統映像檔。CoreOS 和 Container-Optimized OS 則不受影響。Windows 映像檔也不會受影響。

執行 Debian 和 Ubuntu 的執行個體，可於執行個體中使用以下指令來更新：

sudo apt-get -y update

sudo apt-get -y dist-upgrade

如果是 Red Hat Enterprise Linux 和 CentOS 執行個體，請執行：

sudo yum -y upgrade

如果是 SLES 和 OpenSUSE 映像檔，請執行：

sudo zypper up

除了執行手動更新指令之外，也可以使用個別作業系統的映像檔系列，重新建立 VM 執行個體。

高

發布日期：2016 年 10 月 26 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2016-5195 是 Linux 核心記憶體子系統在處理寫入存取時，唯讀私人對應 COW 情況中斷時的競爭狀況。不具權限的本機使用者可利用這項瑕疵，取得唯讀記憶體對應的寫入權限，進而提升在系統上的權限。詳情請參閱 Dirty COW 常見問題。對 Compute Engine 的影響 Compute Engine 上的所有 Linux 發行版和版本都會受到影響。大多數的執行個體會自動下載並安裝較新的核心。不過，您必須重新啟動，才能修補執行中的系統。使用下列的 Compute Engine 映像檔新建或重新建立的執行個體已安裝修補過的核心。 `centos-6-v20161026` `centos-7-v20161025` `coreos-alpha-1192-2-0-v20161021` `coreos-beta-1185-2-0-v20161021` `coreos-stable-1122-3-0-v20161021` `debian-8-jessie-v20161020` `rhel-6-v20161026` `rhel-7-v20161024` `sles-11-sp4-v20161021` `sles-12-sp1-v20161021` `ubuntu-1204-precise-v20161020` `ubuntu-1404-trusty-v20161020` `ubuntu-1604-xenial-v20161020` `ubuntu-1610-yakkety-v20161020`	高	CVE-2016-5195

CVE-2016-5195 是 Linux 核心記憶體子系統在處理寫入存取時，唯讀私人對應 COW 情況中斷時的競爭狀況。

不具權限的本機使用者可利用這項瑕疵，取得唯讀記憶體對應的寫入權限，進而提升在系統上的權限。

詳情請參閱 Dirty COW 常見問題。

對 Compute Engine 的影響

Compute Engine 上的所有 Linux 發行版和版本都會受到影響。大多數的執行個體會自動下載並安裝較新的核心。不過，您必須重新啟動，才能修補執行中的系統。

使用下列的 Compute Engine 映像檔新建或重新建立的執行個體已安裝修補過的核心。

centos-6-v20161026
centos-7-v20161025
coreos-alpha-1192-2-0-v20161021
coreos-beta-1185-2-0-v20161021
coreos-stable-1122-3-0-v20161021
debian-8-jessie-v20161020
rhel-6-v20161026
rhel-7-v20161024
sles-11-sp4-v20161021
sles-12-sp1-v20161021
ubuntu-1204-precise-v20161020
ubuntu-1404-trusty-v20161020
ubuntu-1604-xenial-v20161020
ubuntu-1610-yakkety-v20161020

高

CVE-2016-5195

發布日期：2016 年 2 月 16 日

上次更新日期：2016 年 2 月 22 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2015-7547 是一項安全漏洞，當 glibc DNS 用戶端解析器使用 `getaddrinfo()` 程式庫函式時，會導致軟體容易發生堆疊式緩衝區溢位。攻擊者可以利用使用該函式的軟體，透過攻擊者控制的網域名稱、攻擊者控制的 DNS 伺服器，或透過中間人攻擊來利用這項安全漏洞。詳情請參閱 Google 安全性網誌文章或常見安全漏洞與弱點 (CVE) 資料庫。對 Compute Engine 的影響更新 (2016-02-22)：現可使用 CoreOS、SLES 和 OpenSUSE 映像檔，重新建立您的執行個體： `coreos-alpha-962-0-0-v20160218` `coreos-beta-899-7-0-v20160218` `coreos-stable-835-13-0-v20160218` `opensuse-13-2-v20160222` `opensuse-leap-42-1-v20160222` `sles-11-sp4-v20160222` `sles-12-sp1-v20160222` 更新 (2016-02-17)：現可在 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 15.10 執行個體上，使用下列指令來更新： `user@my-instance:~$ sudo apt-get -y update` `user@my-instance:~$ sudo apt-get -y dist-upgrade` `user@my-instance:~$ sudo reboot` 除了執行手動更新指令之外，也可以利用下列的新映像檔來重新建立執行個體： `backports-debian-7-wheezy-v20160216` `centos-6-v20160216` `centos-7-v20160216` `debian-7-wheezy-v20160216` `debian-8-jessie-v20160216` `rhel-6-v20160216` `rhel-7-v20160216` `ubuntu-1204-precise-v20160217a` `ubuntu-1404-trusty-v20160217a` `ubuntu-1510-wily-v20160217` 我們雖然不知道任何以 glibc 預設配置透過 Compute Engine 的 DNS 解析器來利用這個安全漏洞的方法。建議您盡快修補虛擬機器執行個體，因為隨著時間推移，任何新安全漏洞都可能出現新的入侵方法。如果您已啟用 edns0 (預設為停用)，請先停用這項功能，直到執行個體修補完成。原始公告：您的 Linux 發行版可能存有安全漏洞。如果 Compute Engine 客戶執行的是 Linux OS，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。執行 Debian 的執行個體，可於執行個體中使用以下指令來更新： `user@my-instance:~$ sudo apt-get -y update` `user@my-instance:~$ sudo apt-get -y dist-upgrade` `user@my-instance:~$ sudo reboot` 另外，我們建議您為 Debian 執行個體安裝UnattendedUpgrades。如果是 Red Hat Enterprise Linux 執行個體，指令如下： `user@my-instance:~$ sudo yum -y upgrade` `user@my-instance:~$ sudo reboot` 隨著其他作業系統維護人員發布這項安全漏洞的修補程式，以及 Compute Engine 發布更新後的 OS 映像檔，我們會持續更新這份公告。	高	CVE-2015-7547

