Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

安全性公告

我們會不定期發布與 Compute Engine 相關的安全性公告，您可以在這裡找到所有 Compute Engine 安全性公告的相關說明。

GCP-2026-054

發布日期 ：2026 年 8 月 11 日

說明

說明	嚴重性	附註
我們在 Trusted Computing Group 的 TPM 2.0 參考實作程式碼中發現安全漏洞 (CVE-2026-6726，也稱為 TCGVRT0010)，影響所有已發布的程式碼修訂版本 (v1.16、v1.38、v1.59、v1.83、v184)。該怎麼辦？顧客無須採取任何行動。Google 會在標準和預定維護期間，主動更新您的系統。解決哪些安全漏洞？這個漏洞 (CVE-2026-6726) 可能會讓具有特殊權限的本機攻擊者，從支援 TPM 的憑證授權單位 (CA) 取得偽造 TPM 金鑰的憑證，例如驗證金鑰 (AK)、DevID 金鑰或 TLS 驗證金鑰。這可能會導致使用偽造金鑰建立詐欺性 TPM 2.0 驗證。	高	CVE-2026-6726

嚴重性

附註

我們在 Trusted Computing Group 的 TPM 2.0 參考實作程式碼中發現安全漏洞 (CVE-2026-6726，也稱為 TCGVRT0010)，影響所有已發布的程式碼修訂版本 (v1.16、v1.38、v1.59、v1.83、v184)。

該怎麼辦？

顧客無須採取任何行動。Google 會在標準和預定維護期間，主動更新您的系統。

解決哪些安全漏洞？

這個漏洞 (CVE-2026-6726) 可能會讓具有特殊權限的本機攻擊者，從支援 TPM 的憑證授權單位 (CA) 取得偽造 TPM 金鑰的憑證，例如驗證金鑰 (AK)、DevID 金鑰或 TLS 驗證金鑰。這可能會導致使用偽造金鑰建立詐欺性 TPM 2.0 驗證。

高

CVE-2026-6726

GCP-2026-036

發布日期 ：2026 年 6 月 9 日

說明

說明	嚴重性	附註
ARM 已發布 CVE-2025-10263，這項架構問題會影響部分 Arm 核心，讓攻擊者在特定條件下略過轉譯階段或 GPT 保護措施。這個漏洞會讓較低例外狀況層級的攻擊者寫入較高例外狀況層級擁有的記憶體，進而提升權限。這個問題不會影響記憶體讀取作業。 Google 已保護基礎架構，防範 VM 對 VM 和 VM 對 Hypervisor 的攻擊，但您必須向 OS 供應商取得客體 OS 層級的修補程式。這些更新對於防範訪客環境中的威脅 (例如程序對程序或程序對核心攻擊) 至關重要。 Container-Optimized OS 的客體緩解措施正在開發中，完成後會新增至 COS 版本資訊。該怎麼辦？這個安全漏洞會影響 Google Cloud中使用的多個 Arm 核心系列，包括 Neoverse V1、V2 和 N1，進而影響 C4A、T2A、A4X 和 A4X Max。如果您在受影響的 Arm 執行個體上執行工作負載，請務必在安全版本推出後，將客體 OS 映像檔升級至安全版本。您必須與發行版供應商合作，修補 CVE-2025-10263 相關的客體作業系統。	高	CVE-2025-10263

嚴重性

附註

ARM 已發布 CVE-2025-10263，這項架構問題會影響部分 Arm 核心，讓攻擊者在特定條件下略過轉譯階段或 GPT 保護措施。這個漏洞會讓較低例外狀況層級的攻擊者寫入較高例外狀況層級擁有的記憶體，進而提升權限。這個問題不會影響記憶體讀取作業。

Google 已保護基礎架構，防範 VM 對 VM 和 VM 對 Hypervisor 的攻擊，但您必須向 OS 供應商取得客體 OS 層級的修補程式。這些更新對於防範訪客環境中的威脅 (例如程序對程序或程序對核心攻擊) 至關重要。

Container-Optimized OS 的客體緩解措施正在開發中，完成後會新增至 COS 版本資訊。

該怎麼辦？

這個安全漏洞會影響 Google Cloud中使用的多個 Arm 核心系列，包括 Neoverse V1、V2 和 N1，進而影響 C4A、T2A、A4X 和 A4X Max。如果您在受影響的 Arm 執行個體上執行工作負載，請務必在安全版本推出後，將客體 OS 映像檔升級至安全版本。

您必須與發行版供應商合作，修補 CVE-2025-10263 相關的客體作業系統。

高

CVE-2025-10263

GCP-2026-032

發布日期： 2026 年 5 月 12 日

說明

說明	嚴重性	附註
AMD 發現 Zen 2 微架構處理器 (包括 EPYC 和 Ryzen 系列) 存在硬體層級安全漏洞，可能導致微作業 (OP) 快取損毀。在特定情況下，這個問題 (AMD-SN-7052 / CVE-2025-54518) 可能會導致安全防護界線遭到規避，或未經授權存取資料。我們已在 Google 基礎架構中部署修正程式，以減輕這些問題的影響。	高	CVE-2025-54518

GCP-2026-031

發布日期：2026-05-12

說明

說明	嚴重性	附註
研究人員發現 AMD 韌體存在安全漏洞，由於缺乏保護，惡意管理程序可能會在 AMD 安全處理器 (ASP) 上執行任意程式碼。這會導致記憶體對應 I/O (MMIO) 讀取和寫入權限提高，進而破壞 SEV-SNP 訪客的機密性和完整性。Google 已採取緩解措施，防止這些問題發生。該怎麼辦？顧客無須採取任何行動。已對搭載 AMD SEV-SNP 的 Confidential VM 執行個體套用緩解措施。要解決哪些安全漏洞？詳情請參閱 AMD 安全諮詢 AMD-SB-3030。	中	CVE-2025-61971 CVE-2025-61972 CVE-2024-36315

嚴重性

附註

研究人員發現 AMD 韌體存在安全漏洞，由於缺乏保護，惡意管理程序可能會在 AMD 安全處理器 (ASP) 上執行任意程式碼。這會導致記憶體對應 I/O (MMIO) 讀取和寫入權限提高，進而破壞 SEV-SNP 訪客的機密性和完整性。Google 已採取緩解措施，防止這些問題發生。

該怎麼辦？

顧客無須採取任何行動。已對搭載 AMD SEV-SNP 的 Confidential VM 執行個體套用緩解措施。

要解決哪些安全漏洞？

詳情請參閱 AMD 安全諮詢 AMD-SB-3030。

中

GCP-2026-021

發布日期：2026 年 4 月 14 日

說明

說明	嚴重性	附註
AMD 報告了韌體中的一項漏洞，惡意 Hypervisor 可能會利用這個漏洞，指示 IOMMU 寫入啟用 AMD SEV-SNP 的執行個體客體記憶體，進而破壞客體資料完整性。Google 已針對啟用 AMD SEV-SNP 的易受攻擊 Confidential VM 執行個體推出緩解措施。該怎麼辦？客戶無須採取任何行動。這項緩解措施已套用至啟用 AMD SEV-SNP 的 Confidential VM 執行個體。詳情請參閱 AMD 公告 AMD-SB-3016。	中	CVE-2023-20585

嚴重性

附註

AMD 報告了韌體中的一項漏洞，惡意 Hypervisor 可能會利用這個漏洞，指示 IOMMU 寫入啟用 AMD SEV-SNP 的執行個體客體記憶體，進而破壞客體資料完整性。Google 已針對啟用 AMD SEV-SNP 的易受攻擊 Confidential VM 執行個體推出緩解措施。

該怎麼辦？

客戶無須採取任何行動。這項緩解措施已套用至啟用 AMD SEV-SNP 的 Confidential VM 執行個體。

詳情請參閱 AMD 公告 AMD-SB-3016。

中

CVE-2023-20585

GCP-2026-019

發布日期 ：2026-04-14

說明

說明	嚴重性	附註
研究人員發現 AMD 韌體存在安全漏洞，惡意管理程序可能藉此竄改 BIOS 設定和記憶體對應 I/O (MMIO) 轉送設定，破壞 AMD SEV-SNP 訪客 Confidential VM 的機密性和完整性。 Google 已採取緩解措施，防止這個問題發生。該怎麼辦？客戶無須採取任何行動。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。解決哪些安全漏洞？詳情請參閱 AMD 公告 AMD-SB-3034。	中	CVE-2025-54510

嚴重性

附註

研究人員發現 AMD 韌體存在安全漏洞，惡意管理程序可能藉此竄改 BIOS 設定和記憶體對應 I/O (MMIO) 轉送設定，破壞 AMD SEV-SNP 訪客 Confidential VM 的機密性和完整性。

Google 已採取緩解措施，防止這個問題發生。

該怎麼辦？

客戶無須採取任何行動。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。

解決哪些安全漏洞？

詳情請參閱 AMD 公告 AMD-SB-3034。

中

CVE-2025-54510

GCP-2026-015

發布日期 ：2026 年 3 月 27 日

說明

說明嚴重性附註

說明	嚴重性	附註
Linux 核心中發現安全漏洞，可能導致 Container-Optimized OS 節點發生提權。該怎麼辦？建議將 Container-Optimized OS (COS) 節點升級至 `cos-125-19216-220-57`，其中包含這項安全漏洞的修正程式。如需升級操作說明，請參閱下列文章：如果您直接管理 Container-Optimized OS VM，則應使用更新後的映像檔重新建立 VM。詳情請參閱「從公開映像檔建立 VM」。如果您透過代管服務 (例如 GKE、Dataflow 或 Cloud SQL) 使用 Container-Optimized OS，請參閱該服務的特定升級說明。注意：Container-Optimized OS 里程碑 117 和 121 的修正作業正在進行中。要解決哪些安全漏洞？ AppArmor 中的 CrackArmor 漏洞 (CVE-2026-23268) 允許無權限使用者規避核心防護措施、升級為根層級，以及破壞本機容器隔離。	高	CVE-2026-23268

Linux 核心中發現安全漏洞，可能導致 Container-Optimized OS 節點發生提權。

該怎麼辦？

建議將 Container-Optimized OS (COS) 節點升級至 cos-125-19216-220-57，其中包含這項安全漏洞的修正程式。如需升級操作說明，請參閱下列文章：

如果您直接管理 Container-Optimized OS VM，則應使用更新後的映像檔重新建立 VM。詳情請參閱「從公開映像檔建立 VM」。
如果您透過代管服務 (例如 GKE、Dataflow 或 Cloud SQL) 使用 Container-Optimized OS，請參閱該服務的特定升級說明。

注意：Container-Optimized OS 里程碑 117 和 121 的修正作業正在進行中。

要解決哪些安全漏洞？

AppArmor 中的 CrackArmor 漏洞 (CVE-2026-23268) 允許無權限使用者規避核心防護措施、升級為根層級，以及破壞本機容器隔離。

高

CVE-2026-23268

GCP-2026-004

發布日期 ：2026 年 1 月 14 日

說明

說明	嚴重性	附註
在特定 Arm 處理器上，具備訪客核心授權存取權的攻擊者可以使用 CPP RCTX 指令，禁止 TLB 失效生效。攻擊者可能藉此讀取無權存取的機密資料。這項安全漏洞會影響下列 Compute Engine Arm VM：C4A、A4X。該怎麼辦？顧客無須採取任何行動。緩解措施已套用至 Google Cloud Arm 伺服器機群。解決哪些安全漏洞？詳情請參閱 CVE-2025-0647。	中	CVE-2025-0647

嚴重性

附註

在特定 Arm 處理器上，具備訪客核心授權存取權的攻擊者可以使用 CPP RCTX 指令，禁止 TLB 失效生效。攻擊者可能藉此讀取無權存取的機密資料。

這項安全漏洞會影響下列 Compute Engine Arm VM：C4A、A4X。

該怎麼辦？

顧客無須採取任何行動。緩解措施已套用至 Google Cloud Arm 伺服器機群。

解決哪些安全漏洞？

詳情請參閱 CVE-2025-0647。

中

CVE-2025-0647

GCP-2025-058

發布日期：2025 年 10 月 20 日

說明

說明嚴重性附註

說明	嚴重性	附註
AMD Zen 5 處理器 (Turin) 的 RDSEED 指令發現瑕疵。這項指令用於產生密碼編譯隨機號碼。在特定系統負載條件下，16 位元和 32 位元版本的 RDSEED 可能會失敗，但不會顯示任何訊息，這可能會影響依賴隨機號碼產生功能的應用程式。使用 64 位元版 RDSEED 的客戶則不受影響。該怎麼辦？ AMD 正在調查這項安全漏洞。請注意，64 位元 Linux 核心會使用安全 64 位元版本的 RDSEED 指令，並提供從 `/dev/[u]random` 取得的隨機數字。這些隨機數字不會受到這項安全漏洞影響。如果應用程式程式碼使用 RDSEED 指令自行合成隨機號碼，請注意，16 位元和 32 位元版本的指令並不安全。64 位元版本的指令是安全的。要解決哪些安全漏洞？攻擊者可利用這項安全漏洞，在不觸發警示的情況下導致 RDSEED 失敗，進而破壞應用程式中的隨機號碼產生機制。	高	CVE-2025-62626

AMD Zen 5 處理器 (Turin) 的 RDSEED 指令發現瑕疵。這項指令用於產生密碼編譯隨機號碼。在特定系統負載條件下，16 位元和 32 位元版本的 RDSEED 可能會失敗，但不會顯示任何訊息，這可能會影響依賴隨機號碼產生功能的應用程式。使用 64 位元版 RDSEED 的客戶則不受影響。

該怎麼辦？

AMD 正在調查這項安全漏洞。

請注意，64 位元 Linux 核心會使用安全 64 位元版本的 RDSEED 指令，並提供從 /dev/[u]random 取得的隨機數字。這些隨機數字不會受到這項安全漏洞影響。