CVE-2015-7547 是一項安全漏洞，當 glibc DNS 用戶端解析器使用 getaddrinfo() 程式庫函式時，會導致軟體容易發生堆疊式緩衝區溢位。攻擊者可以利用使用該函式的軟體，透過攻擊者控制的網域名稱、攻擊者控制的 DNS 伺服器，或透過中間人攻擊來利用這項安全漏洞。

詳情請參閱 Google 安全性網誌文章或常見安全漏洞與弱點 (CVE) 資料庫。

對 Compute Engine 的影響

更新 (2016-02-22)：

現可使用 CoreOS、SLES 和 OpenSUSE 映像檔，重新建立您的執行個體：

coreos-alpha-962-0-0-v20160218
coreos-beta-899-7-0-v20160218
coreos-stable-835-13-0-v20160218
opensuse-13-2-v20160222
opensuse-leap-42-1-v20160222
sles-11-sp4-v20160222
sles-12-sp1-v20160222

更新 (2016-02-17)：

現可在 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 15.10 執行個體上，使用下列指令來更新：

user@my-instance:~$ sudo apt-get -y update
user@my-instance:~$ sudo apt-get -y dist-upgrade
user@my-instance:~$ sudo reboot

除了執行手動更新指令之外，也可以利用下列的新映像檔來重新建立執行個體：

backports-debian-7-wheezy-v20160216
centos-6-v20160216
centos-7-v20160216
debian-7-wheezy-v20160216
debian-8-jessie-v20160216
rhel-6-v20160216
rhel-7-v20160216
ubuntu-1204-precise-v20160217a
ubuntu-1404-trusty-v20160217a
ubuntu-1510-wily-v20160217

我們雖然不知道任何以 glibc 預設配置透過 Compute Engine 的 DNS 解析器來利用這個安全漏洞的方法。建議您盡快修補虛擬機器執行個體，因為隨著時間推移，任何新安全漏洞都可能出現新的入侵方法。如果您已啟用 edns0 (預設為停用)，請先停用這項功能，直到執行個體修補完成。

原始公告：

您的 Linux 發行版可能存有安全漏洞。如果 Compute Engine 客戶執行的是 Linux OS，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。

執行 Debian 的執行個體，可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get -y update
user@my-instance:~$ sudo apt-get -y dist-upgrade
user@my-instance:~$ sudo reboot

另外，我們建議您為 Debian 執行個體安裝UnattendedUpgrades。

如果是 Red Hat Enterprise Linux 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

隨著其他作業系統維護人員發布這項安全漏洞的修補程式，以及 Compute Engine 發布更新後的 OS 映像檔，我們會持續更新這份公告。

高

CVE-2015-7547

發布日期：2015 年 3 月 19 日

說明	嚴重性	附註
CVE-2015-1427 是 Groovy 指令碼引擎 Elasticsearch 在 1.3.8 版以前和 1.4.3 之前任何 1.4.x 版的漏洞，使遠端攻擊者可繞過沙箱保護機制並執行任何的殼層指令。詳情請參閱國家安全漏洞資料庫 (NVD) 或常見安全漏洞與弱點 (CVE) 資料庫。對 Compute Engine 的影響如果您在 Compute Engine 執行個體上執行 Elasticsearch，應將 Elasticsearch 版本升級至 1.4.3 以上版本。如果您已經升級了 Elasticsearch 軟體，則不會受到這個安全漏洞的影響。如果您尚未升級 Elasticsearch 1.4.3 以上版本，可以執行滾動式升級。如果您在 Google Cloud console中使用點選部署部署 Elasticsearch，可以刪除部署作業，移除執行 Elasticsearch 的執行個體。 Google Cloud 團隊正在設法修正問題，以便部署更新版 Elasticsearch。不過， Google Cloud console中的一鍵部署功能尚未提供修正程式。	高	CVE-2015-1427

說明

嚴重性

附註

CVE-2015-1427 是 Groovy 指令碼引擎 Elasticsearch 在 1.3.8 版以前和 1.4.3 之前任何 1.4.x 版的漏洞，使遠端攻擊者可繞過沙箱保護機制並執行任何的殼層指令。

詳情請參閱國家安全漏洞資料庫 (NVD) 或常見安全漏洞與弱點 (CVE) 資料庫。

對 Compute Engine 的影響

如果您在 Compute Engine 執行個體上執行 Elasticsearch，應將 Elasticsearch 版本升級至 1.4.3 以上版本。如果您已經升級了 Elasticsearch 軟體，則不會受到這個安全漏洞的影響。

如果您尚未升級 Elasticsearch 1.4.3 以上版本，可以執行滾動式升級。

如果您在 Google Cloud console中使用點選部署部署 Elasticsearch，可以刪除部署作業，移除執行 Elasticsearch 的執行個體。

Google Cloud 團隊正在設法修正問題，以便部署更新版 Elasticsearch。不過， Google Cloud console中的一鍵部署功能尚未提供修正程式。

高

CVE-2015-1427

發布日期：2015 年 1 月 29 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2015-0235 (Ghost) 是 glibc 程式庫中的一個安全漏洞。 App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這項安全漏洞。 Compute Engine 的客戶可能需要更新 OS 映像檔。對 Compute Engine 的影響您的 Linux 發行版可能有安全漏洞。如果 Compute Engine 客戶執行的是 Debian 7、Debian 7 backports、Ubuntu 12.04 LTS、Red Hat Enterprise Linux、CentOS 或 SUSE Linux Enterprise Server 11 SP3，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。這個漏洞不影響 Ubuntu 14.04 LTS、Ubuntu 14.10 或 SUSE Linux Enterprise Server 12。我們建議您升級您的 Linux 發行版。執行 Debian 7、Debian 7 backports 或 Ubuntu 12.04 LTS 的執行個體，可於執行個體中使用以下指令來更新： `user@my-instance:~$ sudo apt-get update` `user@my-instance:~$ sudo apt-get -y upgrade` `user@my-instance:~$ sudo reboot` 如果是 Red Hat Enterprise Linux 或 CentOS 執行個體，指令如下： `user@my-instance:~$ sudo yum -y upgrade` `user@my-instance:~$ sudo reboot` 如果是 SUSE Linux Enterprise Server 11 SP3 執行個體，指令如下： `user@my-instance:~$ sudo zypper --non-interactive up` `user@my-instance:~$ sudo reboot` 除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體： `debian-7-wheezy-v20150127` `backports-debian-7-wheezy-v20150127` `centos-6-v20150127` `centos-7-v20150127` `rhel-6-v20150127` `rhel-7-v20150127` `sles-11-sp3-v20150127` `ubuntu-1204-precise-v20150127` 對 Google 代管 VM 的影響使用 `gcloud preview app deploy` 的代管 VM 使用者必須使用 `gcloud preview app setup-managed-vms` 更新基礎 Docker 容器，並使用 `gcloud preview app deploy` 重新部署每個執行中的應用程式。使用 `appcfg` 部署的使用者不必採取任何行動，系統會自動升級。	高	CVE-2015-0235

CVE-2015-0235 (Ghost) 是 glibc 程式庫中的一個安全漏洞。

App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這項安全漏洞。

Compute Engine 的客戶可能需要更新 OS 映像檔。

對 Compute Engine 的影響

您的 Linux 發行版可能有安全漏洞。如果 Compute Engine 客戶執行的是 Debian 7、Debian 7 backports、Ubuntu 12.04 LTS、Red Hat Enterprise Linux、CentOS 或 SUSE Linux Enterprise Server 11 SP3，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。

這個漏洞不影響 Ubuntu 14.04 LTS、Ubuntu 14.10 或 SUSE Linux Enterprise Server 12。

我們建議您升級您的 Linux 發行版。執行 Debian 7、Debian 7 backports 或 Ubuntu 12.04 LTS 的執行個體，可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

如果是 Red Hat Enterprise Linux 或 CentOS 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

如果是 SUSE Linux Enterprise Server 11 SP3 執行個體，指令如下：

user@my-instance:~$ sudo zypper --non-interactive up
user@my-instance:~$ sudo reboot

除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體：

debian-7-wheezy-v20150127
backports-debian-7-wheezy-v20150127
centos-6-v20150127
centos-7-v20150127
rhel-6-v20150127
rhel-7-v20150127
sles-11-sp3-v20150127
ubuntu-1204-precise-v20150127

對 Google 代管 VM 的影響

使用 gcloud preview app deploy 的代管 VM 使用者必須使用 gcloud preview app setup-managed-vms 更新基礎 Docker 容器，並使用 gcloud preview app deploy 重新部署每個執行中的應用程式。使用 appcfg 部署的使用者不必採取任何行動，系統會自動升級。