如果應用程式程式碼使用 RDSEED 指令自行合成隨機號碼，請注意，16 位元和 32 位元版本的指令並不安全。64 位元版本的指令是安全的。

要解決哪些安全漏洞？

攻擊者可利用這項安全漏洞，在不觸發警示的情況下導致 RDSEED 失敗，進而破壞應用程式中的隨機號碼產生機制。

高

CVE-2025-62626

GCP-2025-044

發布日期： 2025 年 8 月 12 日

說明

說明	嚴重性	附註
Intel 已通知 Google 兩個新的安全漏洞。 CVE-2025-21090：這個安全漏洞會影響下列 Intel 處理器： Sapphire Rapids：C3、Z3、H3、A3、v5p VM 系列 Emerald Rapids：N4、C4、M4、A3 Ultra、A4 VM 系列 Granite Rapids：N4、C4 VM 系列 CVE-2025-22840：這個安全漏洞會影響下列 Intel 處理器： Granite Rapids：N4、C4 VM 系列該怎麼辦？無論是哪種漏洞，客戶都不必採取任何行動。Google 會在標準和預定維護期間主動更新系統。目前尚未發現或接獲任何漏洞遭濫用的證據。解決哪些安全漏洞？這項安全漏洞 (CVE-2025-21090) 允許無權限的行為人使用 AMX CPU 指令搭配 AVX CPU 指令，導致主機無法運作。這個漏洞 (CVE-2025-22840) 允許未獲授權的行為人使用 prefetchit CPU 指令載入記憶體內容，否則他們無法存取這些內容，進而可能導致遠端程式碼執行。	中	CVE-2025-21090 CVE-2025-22840

嚴重性

附註

Intel 已通知 Google 兩個新的安全漏洞。

CVE-2025-21090：這個安全漏洞會影響下列 Intel 處理器：

Sapphire Rapids：C3、Z3、H3、A3、v5p VM 系列
Emerald Rapids：N4、C4、M4、A3 Ultra、A4 VM 系列
Granite Rapids：N4、C4 VM 系列

CVE-2025-22840：這個安全漏洞會影響下列 Intel 處理器：

Granite Rapids：N4、C4 VM 系列

該怎麼辦？

無論是哪種漏洞，客戶都不必採取任何行動。Google 會在標準和預定維護期間主動更新系統。目前尚未發現或接獲任何漏洞遭濫用的證據。

解決哪些安全漏洞？

這項安全漏洞 (CVE-2025-21090) 允許無權限的行為人使用 AMX CPU 指令搭配 AVX CPU 指令，導致主機無法運作。

這個漏洞 (CVE-2025-22840) 允許未獲授權的行為人使用 prefetchit CPU 指令載入記憶體內容，否則他們無法存取這些內容，進而可能導致遠端程式碼執行。

中

GCP-2025-042

發布日期： 2025 年 8 月 11 日

說明

說明	嚴重性	附註
研究人員發現特定 Intel CPU 存在安全漏洞，包括以 Skylake、Broadwell 和 Haswell 微架構為基礎的 CPU。攻擊者可利用這項漏洞，直接從 CPU 的 L1 快取讀取未經授權存取的機密資料。這個安全漏洞最初是在 2018 年的 CVE-2018-3646 中揭露。發現這個安全漏洞後，Google 立即採取緩解措施，解決已知風險。我們當時已發布有關安全漏洞和初步修正措施的通訊內容。自那時起，我們便持續研究殘留風險，並與上游 Linux 社群合作，致力於消除這項風險。我們最近與學術界的安全研究人員合作，評估 CPU 安全防護的最新技術，以及 2018 年未考慮到的潛在攻擊技術。 Google 已對受影響的資產套用修正項目，包括 Google Cloud，以減輕問題影響。該怎麼辦？顧客無須採取任何行動。Google 伺服器機群已套用緩解措施。解決哪些安全漏洞？詳情請參閱 Intel 諮詢 INTEL-SA-00161 和 CVE-2018-3646。	高	CVE-2018-3646

嚴重性

附註

研究人員發現特定 Intel CPU 存在安全漏洞，包括以 Skylake、Broadwell 和 Haswell 微架構為基礎的 CPU。攻擊者可利用這項漏洞，直接從 CPU 的 L1 快取讀取未經授權存取的機密資料。

這個安全漏洞最初是在 2018 年的 CVE-2018-3646 中揭露。發現這個安全漏洞後，Google 立即採取緩解措施，解決已知風險。我們當時已發布有關安全漏洞和初步修正措施的通訊內容。自那時起，我們便持續研究殘留風險，並與上游 Linux 社群合作，致力於消除這項風險。

我們最近與學術界的安全研究人員合作，評估 CPU 安全防護的最新技術，以及 2018 年未考慮到的潛在攻擊技術。

Google 已對受影響的資產套用修正項目，包括 Google Cloud，以減輕問題影響。

該怎麼辦？

顧客無須採取任何行動。Google 伺服器機群已套用緩解措施。

解決哪些安全漏洞？

詳情請參閱 Intel 諮詢 INTEL-SA-00161 和 CVE-2018-3646。

高

CVE-2018-3646

GCP-2025-031

發布日期： 2025 年 6 月 10 日

說明

說明	嚴重性	附註
Trusted Computing Group (TCG) 回報了信任平台模組 (TPM) 軟體安全漏洞，這會影響使用虛擬 TPM (vTPM) 的 Shielded VM。本機攻擊者通過驗證後，可利用這項安全漏洞讀取機密 vTPM 資料，或影響 vTPM 可用性。 vTPM 存取權通常屬於特殊權限。不過，某些設定可能允許更廣泛的 vTPM 存取權。該怎麼辦？客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。不過，您可以限制管理員 (根) 使用者存取 vTPM，藉此降低 Shielded VM 的風險。解決哪些安全漏洞？安全漏洞 CVE-2025-2884 可讓具備 vTPM 介面存取權的本機攻擊者傳送惡意指令。這些指令會利用不相符的情況，讀取超出範圍 (OOB) 的 vTPM 記憶體。這項操作可能會導致私密資料外洩。	高	CVE-2025-2884

嚴重性

附註

Trusted Computing Group (TCG) 回報了信任平台模組 (TPM) 軟體安全漏洞，這會影響使用虛擬 TPM (vTPM) 的 Shielded VM。本機攻擊者通過驗證後，可利用這項安全漏洞讀取機密 vTPM 資料，或影響 vTPM 可用性。

vTPM 存取權通常屬於特殊權限。不過，某些設定可能允許更廣泛的 vTPM 存取權。

該怎麼辦？

客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。不過，您可以限制管理員 (根) 使用者存取 vTPM，藉此降低 Shielded VM 的風險。

解決哪些安全漏洞？

安全漏洞 CVE-2025-2884 可讓具備 vTPM 介面存取權的本機攻擊者傳送惡意指令。這些指令會利用不相符的情況，讀取超出範圍 (OOB) 的 vTPM 記憶體。這項操作可能會導致私密資料外洩。

高

CVE-2025-2884

GCP-2025-025

發布日期： 2025 年 5 月 13 日

說明

說明	嚴重性	附註
Intel 已通知 Google，有新的側通道安全漏洞會影響下列 Intel 處理器：CascadeLake、Ice Lake XeonSP、Ice Lake XeonD、Sapphire Rapids 和 Emerald Rapids。 Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前 Google 尚未發現或接獲任何漏洞遭濫用的證據。該怎麼辦？客戶無須採取任何行動。我們已對 Google 伺服器機群套用修正程式，以保護客戶。解決哪些安全漏洞？ CVE-2024-45332。詳情請參閱 Intel 諮詢 INTEL-SA-01247。我們很樂意提供協助如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417536835。	高	CVE-2024-45332

嚴重性

附註

Intel 已通知 Google，有新的側通道安全漏洞會影響下列 Intel 處理器：CascadeLake、Ice Lake XeonSP、Ice Lake XeonD、Sapphire Rapids 和 Emerald Rapids。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前 Google 尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。我們已對 Google 伺服器機群套用修正程式，以保護客戶。

解決哪些安全漏洞？

CVE-2024-45332。詳情請參閱 Intel 諮詢 INTEL-SA-01247。

我們很樂意提供協助

如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417536835。

高

CVE-2024-45332

GCP-2025-024

發布日期： 2025 年 5 月 12 日

更新日期： 2025 年 5 月 13 日

說明

說明	嚴重性	附註
2025 年 5 月 13 日更新：如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417458390。 Intel 已通知 Google，有新的推測執行安全漏洞會影響 Intel Cascade Lake 處理器和 Intel Ice Lake 處理器。 Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭濫用的證據。該怎麼辦？客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。 Intel 原始設備製造商 (OEM) 和其他作業系統合作夥伴提供的進一步緩解措施，將在可用時立即部署，以緩解相同模式的間接目標選擇 (ITS) 漏洞。套用作業系統緩解措施後，如果客戶的第 3 代或更新版本 VM 長時間執行，可能會發生非預期的效能降低解決哪些安全漏洞？ CVE-2024-28956。詳情請參閱 Intel 安全性諮詢 INTEL-SA-01153。	高	CVE-2024-28956

嚴重性

附註

2025 年 5 月 13 日更新：如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417458390。

Intel 已通知 Google，有新的推測執行安全漏洞會影響 Intel Cascade Lake 處理器和 Intel Ice Lake 處理器。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。

Intel 原始設備製造商 (OEM) 和其他作業系統合作夥伴提供的進一步緩解措施，將在可用時立即部署，以緩解相同模式的間接目標選擇 (ITS) 漏洞。

套用作業系統緩解措施後，如果客戶的第 3 代或更新版本 VM 長時間執行，可能會發生非預期的效能降低

解決哪些安全漏洞？

CVE-2024-28956。詳情請參閱 Intel 安全性諮詢 INTEL-SA-01153。

高

CVE-2024-28956

GCP-2024-040

發布日期：2024-07-01
更新日期：2024-08-20

說明嚴重性附註

更新日期：2024 年 8 月 20 日 重大 CVE-2024-6387

說明	嚴重性	附註
更新日期：2024 年 8 月 20 日	重大	CVE-2024-6387
2024-08-20：加入 TPU 的修補程式。 Linux 發行版推出更新時，請立即套用。請參閱 Linux 發行版的指南。如果您使用 TPU，請更新至下列其中一個修補版本： tpu-ubuntu2204-base v2-alpha-tpuv5 v2-alpha-tpuv5-lite OpenSSH 發現安全漏洞 (CVE-2024-6387)。如果成功利用這個漏洞，未經驗證的遠端攻擊者就能在目標機器上以 root 身分執行任意程式碼。建議分析所有使用以 glibc 為基礎的 Linux 發行版本，且公開 OpenSSH 的 Compute Engine VM，找出易受攻擊的版本。該怎麼辦？ Linux 發行版推出更新時，請立即套用。請參閱 Linux 發行版的指南。如果是 Google 的 Container-Optimized OS，請更新至下列其中一個修補版本： cos-113-18244-85-49 cos-109-17800-218-69 cos-105-17412-370-67 cos-101-17162-463-55 如果您是透過 Google 代管服務 (例如 GKE) 使用 Container-Optimized OS，請參閱該服務的安全性公告，瞭解修補程式是否可用。如果無法更新，建議您先關閉 OpenSSH，直到可以修補為止。預設網路會預先填入 `default-allow-ssh` 防火牆規則，允許從公用網際網路進行 SSH 存取。如要移除這項存取權，客戶可以：視需要建立規則，允許從信任的網路透過 SSH 存取專案中的 GKE 節點或其他 Compute Engine VM；然後使用下列指令停用預設防火牆規則： gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT 如果您已建立任何其他防火牆規則，可能會允許透過通訊埠 22 上的 TCP 進行 SSH，請停用這些規則，或將來源 IP 限制為信任的網路。確認您無法再透過網際網路以 SSH 連線至 VM。這項防火牆設定可降低安全漏洞風險。如果必須保持啟用 OpenSSH，您也可以執行設定更新，消除漏洞的競爭狀況。這項緩解措施會在執行階段生效。如要套用 sshd 設定的變更，這個指令碼會重新啟動 sshd 服務。 #!/bin/bash set -e SSHD_CONFIG_FILE=/etc/ssh/sshd_config # -c: count the matches # -q: don't print to console # -i: sshd_config keywords are case insensitive. if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE" echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE" else sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE" fi # Restart the sshd service to apply the new config. systemctl restart sshd 最後，請監控是否有任何涉及 SSH 伺服器的異常網路活動。	重大	CVE-2024-6387

2024-08-20：加入 TPU 的修補程式。 Linux 發行版推出更新時，請立即套用。請參閱 Linux 發行版的指南。如果您使用 TPU，請更新至下列其中一個修補版本：

tpu-ubuntu2204-base
v2-alpha-tpuv5
v2-alpha-tpuv5-lite

OpenSSH 發現安全漏洞 (CVE-2024-6387)。如果成功利用這個漏洞，未經驗證的遠端攻擊者就能在目標機器上以 root 身分執行任意程式碼。

建議分析所有使用以 glibc 為基礎的 Linux 發行版本，且公開 OpenSSH 的 Compute Engine VM，找出易受攻擊的版本。

該怎麼辦？

Linux 發行版推出更新時，請立即套用。請參閱 Linux 發行版的指南。如果是 Google 的 Container-Optimized OS，請更新至下列其中一個修補版本：
- cos-113-18244-85-49
- cos-109-17800-218-69
- cos-105-17412-370-67
- cos-101-17162-463-55
如果您是透過 Google 代管服務 (例如 GKE) 使用 Container-Optimized OS，請參閱該服務的安全性公告，瞭解修補程式是否可用。
如果無法更新，建議您先關閉 OpenSSH，直到可以修補為止。預設網路會預先填入 default-allow-ssh 防火牆規則，允許從公用網際網路進行 SSH 存取。如要移除這項存取權，客戶可以：
1. 視需要建立規則，允許從信任的網路透過 SSH 存取專案中的 GKE 節點或其他 Compute Engine VM；然後
2. 使用下列指令停用預設防火牆規則：
```
gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT
      
```
如果您已建立任何其他防火牆規則，可能會允許透過通訊埠 22 上的 TCP 進行 SSH，請停用這些規則，或將來源 IP 限制為信任的網路。