高

CVE-2015-0235

發布日期：2014 年 10 月 15 日

上次更新日期：2014 年 10 月 17 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2014-3566 (又稱為 POODLE) 是 SSL 3.0 版設計中的安全漏洞。這個漏洞讓網路攻擊者能計算出安全連線中的明文。詳情請參閱我們針對這項安全漏洞發布的網誌文章。 App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這個安全漏洞。Compute Engine 客戶必須更新 OS 映像檔。對 Compute Engine 的影響更新 (2014-10-17)：如果您使用 SSLv3，可能會受到攻擊。Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。我們建議您升級您的 Linux 發行版。執行 Debian 的執行個體，可於執行個體中使用以下指令來更新： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot 如果是 CentOS 執行個體，指令如下： user@my-instance:~$ sudo yum -y upgrade user@my-instance:~$ sudo reboot 除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體： `centos-6-v20141016` `centos-7-v20141016` `debian-7-wheezy-v20141017` `backports-debian-7-wheezy-v20141017` 取得 RHEL 和 SLES 映像檔後，我們會更新公告。在此期間，RHEL 使用者可以直接諮詢 Red Hat，瞭解更多資訊。原始公告： Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。新的 OS 映像檔推出後，我們會更新這份安全性公告，並提供操作說明。	中	CVE-2014-3566

CVE-2014-3566 (又稱為 POODLE) 是 SSL 3.0 版設計中的安全漏洞。這個漏洞讓網路攻擊者能計算出安全連線中的明文。詳情請參閱我們針對這項安全漏洞發布的網誌文章。

App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這個安全漏洞。Compute Engine 客戶必須更新 OS 映像檔。

對 Compute Engine 的影響

更新 (2014-10-17)：

如果您使用 SSLv3，可能會受到攻擊。Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。

我們建議您升級您的 Linux 發行版。執行 Debian 的執行個體，可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

如果是 CentOS 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體：

centos-6-v20141016
centos-7-v20141016
debian-7-wheezy-v20141017
backports-debian-7-wheezy-v20141017

取得 RHEL 和 SLES 映像檔後，我們會更新公告。在此期間，RHEL 使用者可以直接諮詢 Red Hat，瞭解更多資訊。

原始公告：

Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。新的 OS 映像檔推出後，我們會更新這份安全性公告，並提供操作說明。

中

CVE-2014-3566

發布日期：2014 年 9 月 24 日

上次更新日期：2014 年 9 月 29 日

說明嚴重性附註

說明	嚴重性	附註
bash 中有一個錯誤 (CVE-2014-6271)，可讓攻擊者根據剖析任何受控環境變數，執行遠端程式碼。最有可能的入侵媒介是使用惡意 HTTP 要求，傳送至網路伺服器上公開的 CGI 指令碼。詳情請參閱錯誤說明。除了 20140926 之前的 Compute Engine 客體 OS 映像檔外， Google Cloud 產品的 Bash 錯誤已獲得緩解。請參閱下面的步驟來排除 Compute Engine 映像檔中的錯誤。對 Compute Engine 的影響這個錯誤可能會影響幾乎所有使用 CGI 指令碼的網站。此外，這項漏洞也可能影響依賴 PHP、Perl、Python、SSI、Java、C++ 和類似 Servlet 的網站，這些 Servlet 會使用 `popen`、`system`、`shell_exec` 或類似 API 的呼叫來叫用殼層指令。此外，如果系統嘗試使用 SSH 指令限制或 Bash 受限殼層等機制，允許受限制的使用者透過控管方式登入，也可能會受到影響。更新 (2014-09-29)：除了執行下方的手動更新指令，使用者現在也可以使用映像檔重新建立執行個體，緩解與 Bash 安全性錯誤相關的其他安全漏洞，包括 CVE-2014-7169、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186 和 CVE-2014-7187。請使用下列新映像檔重新建立執行個體： `centos-6-v20140926` `centos-7-v20140926` `debian-7-wheezy-v20140926` `backports-debian-7-wheezy-v20140926` `rhel-6-v20140926` 更新 (2014-09-25)：使用者現可選擇重新建立執行個體，而不必執行手動更新。如要重新建立您的執行個體，請使用以下已對這個安全漏洞進行修正的新映像檔： `backports-debian-7-wheezy-v20140924` `debian-7-wheezy-v20140924` `rhel-6-v20140924` `centos-6-v20140924` `centos-7-v20140924` 至於 RHEL 和 SUSE 映像檔，可於執行個體上使用下列指令來手動更新： # RHEL instances user@my-instance:~$ sudo yum -y upgrade # SUSE instances user@my-instance:~$ sudo zypper --non-interactive up 原始公告：我們建議您升級您的 Linux 發行版。如果是執行 Debian 的執行個體，您可於執行個體中使用以下指令來更新： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade 如果是 CentOS 執行個體，指令如下： user@my-instance:~$ sudo yum -y upgrade 如需詳細信息，請查看個別的 Linux 發行版公告：原始修補程式：http://ftp.gnu.org/gnu/bash/ (請見結尾為 *-patches 的項目，以找到適當版本) Debian：[SECURITY] [DSA 3032-1] bash 安全性更新 RHEL： RHSA-2014:1293-01 RHSA-2014:1294-01 CentOS 5：[CentOS-通告] CESA-2014:1293 CentOS 6：[CentOS-通告] CESA-2014:1293 CentOS 7：[CentOS-通告] CESA-2014:1293	高	CVE-2014-7169、CVE-2014-6271、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186、CVE-2014-7187

bash 中有一個錯誤 (CVE-2014-6271)，可讓攻擊者根據剖析任何受控環境變數，執行遠端程式碼。最有可能的入侵媒介是使用惡意 HTTP 要求，傳送至網路伺服器上公開的 CGI 指令碼。詳情請參閱錯誤說明。

除了 20140926 之前的 Compute Engine 客體 OS 映像檔外， Google Cloud 產品的 Bash 錯誤已獲得緩解。請參閱下面的步驟來排除 Compute Engine 映像檔中的錯誤。

對 Compute Engine 的影響

這個錯誤可能會影響幾乎所有使用 CGI 指令碼的網站。此外，這項漏洞也可能影響依賴 PHP、Perl、Python、SSI、Java、C++ 和類似 Servlet 的網站，這些 Servlet 會使用 popen、system、shell_exec 或類似 API 的呼叫來叫用殼層指令。此外，如果系統嘗試使用 SSH 指令限制或 Bash 受限殼層等機制，允許受限制的使用者透過控管方式登入，也可能會受到影響。

更新 (2014-09-29)：

除了執行下方的手動更新指令，使用者現在也可以使用映像檔重新建立執行個體，緩解與 Bash 安全性錯誤相關的其他安全漏洞，包括 CVE-2014-7169、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186 和 CVE-2014-7187。請使用下列新映像檔重新建立執行個體：

centos-6-v20140926
centos-7-v20140926
debian-7-wheezy-v20140926
backports-debian-7-wheezy-v20140926
rhel-6-v20140926

更新 (2014-09-25)：

使用者現可選擇重新建立執行個體，而不必執行手動更新。如要重新建立您的執行個體，請使用以下已對這個安全漏洞進行修正的新映像檔：

backports-debian-7-wheezy-v20140924
debian-7-wheezy-v20140924
rhel-6-v20140924
centos-6-v20140924
centos-7-v20140924

至於 RHEL 和 SUSE 映像檔，可於執行個體上使用下列指令來手動更新：

# RHEL instances
user@my-instance:~$ sudo yum -y upgrade

# SUSE instances
user@my-instance:~$ sudo zypper --non-interactive up

原始公告：

我們建議您升級您的 Linux 發行版。如果是執行 Debian 的執行個體，您可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade

如果是 CentOS 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade

如需詳細信息，請查看個別的 Linux 發行版公告：

原始修補程式：http://ftp.gnu.org/gnu/bash/ (請見結尾為 *-patches 的項目，以找到適當版本)
Debian：[SECURITY] [DSA 3032-1] bash 安全性更新
RHEL：
- RHSA-2014:1293-01
- RHSA-2014:1294-01
CentOS 5：[CentOS-通告] CESA-2014:1293
CentOS 6：[CentOS-通告] CESA-2014:1293
CentOS 7：[CentOS-通告] CESA-2014:1293

高

CVE-2014-7169、CVE-2014-6271、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186、CVE-2014-7187

發布日期：2014 年 7 月 25 日

說明嚴重性附註

說明	嚴重性	附註
Elasticsearch Logstash 容易受到 OS 指令注入攻擊，這會允許未經授權的修改和資料揭露。攻擊者可以將精心設計的事件傳送至任何 Logstash 資料來源，藉此利用 Logstash 程序權限執行指令。對 Compute Engine 的影響這個安全漏洞會影響所有執行 1.4.2 之前版本 Elasticsearch Logstash，且啟用 zabbix 或 nagios_nsca 輸出的 Compute Engine 執行個體。為了防止攻擊，您可以：升級到 Logstash 1.4.2 為 1.3.x 版套用修補程式停用 `zabbix` 和 `nagios_nsca` 輸出。詳情請參閱 Logstash 網誌。 Elasticsearch 也建議使用防火牆，防止不受信任的 IP 遠端存取。	高	CVE-2014-4326

Elasticsearch Logstash 容易受到 OS 指令注入攻擊，這會允許未經授權的修改和資料揭露。攻擊者可以將精心設計的事件傳送至任何 Logstash 資料來源，藉此利用 Logstash 程序權限執行指令。

對 Compute Engine 的影響

這個安全漏洞會影響所有執行 1.4.2 之前版本 Elasticsearch Logstash，且啟用 zabbix 或 nagios_nsca 輸出的 Compute Engine 執行個體。為了防止攻擊，您可以：