確認您無法再透過網際網路以 SSH 連線至 VM。這項防火牆設定可降低安全漏洞風險。

如果必須保持啟用 OpenSSH，您也可以執行設定更新，消除漏洞的競爭狀況。這項緩解措施會在執行階段生效。如要套用 sshd 設定的變更，這個指令碼會重新啟動 sshd 服務。

#!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd

最後，請監控是否有任何涉及 SSH 伺服器的異常網路活動。

重大

CVE-2024-6387

GCP-2024-021

發布日期：2024-04-03

說明	嚴重性	附註
Compute Engine 不受 CVE-2024-3094 影響，該漏洞會影響 liblzma 程式庫中 xz-utils 套件的 5.6.0 和 5.6.1 版，可能導致 OpenSSH 公用程式遭到入侵。該怎麼辦？ Compute Engine 支援及提供的公開映像檔不受這項 CVE 影響。如果 VM 使用 Compute Engine 公開映像檔，則無須採取任何行動。如果您建立的自訂映像檔使用 5.6.0 和 5.6.1 版的 xz-utils 套件，例如下列作業系統，就可能會有風險： Fedora 41 和 Fedora Rawhide Debian testing/unstable openSUSE tumbleweed 為降低這項風險，請停止使用這些作業系統的任何 VM，或停止使用可能曾使用受影響作業系統的 VM。如果 VM 是以其他作業系統的自訂映像檔建構而成，請洽詢作業系統供應商，瞭解 VM 是否受到影響。要解決哪些安全漏洞？ CVE-2024-3094	中	CVE-2024-3094

說明

嚴重性

附註

Compute Engine 不受 CVE-2024-3094 影響，該漏洞會影響 liblzma 程式庫中 xz-utils 套件的 5.6.0 和 5.6.1 版，可能導致 OpenSSH 公用程式遭到入侵。

該怎麼辦？

Compute Engine 支援及提供的公開映像檔不受這項 CVE 影響。如果 VM 使用 Compute Engine 公開映像檔，則無須採取任何行動。

如果您建立的自訂映像檔使用 5.6.0 和 5.6.1 版的 xz-utils 套件，例如下列作業系統，就可能會有風險：

為降低這項風險，請停止使用這些作業系統的任何 VM，或停止使用可能曾使用受影響作業系統的 VM。如果 VM 是以其他作業系統的自訂映像檔建構而成，請洽詢作業系統供應商，瞭解 VM 是否受到影響。

要解決哪些安全漏洞？

CVE-2024-3094

中

CVE-2024-3094

GCP-2024-001

發布日期：2024-01-09

說明	嚴重性	附註
我們在 TianoCore EDK II UEFI 韌體中發現多項安全漏洞。Google Compute Engine VM 會使用這項韌體。如果遭到濫用，這些漏洞可能會導致安全啟動程序遭到規避，進而在安全啟動程序中提供錯誤的測量結果，包括在受防護的 VM 中使用時。該怎麼辦？您無須採取任何行動，Google 已在 Compute Engine 中修補這個安全漏洞，所有 VM 都不會受到這個安全漏洞影響。這個修補程式修正了哪些安全漏洞？修補程式可緩解下列安全漏洞： CVE-2022-36763 CVE-2022-36764 CVE-2022-36765	中	CVE-2022-36763 CVE-2022-36764 CVE-2022-36765

說明

嚴重性

附註

我們在 TianoCore EDK II UEFI 韌體中發現多項安全漏洞。Google Compute Engine VM 會使用這項韌體。如果遭到濫用，這些漏洞可能會導致安全啟動程序遭到規避，進而在安全啟動程序中提供錯誤的測量結果，包括在受防護的 VM 中使用時。

該怎麼辦？

您無須採取任何行動，Google 已在 Compute Engine 中修補這個安全漏洞，所有 VM 都不會受到這個安全漏洞影響。

這個修補程式修正了哪些安全漏洞？

修補程式可緩解下列安全漏洞：

CVE-2022-36763
CVE-2022-36764
CVE-2022-36765

中

GCP-2023-44

發布日期：2023-11-15

說明	嚴重性	附註
AMD 於 11 月 14 日揭露多項安全漏洞，會影響多種 AMD 伺服器 CPU。具體來說，這些安全漏洞會影響採用 Zen 核心第 2 代「Rome」、第 3 代「Milan」和第 4 代「Genoa」的 EPYC 伺服器 CPU。 Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭濫用的證據。該怎麼辦？客戶無須採取任何行動。 Google 伺服器機群已套用 Google Cloud的修正程式，包括 Google Compute Engine。這個修補程式修正了哪些安全漏洞？這個修補程式緩解了下列安全漏洞： CVE-2022-23820 CVE-2021-46774 CVE-2023-20533 CVE-2023-20519 CVE-2023-20592 CVE-2023-20566 CVE-2023-20521 CVE-2021-46766 CVE-2022-23830 CVE-2023-20526 CVE-2021-26345 詳情請參閱 AMD 的安全諮詢 AMD-SN-3005：「AMD INVD 指令安全注意事項」(也稱為 CacheWarp)，以及 AMD-SN-3002：「AMD 伺服器安全漏洞 - 2023 年 11 月」。	Medium	CVE-2022-23820 CVE-2021-46774 CVE-2023-20533 CVE-2023-20519 CVE-2023-20592 CVE-2023-20566 CVE-2022-23830 CVE-2023-20526 CVE-2021-26345

說明

嚴重性

附註

AMD 於 11 月 14 日揭露多項安全漏洞，會影響多種 AMD 伺服器 CPU。具體來說，這些安全漏洞會影響採用 Zen 核心第 2 代「Rome」、第 3 代「Milan」和第 4 代「Genoa」的 EPYC 伺服器 CPU。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。

Google 伺服器機群已套用 Google Cloud的修正程式，包括 Google Compute Engine。

這個修補程式修正了哪些安全漏洞？

這個修補程式緩解了下列安全漏洞：

CVE-2022-23820
CVE-2021-46774
CVE-2023-20533
CVE-2023-20519
CVE-2023-20592
CVE-2023-20566
CVE-2023-20521
CVE-2021-46766
CVE-2022-23830
CVE-2023-20526
CVE-2021-26345

詳情請參閱 AMD 的安全諮詢 AMD-SN-3005：「AMD INVD 指令安全注意事項」(也稱為 CacheWarp)，以及 AMD-SN-3002：「AMD 伺服器安全漏洞 - 2023 年 11 月」。

Medium

GCP-2023-004

發布日期：2023-04-26

說明	嚴重性	附註
在信任平台模組 (TPM) 2.0 中發現兩個安全漏洞 (CVE-2023-1017 和 CVE-2023-1018)。這些安全漏洞可能導致經驗豐富的攻擊者，在特定 Compute Engine VM 上利用 2 位元組的超出範圍讀取/寫入作業。該怎麼辦？系統已自動為所有有安全漏洞的 VM 套用修補程式。客戶無須採取任何行動。這個修補程式修正了哪些安全漏洞？這個修補程式緩解了下列安全漏洞： CVE-2023-1017 CVE-2023-2017 可能會在 vTPM 參數解密常式中觸發緩衝區溢位。本機攻擊者在有安全漏洞的 VM 上執行，可能會利用這項漏洞觸發阻斷服務，或在 vTPM 環境中執行任意程式碼。 CVE-2023-1018 在 CVE-2023-2018 中，vTPM 參數解密常式存在越界讀取問題。在有安全漏洞的 VM 上執行的本機攻擊者，可能會利用這項漏洞，間接從 vTPM 情境中洩漏有限的資料。	Medium	CVE-2023-1017 CVE-2023-1018

說明

嚴重性

附註

在信任平台模組 (TPM) 2.0 中發現兩個安全漏洞 (CVE-2023-1017 和 CVE-2023-1018)。

這些安全漏洞可能導致經驗豐富的攻擊者，在特定 Compute Engine VM 上利用 2 位元組的超出範圍讀取/寫入作業。

該怎麼辦？

系統已自動為所有有安全漏洞的 VM 套用修補程式。客戶無須採取任何行動。

這個修補程式修正了哪些安全漏洞？

這個修補程式緩解了下列安全漏洞：

CVE-2023-1017

CVE-2023-2017 可能會在 vTPM 參數解密常式中觸發緩衝區溢位。本機攻擊者在有安全漏洞的 VM 上執行，可能會利用這項漏洞觸發阻斷服務，或在 vTPM 環境中執行任意程式碼。

CVE-2023-1018

在 CVE-2023-2018 中，vTPM 參數解密常式存在越界讀取問題。在有安全漏洞的 VM 上執行的本機攻擊者，可能會利用這項漏洞，間接從 vTPM 情境中洩漏有限的資料。

Medium

GCP-2021-026

發布日期：2021-12-14

說明	嚴重性	附註
Apache Log4j 公用程式是記錄要求時常用的元件。2021 年 12 月 9 日，系統回報的安全漏洞可能會允許執行 Apache Log4j 版本 2.14.1 或以下版本的系統遭到入侵，並允許攻擊者執行任何程式碼。 2021 年 12 月 10 日，NIST 發布了一項重大的「常見安全漏洞與資料外洩」警示：CVE-2021-44228。具體來說，設定、記錄訊息和參數中使用的 Java 命名目錄介面 (JNDI) 功能無法防範由攻擊者控制的 LDAP 和其他 JNDI 相關端點。如果訊息查詢替換功能已啟用，能夠控管記錄訊息或記錄訊息參數的攻擊者，可以執行從遠端伺服器載入的任意程式碼。該怎麼辦？ M4CE 4.x 版：Migrate for Compute Engine (M4CE) 團隊已於 2021 年 12 月 13 日提供新版本。專案經理必須將現有部署項目替換為新版本，包括雲端 M4CE Manager 和 M4CE「地端部署」後端。如要瞭解 4.11 版的部署詳細資料，請參閱操作指南。 M2VMs 5.x 版：M2VMs 5.0 以上版本已修正，無須採取任何行動。	Critical	CVE-2021-44228

說明

嚴重性

附註

Apache Log4j 公用程式是記錄要求時常用的元件。2021 年 12 月 9 日，系統回報的安全漏洞可能會允許執行 Apache Log4j 版本 2.14.1 或以下版本的系統遭到入侵，並允許攻擊者執行任何程式碼。

2021 年 12 月 10 日，NIST 發布了一項重大的「常見安全漏洞與資料外洩」警示：CVE-2021-44228。具體來說，設定、記錄訊息和參數中使用的 Java 命名目錄介面 (JNDI) 功能無法防範由攻擊者控制的 LDAP 和其他 JNDI 相關端點。如果訊息查詢替換功能已啟用，能夠控管記錄訊息或記錄訊息參數的攻擊者，可以執行從遠端伺服器載入的任意程式碼。

該怎麼辦？

M4CE 4.x 版：Migrate for Compute Engine (M4CE) 團隊已於 2021 年 12 月 13 日提供新版本。專案經理必須將現有部署項目替換為新版本，包括雲端 M4CE Manager 和 M4CE「地端部署」後端。如要瞭解 4.11 版的部署詳細資料，請參閱操作指南。
M2VMs 5.x 版：M2VMs 5.0 以上版本已修正，無須採取任何行動。

Critical

CVE-2021-44228

GCP-2021-001

發布日期：2021 年 1 月 28 日

說明嚴重性附註

說明	嚴重性	附註
我們最近在 Linux 公用程式 `sudo` 中發現一項安全漏洞，如 CVE-2021-3156 所述，攻擊者可能利用這個漏洞，在安裝了 `sudo` 的系統上，透過無權限的本機殼層存取權，將權限提升至系統的根層級。對 Compute Engine 的影響執行 Compute Engine 的基礎架構不會受到這個安全漏洞影響。執行 Linux 的 Compute Engine VM 應考慮更新客體作業系統。舉例來說，如果您使用 Container-Optimized OS，建議您更新至下列其中一個映像檔：cos-85-13310-1209-7、cos-81-12871-1245-6、cos-dev-89-16091-0-0 或更新版本。	無	CVE-2021-3156

我們最近在 Linux 公用程式 sudo 中發現一項安全漏洞，如 CVE-2021-3156 所述，攻擊者可能利用這個漏洞，在安裝了 sudo 的系統上，透過無權限的本機殼層存取權，將權限提升至系統的根層級。

對 Compute Engine 的影響

執行 Compute Engine 的基礎架構不會受到這個安全漏洞影響。執行 Linux 的 Compute Engine VM 應考慮更新客體作業系統。舉例來說，如果您使用 Container-Optimized OS，建議您更新至下列其中一個映像檔：cos-85-13310-1209-7、cos-81-12871-1245-6、cos-dev-89-16091-0-0 或更新版本。

無

CVE-2021-3156

發布日期：2020-08-27

說明嚴重性附註

說明	嚴重性	附註
Eclypsium 已揭露下列 CVE：CVE-2020-10713。安全漏洞為因應最初的漏洞報告，Canonical 對 GRUB2 程式碼進行了額外審查，並發現下列其他漏洞： CVE-2020-14308 CVE-2020-14309 CVE-2020-14310 CVE-2020-14311 CVE-2020-15705 CVE-2020-15706 CVE-2020-15707 這些安全漏洞統稱為 BootHole，可讓具備管理員權限的攻擊者載入未簽署的二進位檔，進而停用安全啟動強制執行功能。對 Compute Engine 的影響執行 Compute Engine 的主機基礎架構會受到保護，免於已知攻擊。建議使用安全啟動的 Compute Engine 客戶更新執行個體上的客體作業系統，避免客體環境遭到入侵。詳情請參閱訪客作業系統供應商建議的緩解措施。修補完成的映像檔與廠商資源各作業系統供應商發布修補程式資訊後，我們就會在此提供相關連結。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：專案 `centos-cloud`：CentOS 修補程式資訊 `centos-7-v20200811` `centos-8-v20200811` 專案 `cos-cloud`： `cos-77-12371-1072-0` `cos-81-12871-1185-0` `cos-rc-85-13310-1028-0` `cos-dev-86-15103-0-0` 如果您是透過代管服務 (例如 GKE) 使用 COS，請按照該服務的指南套用更新。專案 `debian-cloud`：DSA-4753 `debian-10-buster-v20200805` 專案 `coreos-cloud`： `coreos-alpha-2163-2-1-v20190617` `coreos-beta-2135-3-1-v20190617` `coreos-stable-2079-6-0-v20190617` Project `rhel-cloud/rhel-sap-cloud:` Red Hat 安全漏洞應變 `rhel-7-v20200811` `rhel-7-4-sap-v20200811` `rhel-7-6-sap-v20200811` `rhel-7-7-sap-v20200811` `rhel-8-v20200811` 專案 `suse-cloud/suse-sap-cloud:`：SUSE 知識庫 `sles-12-sp5-v20200813` `sles-15-sp2-v20200804` `sles-12-sp4-sap-v20200804` `sles-12-sp5-sap-v20200813` `sles-15-sap-v20200803` `sles-15-sp1-sap-v20200803` `Sles-15-sp2-sap-v20200804` 專案 `ubuntu-os-cloud`：Ubuntu Wiki `ubuntu-1604-xenial-v20200729` `ubuntu-1804-bionic-v20200729` `ubuntu-2004-focal-v20200729`	高	CVE-2020-10713 CVE-2020-14308 CVE-2020-14309 CVE-2020-14310 CVE-2020-14311 CVE-2020-15705 CVE-2020-15706 CVE-2020-15707

Eclypsium 已揭露下列 CVE：CVE-2020-10713。

安全漏洞

為因應最初的漏洞報告，Canonical 對 GRUB2 程式碼進行了額外審查，並發現下列其他漏洞：

這些安全漏洞統稱為 BootHole，可讓具備管理員權限的攻擊者載入未簽署的二進位檔，進而停用安全啟動強制執行功能。

對 Compute Engine 的影響

執行 Compute Engine 的主機基礎架構會受到保護，免於已知攻擊。

建議使用安全啟動的 Compute Engine 客戶更新執行個體上的客體作業系統，避免客體環境遭到入侵。詳情請參閱訪客作業系統供應商建議的緩解措施。

修補完成的映像檔與廠商資源

各作業系統供應商發布修補程式資訊後，我們就會在此提供相關連結。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：

專案 centos-cloud：CentOS 修補程式資訊
- centos-7-v20200811
- centos-8-v20200811
專案 cos-cloud：
- cos-77-12371-1072-0
- cos-81-12871-1185-0
- cos-rc-85-13310-1028-0
- cos-dev-86-15103-0-0
如果您是透過代管服務 (例如 GKE) 使用 COS，請按照該服務的指南套用更新。
專案 debian-cloud：DSA-4753
- debian-10-buster-v20200805
專案 coreos-cloud：
- coreos-alpha-2163-2-1-v20190617
- coreos-beta-2135-3-1-v20190617
- coreos-stable-2079-6-0-v20190617
Project rhel-cloud/rhel-sap-cloud: Red Hat 安全漏洞應變
- rhel-7-v20200811
- rhel-7-4-sap-v20200811
- rhel-7-6-sap-v20200811
- rhel-7-7-sap-v20200811
- rhel-8-v20200811
專案 suse-cloud/suse-sap-cloud:：SUSE 知識庫
- sles-12-sp5-v20200813
- sles-15-sp2-v20200804
- sles-12-sp4-sap-v20200804
- sles-12-sp5-sap-v20200813
- sles-15-sap-v20200803
- sles-15-sp1-sap-v20200803
- Sles-15-sp2-sap-v20200804
專案 ubuntu-os-cloud：Ubuntu Wiki
- ubuntu-1604-xenial-v20200729
- ubuntu-1804-bionic-v20200729
- ubuntu-2004-focal-v20200729

高

發布日期：2020-06-19

說明嚴重性附註

說明	嚴重性	附註
啟用 OS 登入功能的 VM 可能容易受到權限提升漏洞影響。這些安全漏洞會讓具備 OS 登入權限 (但未取得管理員存取權) 的使用者，能夠在 VM 中升級至根層級存取權。安全漏洞由於預設群組成員資格過於寬鬆，Compute Engine 映像檔出現下列三項安全漏洞： CVE-2020-8903：使用 `adm` 使用者，即可利用 DHCP XID 取得管理員權限。 CVE-2020-8907：使用 `docker` 使用者，即可掛接及修改主機 OS 檔案系統，取得管理員權限。 CVE-2020-8933：使用 `lxd` 使用者，即可附加主機 OS 檔案系統並取得管理員權限。修補映像檔和修正 `v20200506`之後建立的所有 Compute Engine 公開映像檔都會經過修補。如要修正這個問題，但不想更新至較新版本的映像檔，可以編輯 `/etc/security/group.conf` 檔案，並從預設 OS 登入項目中移除 `adm`、`lxd` 和 `docker` 使用者。	高	CVE-2020-8903 CVE-2020-8907 CVE-2020-8933

啟用 OS 登入功能的 VM 可能容易受到權限提升漏洞影響。這些安全漏洞會讓具備 OS 登入權限 (但未取得管理員存取權) 的使用者，能夠在 VM 中升級至根層級存取權。

安全漏洞

由於預設群組成員資格過於寬鬆，Compute Engine 映像檔出現下列三項安全漏洞：

CVE-2020-8903：使用 adm 使用者，即可利用 DHCP XID 取得管理員權限。
CVE-2020-8907：使用 docker 使用者，即可掛接及修改主機 OS 檔案系統，取得管理員權限。
CVE-2020-8933：使用 lxd 使用者，即可附加主機 OS 檔案系統並取得管理員權限。

修補映像檔和修正

v20200506之後建立的所有 Compute Engine 公開映像檔都會經過修補。

如要修正這個問題，但不想更新至較新版本的映像檔，可以編輯 /etc/security/group.conf 檔案，並從預設 OS 登入項目中移除 adm、lxd 和 docker 使用者。

高

發布日期：2020-01-21

說明嚴重性附註

說明	嚴重性	附註
Microsoft 揭露了下列安全漏洞： CVE-2020-0601：這個安全漏洞又稱為 Windows Crypto API 假冒漏洞，攻擊者可利用這個漏洞，讓惡意執行檔看起來值得信任，或發動中間人攻擊，並在使用者連線至受影響軟體時解密機密資訊。對 Compute Engine 的影響執行 Compute Engine 的基礎架構不會受到這個安全漏洞影響。除非您在 Compute Engine 虛擬機器中執行 Windows Server，否則不需採取進一步行動。如果客戶使用執行 Windows Server 的 Compute Engine VM，請務必確保執行個體已安裝最新的 Windows 修補程式。修補完成的映像檔與廠商資源舊版公開 Windows 映像檔不含下列修補程式，也無法防範潛在攻擊：專案 `windows-cloud` 和 `windows-sql-cloud` v20200114 起的所有 Windows Server 和 SQL Server 公開映像檔	中	CVE-2020-0601

Microsoft 揭露了下列安全漏洞：

CVE-2020-0601：這個安全漏洞又稱為 Windows Crypto API 假冒漏洞，攻擊者可利用這個漏洞，讓惡意執行檔看起來值得信任，或發動中間人攻擊，並在使用者連線至受影響軟體時解密機密資訊。

對 Compute Engine 的影響

執行 Compute Engine 的基礎架構不會受到這個安全漏洞影響。除非您在 Compute Engine 虛擬機器中執行 Windows Server，否則不需採取進一步行動。如果客戶使用執行 Windows Server 的 Compute Engine VM，請務必確保執行個體已安裝最新的 Windows 修補程式。

修補完成的映像檔與廠商資源

舊版公開 Windows 映像檔不含下列修補程式，也無法防範潛在攻擊：

專案 windows-cloud 和 windows-sql-cloud
- v20200114 起的所有 Windows Server 和 SQL Server 公開映像檔

中

CVE-2020-0601

發布日期：2019-11-12

說明	嚴重性	附註
Intel 已揭露下列 CVE： CVE-2019-11135：這個 CVE 也稱為 TSX 非同步中止 (TAA)。TAA 提供了另一種資料竊取途徑，使用與微架構資料取樣 (MDS) 相同的微架構資料結構。 CVE-2018-12207：這個 CVE 也稱為「頁面大小變更時發生機器檢查錯誤」。這項阻斷攻擊 (DoS) 漏洞會影響虛擬機器主機，讓惡意訪客能癱瘓未受保護的主機。對 Compute Engine 的影響 CVE-2019-11135 執行 Compute Engine 的主機基礎架構會隔離客戶工作負載。除非您在 N2、C2 或 M2 VM 中執行不受信任的程式碼，否則無須採取進一步行動。如果 N2、C2 或 M2 客戶在 Compute Engine 虛擬機器內的多租戶服務中執行不受信任的程式碼，應停止並啟動 VM，確保已套用最新的安全防護措施。重新啟動 (不停止/啟動) 不足以解決問題。本指南假設您已套用先前發布的更新，解決 MDS 漏洞。如果沒有，請按照操作說明套用適當的更新。如果客戶執行的是 N1 機型，則不需採取任何行動，因為這項安全漏洞並未帶來新的風險，與先前揭露的 MDS 安全漏洞相同。 CVE-2018-12207 執行 Compute Engine 的主機基礎架構不會受到這項安全漏洞影響。您無需採取進一步行動。	中	CVE-2019-11135 CVE-2018-12207

說明

嚴重性

附註

Intel 已揭露下列 CVE：

CVE-2019-11135：這個 CVE 也稱為 TSX 非同步中止 (TAA)。TAA 提供了另一種資料竊取途徑，使用與微架構資料取樣 (MDS) 相同的微架構資料結構。
CVE-2018-12207：這個 CVE 也稱為「頁面大小變更時發生機器檢查錯誤」。這項阻斷攻擊 (DoS) 漏洞會影響虛擬機器主機，讓惡意訪客能癱瘓未受保護的主機。

對 Compute Engine 的影響

CVE-2019-11135

執行 Compute Engine 的主機基礎架構會隔離客戶工作負載。除非您在 N2、C2 或 M2 VM 中執行不受信任的程式碼，否則無須採取進一步行動。

如果 N2、C2 或 M2 客戶在 Compute Engine 虛擬機器內的多租戶服務中執行不受信任的程式碼，應停止並啟動 VM，確保已套用最新的安全防護措施。重新啟動 (不停止/啟動) 不足以解決問題。本指南假設您已套用先前發布的更新，解決 MDS 漏洞。如果沒有，請按照操作說明套用適當的更新。

如果客戶執行的是 N1 機型，則不需採取任何行動，因為這項安全漏洞並未帶來新的風險，與先前揭露的 MDS 安全漏洞相同。

CVE-2018-12207

執行 Compute Engine 的主機基礎架構不會受到這項安全漏洞影響。您無需採取進一步行動。

中

發布日期：2019 年 6 月 18 日

上次更新時間：2019 年 6 月 25 日下午 6:30 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
Netflix 最近揭露了 Linux 核心的 3 個 TCP 安全漏洞： CVE-2019-11477 CVE-2019-11478 CVE-2019-11479 上述 CVE 統稱為 NFLX-2019-001。對 Compute Engine 的影響託管 Compute Engine 的基礎架構具備防護機制，因此不會受到這個安全漏洞的影響。如果 Compute Engine VM 執行未經修補的 Linux 作業系統，且該作業系統會傳送/接收不受信任的網路流量，這個 VM 就可能會受到這類 DoS 攻擊。因此，我們建議您在該作業系統的修補程式推出時，立即更新這些 VM 執行個體。關閉 TCP 連線的負載平衡器已修補這項安全漏洞。如果 Compute Engine 執行個體只透過這些負載平衡器接收不受信任流量，則沒有安全漏洞。包括 HTTP 負載平衡器、SSL Proxy 負載平衡器和 TCP Proxy 負載平衡器。網路負載平衡器和內部負載平衡器不會關閉 TCP 連線。未修補的 Compute Engine 執行個體如果透過這些負載平衡器接收不受信任的流量，就容易受到攻擊。修補完成的映像檔與廠商資源我們會在此提供各作業系統供應商的修補程式資訊連結，包括每個 CVE 的狀態。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：專案 `debian-cloud`： `debian-9-stretch-v20190618` 專案 `centos-cloud`： `centos-6-v20190619` `centos-7-v20190619` 專案 `cos-cloud`： `cos-dev-77-12293-0-0` `cos-beta-76-12239-21-0` `cos-stable-75-12105-77-0` `cos-73-11647-217-0` `cos-69-10895-277-0` 專案 `coreos-cloud`： `coreos-alpha-2163-2-1-v20190617` `coreos-beta-2135-3-1-v20190617` `coreos-stable-2079-6-0-v20190617` 專案 `rhel-cloud`： `rhel-6-v20190618` `rhel-7-v20190618` `rhel-8-v20190618` 專案 `rhel-sap-cloud`： `rhel-7-4-sap-v20190618` `rhel-7-6-sap-v20190618` 專案 `suse-cloud`： `sles-12-sp4-v20190617` `sles-15-v20190617` 專案 `suse-sap-cloud`： `sles-12-sp1-sap-v20190617` `sles-12-sp2-sap-v20190617` `sles-12-sp3-sap-v20190617` `sles-12-sp4-sap-v20190617` `sles-15-sap-v20190617` 專案 `ubuntu-cloud`： `ubuntu-1604-xenial-v20190617` `ubuntu-1804-bionic-v20190617` `ubuntu-1810-cosmic-v20190618` `ubuntu-1904-disco-v20190619` `ubuntu-minimal-1604-xenial-v20190618` `ubuntu-minimal-1804-bionic-v20190617` `ubuntu-minimal-1810-cosmic-v20190618` `ubuntu-minimal-1904-disco-v20190618`	中	CVE-2019-11477 CVE-2019-11478 CVE-2019-11479