升級到 Logstash 1.4.2
為 1.3.x 版套用修補程式
停用 zabbix 和 nagios_nsca 輸出。

詳情請參閱 Logstash 網誌。

Elasticsearch 也建議使用防火牆，防止不受信任的 IP 遠端存取。

高

CVE-2014-4326

發布日期：2014 年 6 月 18 日

說明	嚴重性	附註
我們想花點時間，回應客戶對在 Google Cloud上執行 Docker 容器時，可能產生的安全性疑慮。這包括使用 App Engine 擴充功能 (支援 Docker 容器、容器最佳化虛擬機器或開放原始碼 Kubernetes 排程器) 的客戶。 Docker 已妥善處理這個問題，您可以前往這裡查看他們的網誌回覆。請注意，正如他們在回應中所說，揭露的問題僅適用於 Docker 0.11，這是較舊的試產版本。當全世界都在思考容器安全性時，我們想指出，在 Google Cloud中，以 Linux 應用程式容器為基礎的解決方案 (特別是 Docker 容器) 是在完整的虛擬機器 (Compute Engine) 中執行。雖然我們支持 Docker 社群加強在 Linux 應用程式容器堆疊上的努力，但我們認識到這是一項新的技術，而且牽涉範圍廣大。我們相信就目前來說，完整的管理程序（虛擬機器）提供了更精簡和更具防禦性的介面區。虛擬機器從一開始就設計為隔離惡意工作負載，並盡可能降低程式碼錯誤的可能性和影響。客戶可以放心，他們與任何第三方、潛在惡意程式碼之間，存在完整的管理程序邊界。如果我們認為 Linux 應用程式容器堆疊的穩健程度，已足以支援多租戶工作負載時，我們將會讓社群知道這一點。就目前來說，Linux 應用程式容器不會取代虛擬機器。這能讓你充分發揮這項工具的效益。	低	Docker 網誌文章

說明

嚴重性

附註

我們想花點時間，回應客戶對在 Google Cloud上執行 Docker 容器時，可能產生的安全性疑慮。這包括使用 App Engine 擴充功能 (支援 Docker 容器、容器最佳化虛擬機器或開放原始碼 Kubernetes 排程器) 的客戶。

Docker 已妥善處理這個問題，您可以前往這裡查看他們的網誌回覆。請注意，正如他們在回應中所說，揭露的問題僅適用於 Docker 0.11，這是較舊的試產版本。

當全世界都在思考容器安全性時，我們想指出，在 Google Cloud中，以 Linux 應用程式容器為基礎的解決方案 (特別是 Docker 容器) 是在完整的虛擬機器 (Compute Engine) 中執行。雖然我們支持 Docker 社群加強在 Linux 應用程式容器堆疊上的努力，但我們認識到這是一項新的技術，而且牽涉範圍廣大。我們相信就目前來說，完整的管理程序（虛擬機器）提供了更精簡和更具防禦性的介面區。虛擬機器從一開始就設計為隔離惡意工作負載，並盡可能降低程式碼錯誤的可能性和影響。

客戶可以放心，他們與任何第三方、潛在惡意程式碼之間，存在完整的管理程序邊界。如果我們認為 Linux 應用程式容器堆疊的穩健程度，已足以支援多租戶工作負載時，我們將會讓社群知道這一點。就目前來說，Linux 應用程式容器不會取代虛擬機器。這能讓你充分發揮這項工具的效益。

低

Docker 網誌文章

發布日期：2014 年 6 月 5 日

上次更新日期：2014 年 6 月 9 日

說明嚴重性附註

說明	嚴重性	附註
OpenSSL 有一項問題，就是 `ChangeCipherSpec` 訊息未正確繫結至握手狀態機器。因此可在握手處理過程中，將訊息提前注入。如此一來，攻擊者就能蓄意操弄握手作業的漏洞，強行在 OpenSSL SSL/TLS 用戶端和伺服器中使用安全性低的加密材料。攻擊者可利用這個漏洞發動中間人 (PITM) 攻擊，解密及修改受攻擊用戶端和伺服器的流量。這個問題已識別為 CVE-2014-0224。OpenSSL 團隊已修正了這個問題，並提醒 OpenSSL 社群更新 OpenSSL。對 Compute Engine 的影響這項安全漏洞會影響所有使用 OpenSSL 的 Compute Engine 執行個體，包括 Debian、CentOS、Red Hat Enterprise Linux 和 SUSE Linux Enterprise Server。如要更新執行個體，您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件。更新 (2014 年 6 月 9 日)：要利用新映像檔更新執行 SUSE Linux Enterprise Server 的執行個體，請使用下列映像檔版本或更新版本重新建立執行個體： `sles-11-sp3-v20140609` 原始貼文：要利用新映像檔更新 Debian 和 CentOS 的執行個體，請使用下列任一映像檔版本或更新版本重新建立執行個體： `debian-7-wheezy-v20140605` `backports-debian-7-wheezy-v20140605` `centos-6-v20140605` `rhel-6-v20140605` 如要手動更新執行個體上的 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來更新 OpenSSL： user@my-instance:~$ sudo yum -y update user@my-instance:~$ sudo reboot 若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot 若是執行 SUSE Linux Enterprise Server 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本： user@my-instance:~$ sudo zypper --non-interactive up user@my-instance:~$ sudo reboot	中	CVE-2014-0224

OpenSSL 有一項問題，就是 ChangeCipherSpec 訊息未正確繫結至握手狀態機器。因此可在握手處理過程中，將訊息提前注入。如此一來，攻擊者就能蓄意操弄握手作業的漏洞，強行在 OpenSSL SSL/TLS 用戶端和伺服器中使用安全性低的加密材料。攻擊者可利用這個漏洞發動中間人 (PITM) 攻擊，解密及修改受攻擊用戶端和伺服器的流量。