Netflix 最近揭露了 Linux 核心的 3 個 TCP 安全漏洞：

上述 CVE 統稱為 NFLX-2019-001。

對 Compute Engine 的影響

託管 Compute Engine 的基礎架構具備防護機制，因此不會受到這個安全漏洞的影響。

如果 Compute Engine VM 執行未經修補的 Linux 作業系統，且該作業系統會傳送/接收不受信任的網路流量，這個 VM 就可能會受到這類 DoS 攻擊。因此，我們建議您在該作業系統的修補程式推出時，立即更新這些 VM 執行個體。

關閉 TCP 連線的負載平衡器已修補這項安全漏洞。如果 Compute Engine 執行個體只透過這些負載平衡器接收不受信任流量，則沒有安全漏洞。包括 HTTP 負載平衡器、SSL Proxy 負載平衡器和 TCP Proxy 負載平衡器。

網路負載平衡器和內部負載平衡器不會關閉 TCP 連線。未修補的 Compute Engine 執行個體如果透過這些負載平衡器接收不受信任的流量，就容易受到攻擊。

修補完成的映像檔與廠商資源

我們會在此提供各作業系統供應商的修補程式資訊連結，包括每個 CVE 的狀態。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：

專案 debian-cloud：
- debian-9-stretch-v20190618
專案 centos-cloud：
- centos-6-v20190619
- centos-7-v20190619
專案 cos-cloud：
- cos-dev-77-12293-0-0
- cos-beta-76-12239-21-0
- cos-stable-75-12105-77-0
- cos-73-11647-217-0
- cos-69-10895-277-0
專案 coreos-cloud：
- coreos-alpha-2163-2-1-v20190617
- coreos-beta-2135-3-1-v20190617
- coreos-stable-2079-6-0-v20190617
專案 rhel-cloud：
- rhel-6-v20190618
- rhel-7-v20190618
- rhel-8-v20190618
專案 rhel-sap-cloud：
- rhel-7-4-sap-v20190618
- rhel-7-6-sap-v20190618
專案 suse-cloud：
- sles-12-sp4-v20190617
- sles-15-v20190617
專案 suse-sap-cloud：
- sles-12-sp1-sap-v20190617
- sles-12-sp2-sap-v20190617
- sles-12-sp3-sap-v20190617
- sles-12-sp4-sap-v20190617
- sles-15-sap-v20190617
專案 ubuntu-cloud：
- ubuntu-1604-xenial-v20190617
- ubuntu-1804-bionic-v20190617
- ubuntu-1810-cosmic-v20190618
- ubuntu-1904-disco-v20190619
- ubuntu-minimal-1604-xenial-v20190618
- ubuntu-minimal-1804-bionic-v20190617
- ubuntu-minimal-1810-cosmic-v20190618
- ubuntu-minimal-1904-disco-v20190618

中

發布日期：2019 年 5 月 14 日

上次更新時間：2019 年 5 月 20 日下午 5 點 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
Intel 已揭露下列 CVE： CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 CVE-2019-11091 上述 CVE 統稱為「微架構資料取樣」(MDS)。這些安全漏洞可能會導致資料曝光，因為推測執行作業會與微架構狀態互動。對 Compute Engine 的影響執行 Compute Engine 的主機基礎架構會將客戶工作負載彼此隔離。除非您在 VM 中執行不受信任的程式碼，否則不必採取進一步行動。如果客戶在 Compute Engine 虛擬機器中自己的多用戶群服務上執行不受信任的程式碼，請參考您客體 OS 廠商建議的緩解方法，其中可能包含使用 Intel 的微碼緩解功能。我們已經為新的清除功能部署訪客傳遞存取權。以下概述適用於一般訪客映像檔的緩解步驟。修補完成的映像檔與廠商資源我們會在此提供各作業系統供應商的修補程式資訊連結 (如有)，包括各 CVE 的狀態。使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的舊版不含這些修補程式，也無法防範潛在攻擊：專案 `centos-cloud`：CESA-2019:1169、CESA-2019:1168 `centos-6-v20190515` `centos-7-v20190515` 專案 `coreos-cloud`：CoreOS Container Linux 的 MDS 緩解措施 `coreos-stable-2079-4-0-v20190515` `coreos-beta-2107-3-0-v20190515` `coreos-alpha-2135-1-0-v20190515` 專案 `cos-cloud` `cos-69-10895-242-0` `cos-73-11647-182-0` 專案 `debian-cloud`：DSA-4444 `debian-9-stretch-v20190514` 專案 `rhel-cloud`：Red Hat MDS 知識文章 `rhel-6-v20190515` `rhel-7-v20190517` `rhel-8-v20190515` 專案 `rhel-sap-cloud`：Red Hat MDS 知識文章 `rhel-7-4-sap-v20190515` `rhel-7-6-sap-v20190517` 專案 `suse-cloud`： SUSE MDS 知識庫 `sles-12-sp4-v20190520` `sles-15-v20190520` 專案 `suse-sap-cloud` `sles-12-sp4-sap-v20190520` `sles-15-sap-v20190520` 專案 `ubuntu-os-cloud`：Ubuntu MDS Wiki `ubuntu-1404-trusty-v20190514` `ubuntu-1604-xenial-v20190514` `ubuntu-1804-bionic-v20190514` `ubuntu-1810-cosmic-v20190514` `ubuntu-1904-disco-v20190514` `ubuntu-minimal-1604-xenial-v20190514` `ubuntu-minimal-1804-bionic-v20190514` `ubuntu-minimal-1810-cosmic-v20190514` `ubuntu-minimal-1904-disco-v20190514` 專案 `windows-cloud` 和 `windows-sql-cloud`：Microsoft ADV190013 所有版本號碼為 `v20190514` 的 Windows Server 和 SQL Server 公開映像檔。專案 `gce-uefi-images` `centos-7-v20190515` `cos-69-10895-242-0` `cos-73-11647-182-0` `rhel-7-v20190517` `ubuntu-1804-bionic-v20190514` 所有版本號碼為 `v20190514` 的 Windows Server 公開映像檔。 Container-Optimized OS 如果您把 Container Optimized OS (COS) 當做客體 Guest OS 來使用，且您在自己的虛擬機器上執行不受信任的多用戶群工作負載，我們建議您：在核心指令列上設定 `nosmt`，即可停用超執行緒。在現有的 COS VM 上，您可以修改 `grub.cfg`，如下所示設定 `nosmt` 選項，然後重新啟動系統： # Run as root: dir="$(mktemp -d)" mount /dev/sda12 "${dir}" sed -i -e "s\|cros_efi\|cros_efi nosmt\|g" "${dir}/efi/boot/grub.cfg" umount "${dir}" rmdir "${dir}" reboot 為方便起見，您可以執行下列指令碼，達到與先前執行指令相同的結果。我們建議您把該指令碼新增到您的雲端組態、開機指令碼，或執行個體範本中，以確保新的 VM 會使用這個參數。以下是執行這個指令碼的 cloud-config 範例。警告：第一次執行這個指令時，執行個體會立即重新啟動。如果執行個體已停用超執行緒，後續執行指令不會產生任何影響。 # Run as root /bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh) 如何將該指令新增到您的雲端組態中： #cloud-config bootcmd: - /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)" 如要確認執行個體是否已停用超執行緒，請查看 `/sys/devices/system/cpu/smt/active` 和 `/sys/devices/system/cpu/smt/control` 檔案的輸出內容。如果傳回 `0` 的 `active` 和 `off`，表示超執行緒已停用：`control` cat /sys/devices/system/cpu/smt/active cat /sys/devices/system/cpu/smt/control 注意：如果您已在執行個體上啟用 UEFI 安全啟動功能，則必須在停用 UEFI 安全啟動功能的情況下重新建立執行個體，並在停用 UEFI 安全啟動功能的情況下執行上述指令，然後在新執行個體上啟用 UEFI 安全啟動功能。使用新版 COS 映像檔除了採用上述方法來停用超執行緒功能之外，您也應該利用上述已更新或較新版本 (如果已推出) 的 Container-Optimized OS 映像檔來重新建立執行個體，以便獲得可抵擋該安全漏洞的完整保護。	中	CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 CVE-2019-11091

Intel 已揭露下列 CVE：

上述 CVE 統稱為「微架構資料取樣」(MDS)。這些安全漏洞可能會導致資料曝光，因為推測執行作業會與微架構狀態互動。

對 Compute Engine 的影響

執行 Compute Engine 的主機基礎架構會將客戶工作負載彼此隔離。除非您在 VM 中執行不受信任的程式碼，否則不必採取進一步行動。

如果客戶在 Compute Engine 虛擬機器中自己的多用戶群服務上執行不受信任的程式碼，請參考您客體 OS 廠商建議的緩解方法，其中可能包含使用 Intel 的微碼緩解功能。我們已經為新的清除功能部署訪客傳遞存取權。以下概述適用於一般訪客映像檔的緩解步驟。

修補完成的映像檔與廠商資源

我們會在此提供各作業系統供應商的修補程式資訊連結 (如有)，包括各 CVE 的狀態。使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的舊版不含這些修補程式，也無法防範潛在攻擊：

專案 centos-cloud：CESA-2019:1169、CESA-2019:1168

centos-6-v20190515
centos-7-v20190515

專案 coreos-cloud：CoreOS Container Linux 的 MDS 緩解措施

coreos-stable-2079-4-0-v20190515
coreos-beta-2107-3-0-v20190515
coreos-alpha-2135-1-0-v20190515

專案 cos-cloud

cos-69-10895-242-0
cos-73-11647-182-0

專案 debian-cloud：DSA-4444

debian-9-stretch-v20190514

專案 rhel-cloud：Red Hat MDS 知識文章

rhel-6-v20190515
rhel-7-v20190517
rhel-8-v20190515

專案 rhel-sap-cloud：Red Hat MDS 知識文章

rhel-7-4-sap-v20190515
rhel-7-6-sap-v20190517

專案 suse-cloud： SUSE MDS 知識庫

sles-12-sp4-v20190520
sles-15-v20190520

專案 suse-sap-cloud

sles-12-sp4-sap-v20190520
sles-15-sap-v20190520

專案 ubuntu-os-cloud：Ubuntu MDS Wiki

ubuntu-1404-trusty-v20190514
ubuntu-1604-xenial-v20190514
ubuntu-1804-bionic-v20190514
ubuntu-1810-cosmic-v20190514
ubuntu-1904-disco-v20190514
ubuntu-minimal-1604-xenial-v20190514
ubuntu-minimal-1804-bionic-v20190514
ubuntu-minimal-1810-cosmic-v20190514
ubuntu-minimal-1904-disco-v20190514

專案 windows-cloud 和 windows-sql-cloud：Microsoft ADV190013

所有版本號碼為 v20190514 的 Windows Server 和 SQL Server 公開映像檔。

專案 gce-uefi-images

centos-7-v20190515
cos-69-10895-242-0
cos-73-11647-182-0
rhel-7-v20190517
ubuntu-1804-bionic-v20190514
所有版本號碼為 v20190514 的 Windows Server 公開映像檔。

Container-Optimized OS

如果您把 Container Optimized OS (COS) 當做客體 Guest OS 來使用，且您在自己的虛擬機器上執行不受信任的多用戶群工作負載，我們建議您：

在核心指令列上設定 nosmt，即可停用超執行緒。
在現有的 COS VM 上，您可以修改 grub.cfg，如下所示設定 nosmt 選項，然後重新啟動系統：
```
# Run as root:
dir="$(mktemp -d)"
mount /dev/sda12 "${dir}"
sed -i -e "s|cros_efi|cros_efi nosmt|g" "${dir}/efi/boot/grub.cfg"
umount "${dir}"
rmdir "${dir}"

reboot
```
為方便起見，您可以執行下列指令碼，達到與先前執行指令相同的結果。我們建議您把該指令碼新增到您的雲端組態、開機指令碼，或執行個體範本中，以確保新的 VM 會使用這個參數。以下是執行這個指令碼的 cloud-config 範例。

警告：第一次執行這個指令時，執行個體會立即重新啟動。如果執行個體已停用超執行緒，後續執行指令不會產生任何影響。
```
# Run as root
/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)
```
如何將該指令新增到您的雲端組態中：
```
#cloud-config

bootcmd:
- /bin/bash -c "/bin/bash <(curl -s https://storage.googleapis.com/cos-tools/scripts/disable_smt.sh)"
```
如要確認執行個體是否已停用超執行緒，請查看 /sys/devices/system/cpu/smt/active 和 /sys/devices/system/cpu/smt/control 檔案的輸出內容。如果傳回 0 的 active 和 off，表示超執行緒已停用：control
```
cat /sys/devices/system/cpu/smt/active
cat /sys/devices/system/cpu/smt/control
```
注意：如果您已在執行個體上啟用 UEFI 安全啟動功能，則必須在停用 UEFI 安全啟動功能的情況下重新建立執行個體，並在停用 UEFI 安全啟動功能的情況下執行上述指令，然後在新執行個體上啟用 UEFI 安全啟動功能。
使用新版 COS 映像檔

除了採用上述方法來停用超執行緒功能之外，您也應該利用上述已更新或較新版本 (如果已推出) 的 Container-Optimized OS 映像檔來重新建立執行個體，以便獲得可抵擋該安全漏洞的完整保護。