這個問題已識別為 CVE-2014-0224。OpenSSL 團隊已修正了這個問題，並提醒 OpenSSL 社群更新 OpenSSL。

對 Compute Engine 的影響

這項安全漏洞會影響所有使用 OpenSSL 的 Compute Engine 執行個體，包括 Debian、CentOS、Red Hat Enterprise Linux 和 SUSE Linux Enterprise Server。如要更新執行個體，您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件。

更新 (2014 年 6 月 9 日)：要利用新映像檔更新執行 SUSE Linux Enterprise Server 的執行個體，請使用下列映像檔版本或更新版本重新建立執行個體：

sles-11-sp3-v20140609

原始貼文：

要利用新映像檔更新 Debian 和 CentOS 的執行個體，請使用下列任一映像檔版本或更新版本重新建立執行個體：

debian-7-wheezy-v20140605
backports-debian-7-wheezy-v20140605
centos-6-v20140605
rhel-6-v20140605

如要手動更新執行個體上的 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來更新 OpenSSL：

user@my-instance:~$ sudo yum -y update
user@my-instance:~$ sudo reboot

若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

若是執行 SUSE Linux Enterprise Server 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本：

user@my-instance:~$ sudo zypper --non-interactive up
user@my-instance:~$ sudo reboot

中

CVE-2014-0224

發布日期：2014 年 4 月 8 日

說明嚴重性附註

說明	嚴重性	附註
OpenSSL 1.0.1 (1.0.1g 之前版本) 中的 (1) TLS 和 (2) DTLS 實作項目無法妥善處理 Heartbeat Extension 封包，因此遠端攻擊者可利用特製封包觸發緩衝區過度讀取，從程序記憶體中取得私密資訊，例如讀取與 `d1_both.c` 和 `t1_lib.c` 相關的私密金鑰，這也稱為 Heartbleed 錯誤。對 Compute Engine 的影響這個安全漏洞會影響所有未安裝最新版 OpenSSL 的 Compute Engine Debian、RHEL 和 CentOS 執行個體。如要更新執行個體，您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件。要使用新映像檔更新執行個體，請利用下列任一映像檔版本或更新版本重新建立執行個體： `debian-7-wheezy-v20140408` `backports-debian-7-wheezy-v20140408` `centos-6-v20140408` `rhel-6-v20140408` 如要手動更新執行個體上的 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本： user@my-instance:~$ sudo yum update user@my-instance:~$ sudo reboot 若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get upgrade user@my-instance:~$ sudo reboot 執行 SUSE Linux 的執行個體不受影響。 2014 年 4 月 14 日更新：根據有關使用 Heartbleed 漏洞擷取金鑰的新研究，Compute Engine 建議 Compute Engine 客戶為任何受影響的 SSL 服務建立新金鑰。	中	CVE-2014-0160

OpenSSL 1.0.1 (1.0.1g 之前版本) 中的 (1) TLS 和 (2) DTLS 實作項目無法妥善處理 Heartbeat Extension 封包，因此遠端攻擊者可利用特製封包觸發緩衝區過度讀取，從程序記憶體中取得私密資訊，例如讀取與 d1_both.c 和 t1_lib.c 相關的私密金鑰，這也稱為 Heartbleed 錯誤。

對 Compute Engine 的影響

這個安全漏洞會影響所有未安裝最新版 OpenSSL 的 Compute Engine Debian、RHEL 和 CentOS 執行個體。如要更新執行個體，您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件。

要使用新映像檔更新執行個體，請利用下列任一映像檔版本或更新版本重新建立執行個體：

debian-7-wheezy-v20140408
backports-debian-7-wheezy-v20140408
centos-6-v20140408
rhel-6-v20140408

如要手動更新執行個體上的 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本：

user@my-instance:~$ sudo yum update
user@my-instance:~$ sudo reboot

若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get upgrade
user@my-instance:~$ sudo reboot

執行 SUSE Linux 的執行個體不受影響。

2014 年 4 月 14 日更新：根據有關使用 Heartbleed 漏洞擷取金鑰的新研究，Compute Engine 建議 Compute Engine 客戶為任何受影響的 SSL 服務建立新金鑰。

中

CVE-2014-0160

發布日期：2013 年 6 月 7 日

說明嚴重性附註

說明	嚴重性	附註
注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。 Linux 核心 3.9.4 以下版本中 Broadcom B43 無線驅動程式的 `drivers/net/wireless/b43/main.c` `b43_request_firmware` 函式存在格式字串安全漏洞，本機使用者可利用根存取權，並在 `fwpostfix` modprobe 參數中加入格式字串指定碼，藉此取得權限，導致錯誤訊息建構不當。對 Compute Engine 的影響這個安全漏洞會影響 `gcg-3.3.8-201305291443` 以前的所有 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130603`。`gce-v20130603` 包含核心 `gcg-3.3.8-201305291443`，其中含有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	中	CVE-2013-2852