中

發布日期：2018 年 8 月 14 日

上次更新時間：2018 年 8 月 20 日下午 5:00 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
說明 Intel 已揭露下列 CVE： CVE-2018-3615 (發生於 SGX) CVE-2018-3620 (發生於作業系統和 SMT) CVE-2018-3646 (發生於虛擬化作業) 上述 CVE 統稱為「L1 終端機錯誤」(L1TF)。這些 L1TF 漏洞會攻擊處理器層級資料結構的設定，藉此利用推測執行。「L1」是指 1 級資料快取 (L1D)，這是一種用於加快記憶體存取速度的小型核心資源。如要進一步瞭解這些安全漏洞和 Compute Engine 的緩解措施，請參閱Google Cloud 網誌文章。對 Compute Engine 的影響用於執行 Compute Engine 及隔離各個客戶工作負載的主機基礎架構具備充分的防護機制，因此未受到已知攻擊的影響。我們建議 Compute Engine 的客戶更新映像檔，以免訪客環境中出現間接的惡意利用活動。對於在 Compute Engine 虛擬機器上執行多用戶群服務的客戶來說，這一點尤為重要。 Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：使用修補完成的公開映像檔重新建立現有的 VM 執行個體。在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。修補完成的映像檔與廠商資源作業系統廠商發布修補程式資訊之後，我們就會在這裡提供相關連結和前述兩個 CVE 的狀態。您可以使用這些映像檔來重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：專案 `centos-cloud`： `centos-7-v20180815` `centos-6-v20180815` 專案 `coreos-cloud`： `coreos-stable-1800-7-0-v20180816` `coreos-beta-1855-2-0-v20180816` `coreos-alpha-1871-0-0-v20180816` 專案 `cos-cloud`： `cos-stable-66-10452-110-0` `cos-stable-67-10575-66-0` `cos-beta-68-10718-81-0` `cos-dev-69-10895-23-0` 專案 `debian-cloud`： `debian-9-stretch-v20180820` 專案 `rhel-cloud`： `rhel-7-v20180814` `rhel-6-v20180814` 專案 `rhel-sap-cloud`： `rhel-7-sap-apps-v20180814` `rhel-7-sap-hana-v20180814` 專案 `suse-cloud`： `sles-15-v20180816` `sles-12-sp3-v20180814` `sles-11-sp4-v20180816` 專案 `suse-sap-cloud`： `sles-15-sap-v20180816` `sles-12-sp3-sap-v20180814` `sles-12-sp2-sap-v20180816` 專案 `ubuntu-os-cloud`： `ubuntu-1804-bionic-v20180814` `ubuntu-1604-xenial-v20180814` `ubuntu-1404-trusty-v20180814` `ubuntu-minimal-1804-bionic-v20180814` `ubuntu-minimal-1604-xenial-v20180814` 專案 `windows-cloud` `gce-uefi-images` 和 `windows-sql-cloud`：所有版本號碼為 `-v201800814` 以上的 Windows Server 和 SQL Server公開映像檔都包含修補程式。	高	CVE-2018-3615 CVE-2018-3620 CVE-2018-3646

說明

Intel 已揭露下列 CVE：

CVE-2018-3615 (發生於 SGX)
CVE-2018-3620 (發生於作業系統和 SMT)
CVE-2018-3646 (發生於虛擬化作業)

上述 CVE 統稱為「L1 終端機錯誤」(L1TF)。

這些 L1TF 漏洞會攻擊處理器層級資料結構的設定，藉此利用推測執行。「L1」是指 1 級資料快取 (L1D)，這是一種用於加快記憶體存取速度的小型核心資源。

如要進一步瞭解這些安全漏洞和 Compute Engine 的緩解措施，請參閱Google Cloud 網誌文章。

對 Compute Engine 的影響

用於執行 Compute Engine 及隔離各個客戶工作負載的主機基礎架構具備充分的防護機制，因此未受到已知攻擊的影響。

我們建議 Compute Engine 的客戶更新映像檔，以免訪客環境中出現間接的惡意利用活動。對於在 Compute Engine 虛擬機器上執行多用戶群服務的客戶來說，這一點尤為重要。

Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：

使用修補完成的公開映像檔重新建立現有的 VM 執行個體。
在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。

修補完成的映像檔與廠商資源

作業系統廠商發布修補程式資訊之後，我們就會在這裡提供相關連結和前述兩個 CVE 的狀態。您可以使用這些映像檔來重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊：

專案 centos-cloud：
- centos-7-v20180815
- centos-6-v20180815
專案 coreos-cloud：
- coreos-stable-1800-7-0-v20180816
- coreos-beta-1855-2-0-v20180816
- coreos-alpha-1871-0-0-v20180816
專案 cos-cloud：
- cos-stable-66-10452-110-0
- cos-stable-67-10575-66-0
- cos-beta-68-10718-81-0
- cos-dev-69-10895-23-0
專案 debian-cloud：
- debian-9-stretch-v20180820
專案 rhel-cloud：
- rhel-7-v20180814
- rhel-6-v20180814
專案 rhel-sap-cloud：
- rhel-7-sap-apps-v20180814
- rhel-7-sap-hana-v20180814
專案 suse-cloud：
- sles-15-v20180816
- sles-12-sp3-v20180814
- sles-11-sp4-v20180816
專案 suse-sap-cloud：
- sles-15-sap-v20180816
- sles-12-sp3-sap-v20180814
- sles-12-sp2-sap-v20180816
專案 ubuntu-os-cloud：
- ubuntu-1804-bionic-v20180814
- ubuntu-1604-xenial-v20180814
- ubuntu-1404-trusty-v20180814
- ubuntu-minimal-1804-bionic-v20180814
- ubuntu-minimal-1604-xenial-v20180814
專案 windows-cloud gce-uefi-images 和 windows-sql-cloud：
- 所有版本號碼為 -v201800814 以上的 Windows Server 和 SQL Server公開映像檔都包含修補程式。

高

發布日期：2018 年 8 月 6 日

上次更新時間：2018 年 9 月 5 日下午 5 點 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
2018 年 9 月 5 日更新 CVE-2018-5391 已於 2018 年 8 月 14 日由 US-CERT 揭露。與 CVE-2018-5390 相同，這是核心層級的網路安全漏洞，會提高針對易受攻擊系統發動阻斷攻擊 (DoS) 的效力。兩者的主要差異在於不肖人士可以透過 IP 連線利用 CVE-2018-5391。我們已更新這份公告，涵蓋這兩項安全漏洞。說明 CVE-2018-5390 (「SegmentSmack」) 描述核心層級的網路安全漏洞，會提高透過 TCP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的有效性。 CVE-2018-5391 (又稱「FragmentSmack」) 說明核心層級的網路安全漏洞，會提高透過 IP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的效力。對 Compute Engine 的影響執行 Compute Engine VM 的主機基礎架構不會受到影響。處理 Compute Engine VM 往來流量的網路基礎架構，已受到保護，可防範這項安全漏洞。如果 Compute Engine VM 僅透過 HTTP(S)、SSL 或 TCP 負載平衡器傳送/接收不受信任的網路流量，就不會受到這項安全漏洞影響。如果 Compute Engine VM 執行的作業系統未安裝修補程式，且直接傳送/接收不受信任的網路流量，或使用網路負載平衡器，就容易受到這類 DoS 攻擊。 VM 執行個體的作業系統廠商發布修補程式之後，建議您立即進行更新。 Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：使用已修補的公開映像檔重新建立現有的 VM 執行個體。請參閱下方的修補公開映像檔清單。在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。修補完成的映像檔與廠商資源當每個作業系統廠商發布修補程式資訊時，我們就會在這裡提供相關連結。專案 `centos-cloud` (僅限 CVE-2018-5390)： `centos-7-v20180815` `centos-6-v20180815` Project `coreos-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `coreos-stable-1800-7-0-v20180816` `coreos-beta-1855-2-0-v20180816` `coreos-alpha-1871-0-0-v20180816` Project `cos-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `cos-stable-65-10323-98-0` `cos-stable-66-10452-109-0` `cos-stable-67-10575-65-0` `cos-beta-68-10718-76-0` `cos-dev-69-10895-16-0` Project `debian-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `debian-9-stretch-v20180814` Project `rhel-cloud` (僅限 CVE-2018-5390)： `rhel-7-v20180814` `rhel-6-v20180814` Project `suse-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `sles-15-v20180816` `sles-12-sp3-v20180814` Project `suse-sap-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `sles-15-sap-v20180816` `sles-12-sp3-sap-v20180814` `sles-12-sp2-sap-v20180816` Project `ubuntu-os-cloud` (CVE-2018-5390 和 CVE-2018-5391)： `ubuntu-1804-bionic-v20180814` `ubuntu-1604-xenial-v20180814` `ubuntu-1404-trusty-v20180814` `ubuntu-minimal-1804-bionic-v20180814` `ubuntu-minimal-1604-xenial-v20180814`	高	CVE-2018-5390 CVE-2018-5391

2018 年 9 月 5 日更新

CVE-2018-5391 已於 2018 年 8 月 14 日由 US-CERT 揭露。與 CVE-2018-5390 相同，這是核心層級的網路安全漏洞，會提高針對易受攻擊系統發動阻斷攻擊 (DoS) 的效力。兩者的主要差異在於不肖人士可以透過 IP 連線利用 CVE-2018-5391。我們已更新這份公告，涵蓋這兩項安全漏洞。

說明

CVE-2018-5390 (「SegmentSmack」) 描述核心層級的網路安全漏洞，會提高透過 TCP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的有效性。

CVE-2018-5391 (又稱「FragmentSmack」) 說明核心層級的網路安全漏洞，會提高透過 IP 連線對易受攻擊系統發動阻斷攻擊 (DoS) 的效力。

對 Compute Engine 的影響

執行 Compute Engine VM 的主機基礎架構不會受到影響。處理 Compute Engine VM 往來流量的網路基礎架構，已受到保護，可防範這項安全漏洞。如果 Compute Engine VM 僅透過 HTTP(S)、SSL 或 TCP 負載平衡器傳送/接收不受信任的網路流量，就不會受到這項安全漏洞影響。

如果 Compute Engine VM 執行的作業系統未安裝修補程式，且直接傳送/接收不受信任的網路流量，或使用網路負載平衡器，就容易受到這類 DoS 攻擊。

VM 執行個體的作業系統廠商發布修補程式之後，建議您立即進行更新。

Compute Engine 客戶可以透過下列任一選項，更新執行個體上的訪客作業系統：

使用已修補的公開映像檔重新建立現有的 VM 執行個體。請參閱下方的修補公開映像檔清單。
在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。

修補完成的映像檔與廠商資源

當每個作業系統廠商發布修補程式資訊時，我們就會在這裡提供相關連結。

專案 centos-cloud (僅限 CVE-2018-5390)：
- centos-7-v20180815
- centos-6-v20180815
Project coreos-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- coreos-stable-1800-7-0-v20180816
- coreos-beta-1855-2-0-v20180816
- coreos-alpha-1871-0-0-v20180816
Project cos-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- cos-stable-65-10323-98-0
- cos-stable-66-10452-109-0
- cos-stable-67-10575-65-0
- cos-beta-68-10718-76-0
- cos-dev-69-10895-16-0
Project debian-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- debian-9-stretch-v20180814
Project rhel-cloud (僅限 CVE-2018-5390)：
- rhel-7-v20180814
- rhel-6-v20180814
Project suse-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- sles-15-v20180816
- sles-12-sp3-v20180814
Project suse-sap-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- sles-15-sap-v20180816
- sles-12-sp3-sap-v20180814
- sles-12-sp2-sap-v20180816
Project ubuntu-os-cloud (CVE-2018-5390 和 CVE-2018-5391)：
- ubuntu-1804-bionic-v20180814
- ubuntu-1604-xenial-v20180814
- ubuntu-1404-trusty-v20180814
- ubuntu-minimal-1804-bionic-v20180814
- ubuntu-minimal-1604-xenial-v20180814

高

發布日期：2018 年 1 月 3 日

上次更新：2018 年 5 月 21 日下午 3 點 (太平洋標準時間)

說明嚴重性附註

說明	嚴重性	附註
2018 年 5 月 21 日更新 CVE-2018-3640 和 CVE-2018-3639 分別是變體 3a 和 4，由 Intel 揭露。與 Spectre 和 Meltdown 前三個變種的情況相同，執行 Compute Engine VM 執行個體的基礎架構具備充分的防護機制，因此未受到這個安全漏洞的影響。由於客戶 VM 執行個體彼此隔離，亦未受影響。另外，Compute Engine 預計將 Intel 的微碼修補程式部署至自有基礎架構。作業系統廠商與供應商提供可於 VM 內部執行的解決方法之後，在單一 VM 執行個體中處理不受信任或多用戶群工作負載的客戶即可啟用這類額外的解決方法。Intel 認證微碼修補程式後，Compute Engine 會部署這些修補程式，並在測試及確認修補程式適用於我們的正式環境後，才會部署。修補程式發布之後，我們會在這個頁面中提供更詳細的時程表與相關最新消息。說明這些 CVE 是新型攻擊的變體，會利用許多處理器提供的推測執行技術。這類攻擊可讓攻擊者在各種情況下，未經授權唯讀存取記憶體資料。 Compute Engine 使用 VM 即時遷移技術來執行主機系統和管理程序更新，因此您無須指派任何人加以管理，也不需要進行強制性維護作業或大規模重新啟動執行個體。不過請注意，無論訪客作業系統是在何種環境中運作，這類作業系統和版本都必須經過修補，否則可能會受到這種新型攻擊的威脅。如要全面瞭解這種攻擊方法的相關技術資訊，請參閱 Project Zero 網誌文章。請參閱 Google 安全性網誌文章，完整瞭解 Google 的緩解措施，包括所有產品專屬資訊。對 Compute Engine 的影響執行 Compute Engine 並將客戶 VM 執行個體彼此隔離的基礎架構，可防範已知攻擊。我們的緩解措施可防止未經授權存取在 VM 執行個體內執行的應用程式。執行相同主機系統的其他 VM 執行個體也不會遭到未經授權的存取。如要避免虛擬機器執行個體中發生未經授權的存取活動，您必須透過下列其中一種方法更新這些執行個體上的訪客作業系統：使用修補過的公開映像檔重新建立現有 VM 執行個體。請參閱下方已修補的公開映像檔清單。在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。各家作業系統廠商已提供相關的修補程式資訊，請見下方連結。修補完成的映像檔與廠商資源注意事項：這則安全性公告通知列出了多項 CVE，但修補完成的映像檔中可能未含所有安全漏洞的修正內容。另外，不同映像檔中提供的攻擊防護方法可能不同。請向作業系統供應商確認其修補程式解決了哪些 CVE，以及他們採用的預防方法。專案 `cos-cloud`：包含可防範變體 2 (CVE-2017-5715) 和變體 3 (CVE-2017-5754) 攻擊的修補程式。Google 在這些映像檔中使用了 Retpoline，以減少變體 2 攻擊。 `cos-stable-63-10032-71-0` 或映像檔系列 `cos-stable` 專案 `centos-cloud`： CentOS 修補程式資訊 `centos-7-v20180104` 或映像檔系列 `centos-7` `centos-6-v20180104` 或映像檔系列 `centos-6` 專案 `coreos-cloud`：CoreOS 修補程式資訊 `coreos-stable-1576-5-0-v20180105` 或映像檔系列 `coreos-stable` `coreos-beta-1632-1-0-v20180105` 或映像檔系列 `coreos-beta` `coreos-alpha-1649-0-0-v20180105` 或映像檔系列 `coreos-alpha` 專案 `debian-cloud`： Debian 修補程式資訊 `debian-9-stretch-v20180105` 或映像檔系列 `debian-9` `debian-8-jessie-v20180109` 或映像檔系列 `debian-8` 專案 `rhel-cloud`： RHEL 修補程式資訊 `rhel-7-v20180104` 或映像檔系列 `rhel-7` `rhel-6-v20180104` 或映像檔系列 `rhel-6` 專案 `suse-cloud`：SUSE 修補程式資訊 `sles-12-sp3-v20180104` 或映像檔系列 `sles-12` `sles-11-sp4-v20180104` 或映像檔系列 `sles-11` 專案 `suse-sap-cloud`： SUSE 修補程式資訊 `sles-12-sp3-sap-v20180104` 或映像檔系列 `sles-12-sp3-sap` `sles-12-sp2-sap-v20180104` 或映像檔系列 `sles-12-sp2-sap` 專案 `ubuntu-os-cloud`： Ubuntu 修補程式資訊 `ubuntu-1710-artful-v20180109` 或映像檔系列 `ubuntu-1710` `ubuntu-1604-xenial-v20180109` 或映像檔系列 `ubuntu-1604-lts` `ubuntu-1404-trusty-v20180110` 或映像檔系列 `ubuntu-1404-lts` 專案 `windows-cloud` 和 `windows-sql-cloud`：版本號碼為 `-v20180109` 以上的所有 Windows Server 和 SQL Server 公開映像檔都包含修補程式。不過，您必須按照 Microsoft 在Windows Server 指南支援公告中提供的應變措施建議，在現有和新建立的執行個體上啟用並驗證這些緩解措施。使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊。硬體廠商提供的修補程式 NVIDIA 提供經過修補的驅動程式，可防範針對已安裝 NVIDIA® 驅動程式軟體的系統進行的潛在攻擊。如要瞭解哪些驅動程式版本已修補，請參閱 NVIDIA 的 NVIDIA GPU 顯示卡驅動程式安全性更新安全性公告。修訂版本記錄： 2018 年 5 月 21 日 14:00 (太平洋標準時間)：新增 2018 年 5 月 21 日揭露的 2 個新型變種相關資訊。 2018 年 1 月 10 日 15:00 (太平洋標準時間)：新增修補完成的 Windows Server 和 SQL Server 公開映像檔相關資訊。 2018 年 1 月 10 日 10:15 (太平洋標準時間)：將多個 Ubuntu 映像檔新增至已修補公開映像檔清單。 2018 年 1 月 10 日 09:50 (太平洋標準時間)：新增硬體廠商提供的修補程式相關指南。 2018 年 1 月 3 日至 2018 年 1 月 9 日：多次修改已修補公開映像檔清單的內容。	高	CVE-2017-5753 CVE-2017-5715 CVE-2017-5754 CVE-2018-3640 CVE-2018-3639

2018 年 5 月 21 日更新

CVE-2018-3640 和 CVE-2018-3639 分別是變體 3a 和 4，由 Intel 揭露。與 Spectre 和 Meltdown 前三個變種的情況相同，執行 Compute Engine VM 執行個體的基礎架構具備充分的防護機制，因此未受到這個安全漏洞的影響。由於客戶 VM 執行個體彼此隔離，亦未受影響。另外，Compute Engine 預計將 Intel 的微碼修補程式部署至自有基礎架構。作業系統廠商與供應商提供可於 VM 內部執行的解決方法之後，在單一 VM 執行個體中處理不受信任或多用戶群工作負載的客戶即可啟用這類額外的解決方法。Intel 認證微碼修補程式後，Compute Engine 會部署這些修補程式，並在測試及確認修補程式適用於我們的正式環境後，才會部署。修補程式發布之後，我們會在這個頁面中提供更詳細的時程表與相關最新消息。

說明

這些 CVE 是新型攻擊的變體，會利用許多處理器提供的推測執行技術。這類攻擊可讓攻擊者在各種情況下，未經授權唯讀存取記憶體資料。

Compute Engine 使用 VM 即時遷移技術來執行主機系統和管理程序更新，因此您無須指派任何人加以管理，也不需要進行強制性維護作業或大規模重新啟動執行個體。不過請注意，無論訪客作業系統是在何種環境中運作，這類作業系統和版本都必須經過修補，否則可能會受到這種新型攻擊的威脅。

如要全面瞭解這種攻擊方法的相關技術資訊，請參閱 Project Zero 網誌文章。請參閱 Google 安全性網誌文章，完整瞭解 Google 的緩解措施，包括所有產品專屬資訊。

對 Compute Engine 的影響

執行 Compute Engine 並將客戶 VM 執行個體彼此隔離的基礎架構，可防範已知攻擊。我們的緩解措施可防止未經授權存取在 VM 執行個體內執行的應用程式。執行相同主機系統的其他 VM 執行個體也不會遭到未經授權的存取。

如要避免虛擬機器執行個體中發生未經授權的存取活動，您必須透過下列其中一種方法更新這些執行個體上的訪客作業系統：

使用修補過的公開映像檔重新建立現有 VM 執行個體。請參閱下方已修補的公開映像檔清單。
在現有的執行個體上安裝由作業系統廠商提供的修補程式，並重新啟動經過修補的執行個體。各家作業系統廠商已提供相關的修補程式資訊，請見下方連結。

修補完成的映像檔與廠商資源

注意事項：這則安全性公告通知列出了多項 CVE，但修補完成的映像檔中可能未含所有安全漏洞的修正內容。另外，不同映像檔中提供的攻擊防護方法可能不同。請向作業系統供應商確認其修補程式解決了哪些 CVE，以及他們採用的預防方法。

專案 cos-cloud：包含可防範變體 2 (CVE-2017-5715) 和變體 3 (CVE-2017-5754) 攻擊的修補程式。Google 在這些映像檔中使用了 Retpoline，以減少變體 2 攻擊。
- cos-stable-63-10032-71-0 或映像檔系列 cos-stable
專案 centos-cloud： CentOS 修補程式資訊
- centos-7-v20180104 或映像檔系列 centos-7
- centos-6-v20180104 或映像檔系列 centos-6
專案 coreos-cloud：CoreOS 修補程式資訊
- coreos-stable-1576-5-0-v20180105 或映像檔系列 coreos-stable
- coreos-beta-1632-1-0-v20180105 或映像檔系列 coreos-beta
- coreos-alpha-1649-0-0-v20180105 或映像檔系列 coreos-alpha
專案 debian-cloud： Debian 修補程式資訊
- debian-9-stretch-v20180105 或映像檔系列 debian-9
- debian-8-jessie-v20180109 或映像檔系列 debian-8
專案 rhel-cloud： RHEL 修補程式資訊
- rhel-7-v20180104 或映像檔系列 rhel-7
- rhel-6-v20180104 或映像檔系列 rhel-6
專案 suse-cloud：SUSE 修補程式資訊
- sles-12-sp3-v20180104 或映像檔系列 sles-12
- sles-11-sp4-v20180104 或映像檔系列 sles-11
專案 suse-sap-cloud： SUSE 修補程式資訊
- sles-12-sp3-sap-v20180104 或映像檔系列 sles-12-sp3-sap
- sles-12-sp2-sap-v20180104 或映像檔系列 sles-12-sp2-sap
專案 ubuntu-os-cloud： Ubuntu 修補程式資訊
- ubuntu-1710-artful-v20180109 或映像檔系列 ubuntu-1710
- ubuntu-1604-xenial-v20180109 或映像檔系列 ubuntu-1604-lts
- ubuntu-1404-trusty-v20180110 或映像檔系列 ubuntu-1404-lts
專案 windows-cloud 和 windows-sql-cloud：
- 版本號碼為 -v20180109 以上的所有 Windows Server 和 SQL Server 公開映像檔都包含修補程式。不過，您必須按照 Microsoft 在Windows Server 指南支援公告中提供的應變措施建議，在現有和新建立的執行個體上啟用並驗證這些緩解措施。

使用這些映像檔重新建立 VM 執行個體。這些公開映像檔的早期版本不含這些修補程式，也無法防範潛在攻擊。

硬體廠商提供的修補程式

NVIDIA 提供經過修補的驅動程式，可防範針對已安裝 NVIDIA® 驅動程式軟體的系統進行的潛在攻擊。如要瞭解哪些驅動程式版本已修補，請參閱 NVIDIA 的 NVIDIA GPU 顯示卡驅動程式安全性更新安全性公告。

修訂版本記錄：

2018 年 5 月 21 日 14:00 (太平洋標準時間)：新增 2018 年 5 月 21 日揭露的 2 個新型變種相關資訊。
2018 年 1 月 10 日 15:00 (太平洋標準時間)：新增修補完成的 Windows Server 和 SQL Server 公開映像檔相關資訊。
2018 年 1 月 10 日 10:15 (太平洋標準時間)：將多個 Ubuntu 映像檔新增至已修補公開映像檔清單。
2018 年 1 月 10 日 09:50 (太平洋標準時間)：新增硬體廠商提供的修補程式相關指南。
2018 年 1 月 3 日至 2018 年 1 月 9 日：多次修改已修補公開映像檔清單的內容。

高

發布日期：2017 年 10 月 2 日

說明	嚴重性	附註
Dnsmasq 提供 DNS、DHCP、路由器通告和網路開機服務。這個軟體通常安裝在桌機版本的 Linux (如 Ubuntu)、家用路由器和 IoT 裝置等各種系統中，並且廣泛使用於開放式網路和內部私人網絡。 Google 在定期的內部安全評估過程中，發現了七項值得注意的問題。在確定這些問題的嚴重性後，我們研究了它們的影響和可利用性，然後為每個問題建立內部概念驗證。我們還與 Dnsmasq 的維護人員 Simon Kelly 合作，製作了相應的修補程式來減緩問題。在審查期間，團隊發現三個潛在的遠端程式碼執行漏洞、一個資訊外洩漏洞，以及三個阻斷攻擊漏洞，這些漏洞會影響截至 2017 年 9 月 5 日專案 Git 伺服器上的最新版本。這些修補程式會上傳並提交至專案的 Git 存放區。對 Compute Engine 的影響根據預設，Dnsmasq 僅安裝在使用 NetworkManager 的映像檔中，且預設為停用狀態。下列 Compute Engine 公開映像檔已安裝 Dnsmasq： Ubuntu 16.04、16.10、17.04 CentOS 7 RHEL 7 但是，其他映像檔可能已安裝 Dnsmasq，做為其他套件的依附元件。建議您更新 Debian、Ubuntu、CentOS、RHEL、SLES 和 OpenSuse 執行個體，改用最新版作業系統映像檔。CoreOS 和 Container-Optimized OS 則不受影響。Windows 映像檔也不會受影響。執行 Debian 和 Ubuntu 的執行個體，可於執行個體中使用以下指令來更新： sudo apt-get -y update sudo apt-get -y dist-upgrade 如果是 Red Hat Enterprise Linux 和 CentOS 執行個體，請執行： sudo yum -y upgrade 如果是 SLES 和 OpenSUSE 映像檔，請執行： sudo zypper up 除了執行手動更新指令之外，也可以使用個別作業系統的映像檔系列，重新建立 VM 執行個體。	高	CVE-2017-14491 CVE-2017-14492 CVE-2017-14493 CVE-2017-14494 CVE-2017-14495 CVE-2017-14496 CVE-2017-13704

說明

嚴重性

附註

Dnsmasq 提供 DNS、DHCP、路由器通告和網路開機服務。這個軟體通常安裝在桌機版本的 Linux (如 Ubuntu)、家用路由器和 IoT 裝置等各種系統中，並且廣泛使用於開放式網路和內部私人網絡。

Google 在定期的內部安全評估過程中，發現了七項值得注意的問題。在確定這些問題的嚴重性後，我們研究了它們的影響和可利用性，然後為每個問題建立內部概念驗證。我們還與 Dnsmasq 的維護人員 Simon Kelly 合作，製作了相應的修補程式來減緩問題。

在審查期間，團隊發現三個潛在的遠端程式碼執行漏洞、一個資訊外洩漏洞，以及三個阻斷攻擊漏洞，這些漏洞會影響截至 2017 年 9 月 5 日專案 Git 伺服器上的最新版本。

這些修補程式會上傳並提交至專案的 Git 存放區。

對 Compute Engine 的影響

根據預設，Dnsmasq 僅安裝在使用 NetworkManager 的映像檔中，且預設為停用狀態。下列 Compute Engine 公開映像檔已安裝 Dnsmasq：

Ubuntu 16.04、16.10、17.04
CentOS 7
RHEL 7

但是，其他映像檔可能已安裝 Dnsmasq，做為其他套件的依附元件。建議您更新 Debian、Ubuntu、CentOS、RHEL、SLES 和 OpenSuse 執行個體，改用最新版作業系統映像檔。CoreOS 和 Container-Optimized OS 則不受影響。Windows 映像檔也不會受影響。