注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。

Linux 核心 3.9.4 以下版本中 Broadcom B43 無線驅動程式的 drivers/net/wireless/b43/main.c b43_request_firmware 函式存在格式字串安全漏洞，本機使用者可利用根存取權，並在 fwpostfix modprobe 參數中加入格式字串指定碼，藉此取得權限，導致錯誤訊息建構不當。

對 Compute Engine 的影響

這個安全漏洞會影響 gcg-3.3.8-201305291443 以前的所有 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130603。gce-v20130603 包含核心 gcg-3.3.8-201305291443，其中含有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

中

CVE-2013-2852

發布日期：2013 年 6 月 7 日

說明嚴重性附註

說明	嚴重性	附註
注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。 Linux 核心 3.9.4 以下版本中 `block/genhd.c` 的 register_disk 函式存在格式字串安全漏洞，本機使用者可利用根層級存取權，並將格式字串指定元寫入 `/sys/module/md_mod/parameters/new_array`，藉此建立經過精心設計的 `/dev/md` 裝置名稱，進而取得權限。對 Compute Engine 的影響這個安全漏洞會影響所有 `gcg-3.3.8-201305291443` 之前的 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130603`。`gce-v20130603` 包含核心 `gcg-3.3.8-201305291443`，其中含有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	中	CVE-2013-2851

注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。

Linux 核心 3.9.4 以下版本中 block/genhd.c 的 register_disk 函式存在格式字串安全漏洞，本機使用者可利用根層級存取權，並將格式字串指定元寫入 /sys/module/md_mod/parameters/new_array，藉此建立經過精心設計的 /dev/md 裝置名稱，進而取得權限。

對 Compute Engine 的影響

這個安全漏洞會影響所有 gcg-3.3.8-201305291443 之前的 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130603。gce-v20130603 包含核心 gcg-3.3.8-201305291443，其中含有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

中

CVE-2013-2851

發布日期：2013 年 5 月 14 日

說明嚴重性附註

說明	嚴重性	附註
注意：這個安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。 3.8.9 版之前的 Linux 核心中，`kernel/events/core.c` 內的 perf_swevent_init 函式使用了不正確的 `integer` 資料類型，這會讓本機使用者能透過精心設計的 `perf_event_open` 系統呼叫取得權限。對 Compute Engine 的影響這個安全漏洞會影響 `gcg-3.3.8-201305211623` 以前的所有 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130521`。`gce-v20130521` 包含核心 `gcg-3.3.8-201305211623`，其中含有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	高	CVE-2013-2094

注意：這個安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。

3.8.9 版之前的 Linux 核心中，kernel/events/core.c 內的 perf_swevent_init 函式使用了不正確的 integer 資料類型，這會讓本機使用者能透過精心設計的 perf_event_open 系統呼叫取得權限。

對 Compute Engine 的影響

這個安全漏洞會影響 gcg-3.3.8-201305211623 以前的所有 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130521。gce-v20130521 包含核心 gcg-3.3.8-201305211623，其中含有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

高

CVE-2013-2094

發布日期：2013 年 2 月 18 日

說明嚴重性附註

說明	嚴重性	附註
注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。 Linux 核心 3.7.5 之前的 ptrace 功能中存在競爭狀況，可讓本機使用者在經過精心設計的應用程式中使用 `PTRACE_SETREGS ptrace` 系統呼叫取得權限。對 Compute Engine 的影響這項安全漏洞會影響 Compute Engine 核心 `2.6.x-gcg-<date>`。因此，Compute Engine 已淘汰 2.6.x 核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130225`。`gce-v20130225` 包含核心 `3.3.8-gcg-201302081521`，其中有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	中	CVE-2013-0871

注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。

Linux 核心 3.7.5 之前的 ptrace 功能中存在競爭狀況，可讓本機使用者在經過精心設計的應用程式中使用 PTRACE_SETREGS ptrace 系統呼叫取得權限。

對 Compute Engine 的影響

這項安全漏洞會影響 Compute Engine 核心 2.6.x-gcg-<date>。因此，Compute Engine 已淘汰 2.6.x 核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130225。gce-v20130225 包含核心 3.3.8-gcg-201302081521，其中有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

中

CVE-2013-0871

安全性公告 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

GCP-2026-073

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2026-054

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2026-036

說明

該怎麼辦？

GCP-2026-032

說明

GCP-2026-031

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2026-021

說明

該怎麼辦？

GCP-2026-019

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2026-015

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2026-004

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-058

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-044

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-042

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-031

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-025

說明

該怎麼辦？

解決哪些安全漏洞？

我們很樂意提供協助

GCP-2025-024

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2024-040

該怎麼辦？

GCP-2024-021

該怎麼辦？

解決哪些安全漏洞？

GCP-2024-001

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

GCP-2023-44

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

GCP-2023-004

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

CVE-2023-1017

CVE-2023-1018

GCP-2021-026

該怎麼辦？

GCP-2021-001

對 Compute Engine 的影響

發布日期：2020-08-27

安全漏洞

安全性公告