執行 Debian 和 Ubuntu 的執行個體，可於執行個體中使用以下指令來更新：

sudo apt-get -y update

sudo apt-get -y dist-upgrade

如果是 Red Hat Enterprise Linux 和 CentOS 執行個體，請執行：

sudo yum -y upgrade

如果是 SLES 和 OpenSUSE 映像檔，請執行：

sudo zypper up

除了執行手動更新指令之外，也可以使用個別作業系統的映像檔系列，重新建立 VM 執行個體。

高

發布日期：2016 年 10 月 26 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2016-5195 是 Linux 核心記憶體子系統在處理寫入存取時，唯讀私人對應 COW 情況中斷時的競爭狀況。不具權限的本機使用者可利用這項漏洞，取得唯讀記憶體對應的寫入權限，進而提升在系統上的權限。詳情請參閱 Dirty COW 常見問題。對 Compute Engine 的影響 Compute Engine 上的所有 Linux 發行版和版本都會受到影響。大多數的執行個體會自動下載並安裝較新的核心。不過，您必須重新啟動，才能修補執行中的系統。使用下列的 Compute Engine 映像檔新建或重新建立的執行個體已安裝修補過的核心。 `centos-6-v20161026` `centos-7-v20161025` `coreos-alpha-1192-2-0-v20161021` `coreos-beta-1185-2-0-v20161021` `coreos-stable-1122-3-0-v20161021` `debian-8-jessie-v20161020` `rhel-6-v20161026` `rhel-7-v20161024` `sles-11-sp4-v20161021` `sles-12-sp1-v20161021` `ubuntu-1204-precise-v20161020` `ubuntu-1404-trusty-v20161020` `ubuntu-1604-xenial-v20161020` `ubuntu-1610-yakkety-v20161020`	高	CVE-2016-5195

CVE-2016-5195 是 Linux 核心記憶體子系統在處理寫入存取時，唯讀私人對應 COW 情況中斷時的競爭狀況。

不具權限的本機使用者可利用這項漏洞，取得唯讀記憶體對應的寫入權限，進而提升在系統上的權限。

詳情請參閱 Dirty COW 常見問題。

對 Compute Engine 的影響

Compute Engine 上的所有 Linux 發行版和版本都會受到影響。大多數的執行個體會自動下載並安裝較新的核心。不過，您必須重新啟動，才能修補執行中的系統。

使用下列的 Compute Engine 映像檔新建或重新建立的執行個體已安裝修補過的核心。

centos-6-v20161026
centos-7-v20161025
coreos-alpha-1192-2-0-v20161021
coreos-beta-1185-2-0-v20161021
coreos-stable-1122-3-0-v20161021
debian-8-jessie-v20161020
rhel-6-v20161026
rhel-7-v20161024
sles-11-sp4-v20161021
sles-12-sp1-v20161021
ubuntu-1204-precise-v20161020
ubuntu-1404-trusty-v20161020
ubuntu-1604-xenial-v20161020
ubuntu-1610-yakkety-v20161020

高

CVE-2016-5195

發布日期：2016 年 2 月 16 日

上次更新日期：2016 年 2 月 22 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2015-7547 是一項安全漏洞，當軟體使用 `getaddrinfo()` 程式庫函式時，glibc DNS 用戶端解析器會使軟體容易受到堆疊緩衝區溢位的影響。攻擊者可利用使用這項函式的軟體，透過攻擊者控制的網域名稱、攻擊者控制的 DNS 伺服器，或透過中間人攻擊，來利用這項安全漏洞。詳情請參閱 Google 安全性網誌文章或常見安全漏洞與弱點 (CVE) 資料庫。對 Compute Engine 的影響更新 (2016-02-22)：現可使用 CoreOS、SLES 和 OpenSUSE 映像檔，重新建立您的執行個體： `coreos-alpha-962-0-0-v20160218` `coreos-beta-899-7-0-v20160218` `coreos-stable-835-13-0-v20160218` `opensuse-13-2-v20160222` `opensuse-leap-42-1-v20160222` `sles-11-sp4-v20160222` `sles-12-sp1-v20160222` 更新 (2016 年 2 月 17 日)：現可在 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 15.10 執行個體上，使用下列指令來更新： `user@my-instance:~$ sudo apt-get -y update` `user@my-instance:~$ sudo apt-get -y dist-upgrade` `user@my-instance:~$ sudo reboot` 除了執行手動更新指令之外，也可以利用下列的新映像檔來重新建立執行個體： `backports-debian-7-wheezy-v20160216` `centos-6-v20160216` `centos-7-v20160216` `debian-7-wheezy-v20160216` `debian-8-jessie-v20160216` `rhel-6-v20160216` `rhel-7-v20160216` `ubuntu-1204-precise-v20160217a` `ubuntu-1404-trusty-v20160217a` `ubuntu-1510-wily-v20160217` 我們雖然不知道任何以 glibc 預設配置透過 Compute Engine 的 DNS 解析器來利用這個安全漏洞的方法。建議您盡快修補虛擬機器執行個體，因為隨著時間推移，任何新安全漏洞都可能出現新的攻擊方法。如果您已啟用 edns0 (預設為停用)，請停用這項功能，直到執行個體完成修補為止。原始公告：您的 Linux 發行版可能存有安全漏洞。如果 Compute Engine 客戶執行的是 Linux OS，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。執行 Debian 的執行個體，可於執行個體中使用以下指令來更新： `user@my-instance:~$ sudo apt-get -y update` `user@my-instance:~$ sudo apt-get -y dist-upgrade` `user@my-instance:~$ sudo reboot` 另外，我們建議您為 Debian 執行個體安裝UnattendedUpgrades。如果是 Red Hat Enterprise Linux 執行個體，指令如下： `user@my-instance:~$ sudo yum -y upgrade` `user@my-instance:~$ sudo reboot` 我們會持續更新這份公告，提供其他作業系統維護人員發布的這個安全漏洞修補程式，以及 Compute Engine 發布的更新版 OS 映像檔。	高	CVE-2015-7547

CVE-2015-7547 是一項安全漏洞，當軟體使用 getaddrinfo() 程式庫函式時，glibc DNS 用戶端解析器會使軟體容易受到堆疊緩衝區溢位的影響。攻擊者可利用使用這項函式的軟體，透過攻擊者控制的網域名稱、攻擊者控制的 DNS 伺服器，或透過中間人攻擊，來利用這項安全漏洞。

詳情請參閱 Google 安全性網誌文章或常見安全漏洞與弱點 (CVE) 資料庫。

對 Compute Engine 的影響

更新 (2016-02-22)：

現可使用 CoreOS、SLES 和 OpenSUSE 映像檔，重新建立您的執行個體：

coreos-alpha-962-0-0-v20160218
coreos-beta-899-7-0-v20160218
coreos-stable-835-13-0-v20160218
opensuse-13-2-v20160222
opensuse-leap-42-1-v20160222
sles-11-sp4-v20160222
sles-12-sp1-v20160222

更新 (2016 年 2 月 17 日)：

現可在 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 15.10 執行個體上，使用下列指令來更新：

user@my-instance:~$ sudo apt-get -y update
user@my-instance:~$ sudo apt-get -y dist-upgrade
user@my-instance:~$ sudo reboot

除了執行手動更新指令之外，也可以利用下列的新映像檔來重新建立執行個體：

backports-debian-7-wheezy-v20160216
centos-6-v20160216
centos-7-v20160216
debian-7-wheezy-v20160216
debian-8-jessie-v20160216
rhel-6-v20160216
rhel-7-v20160216
ubuntu-1204-precise-v20160217a
ubuntu-1404-trusty-v20160217a
ubuntu-1510-wily-v20160217

我們雖然不知道任何以 glibc 預設配置透過 Compute Engine 的 DNS 解析器來利用這個安全漏洞的方法。建議您盡快修補虛擬機器執行個體，因為隨著時間推移，任何新安全漏洞都可能出現新的攻擊方法。如果您已啟用 edns0 (預設為停用)，請停用這項功能，直到執行個體完成修補為止。

原始公告：

您的 Linux 發行版可能存有安全漏洞。如果 Compute Engine 客戶執行的是 Linux OS，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。

執行 Debian 的執行個體，可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get -y update
user@my-instance:~$ sudo apt-get -y dist-upgrade
user@my-instance:~$ sudo reboot

另外，我們建議您為 Debian 執行個體安裝UnattendedUpgrades。

如果是 Red Hat Enterprise Linux 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

我們會持續更新這份公告，提供其他作業系統維護人員發布的這個安全漏洞修補程式，以及 Compute Engine 發布的更新版 OS 映像檔。

高

CVE-2015-7547

發布日期：2015 年 3 月 19 日

說明	嚴重性	附註
CVE-2015-1427 是一項安全漏洞，Elasticsearch 1.3.8 之前版本和 1.4.3 之前任何 1.4.x 版本的 Groovy 指令碼引擎，可讓遠端攻擊者略過沙箱保護機制，並執行任意殼層指令。詳情請參閱國家安全漏洞資料庫 (NVD)或常見安全漏洞與弱點 (CVE) 資料庫。對 Compute Engine 的影響如果您在 Compute Engine 執行個體上執行 Elasticsearch，應將 Elasticsearch 版本升級至 1.4.3 以上版本。如果您已經升級了 Elasticsearch 軟體，則不會受到這個安全漏洞的影響。如果尚未升級至 Elasticsearch 1.4.3 以上版本，可以執行滾動升級。如果您在 Google Cloud console中使用點擊部署部署 Elasticsearch，可以刪除部署作業，移除執行 Elasticsearch 的執行個體。 Google Cloud 團隊正在設法修正問題，以便部署更新版的 Elasticsearch。不過， Google Cloud console中的「點擊部署」功能尚未提供修正程式。	高	CVE-2015-1427

說明

嚴重性

附註

CVE-2015-1427 是一項安全漏洞，Elasticsearch 1.3.8 之前版本和 1.4.3 之前任何 1.4.x 版本的 Groovy 指令碼引擎，可讓遠端攻擊者略過沙箱保護機制，並執行任意殼層指令。

詳情請參閱國家安全漏洞資料庫 (NVD)或常見安全漏洞與弱點 (CVE) 資料庫。

對 Compute Engine 的影響

如果您在 Compute Engine 執行個體上執行 Elasticsearch，應將 Elasticsearch 版本升級至 1.4.3 以上版本。如果您已經升級了 Elasticsearch 軟體，則不會受到這個安全漏洞的影響。

如果尚未升級至 Elasticsearch 1.4.3 以上版本，可以執行滾動升級。

如果您在 Google Cloud console中使用點擊部署部署 Elasticsearch，可以刪除部署作業，移除執行 Elasticsearch 的執行個體。

Google Cloud 團隊正在設法修正問題，以便部署更新版的 Elasticsearch。不過， Google Cloud console中的「點擊部署」功能尚未提供修正程式。

高

CVE-2015-1427

發布日期：2015 年 1 月 29 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2015-0235 (Ghost) 是 glibc 程式庫中的一個安全漏洞。 App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這項安全漏洞。 Compute Engine 的客戶可能需要更新 OS 映像檔。對 Compute Engine 的影響您的 Linux 發行版可能有安全漏洞。如果 Compute Engine 客戶執行的是 Debian 7、Debian 7 backports、Ubuntu 12.04 LTS、Red Hat Enterprise Linux、CentOS 或 SUSE Linux Enterprise Server 11 SP3，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。這項安全漏洞不會影響 Ubuntu 14.04 LTS、Ubuntu 14.10 或 SUSE Linux Enterprise Server 12。我們建議您升級您的 Linux 發行版。執行 Debian 7、Debian 7 backports 或 Ubuntu 12.04 LTS 的執行個體，可於執行個體中使用以下指令來更新： `user@my-instance:~$ sudo apt-get update` `user@my-instance:~$ sudo apt-get -y upgrade` `user@my-instance:~$ sudo reboot` 如果是 Red Hat Enterprise Linux 或 CentOS 執行個體，指令如下： `user@my-instance:~$ sudo yum -y upgrade` `user@my-instance:~$ sudo reboot` 如果是 SUSE Linux Enterprise Server 11 SP3 執行個體，指令如下： `user@my-instance:~$ sudo zypper --non-interactive up` `user@my-instance:~$ sudo reboot` 除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體： `debian-7-wheezy-v20150127` `backports-debian-7-wheezy-v20150127` `centos-6-v20150127` `centos-7-v20150127` `rhel-6-v20150127` `rhel-7-v20150127` `sles-11-sp3-v20150127` `ubuntu-1204-precise-v20150127` 對 Google 代管 VM 的影響使用 `gcloud preview app deploy` 的代管 VM 使用者必須使用 `gcloud preview app setup-managed-vms` 更新基礎 Docker 容器，並使用 `gcloud preview app deploy` 重新部署每個執行中的應用程式。使用 `appcfg` 部署的使用者不必採取任何行動，系統會自動升級。	高	CVE-2015-0235

CVE-2015-0235 (Ghost) 是 glibc 程式庫中的一個安全漏洞。

App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這項安全漏洞。

Compute Engine 的客戶可能需要更新 OS 映像檔。

對 Compute Engine 的影響

您的 Linux 發行版可能有安全漏洞。如果 Compute Engine 客戶執行的是 Debian 7、Debian 7 backports、Ubuntu 12.04 LTS、Red Hat Enterprise Linux、CentOS 或 SUSE Linux Enterprise Server 11 SP3，則必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。

這項安全漏洞不會影響 Ubuntu 14.04 LTS、Ubuntu 14.10 或 SUSE Linux Enterprise Server 12。

我們建議您升級您的 Linux 發行版。執行 Debian 7、Debian 7 backports 或 Ubuntu 12.04 LTS 的執行個體，可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

如果是 Red Hat Enterprise Linux 或 CentOS 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

如果是 SUSE Linux Enterprise Server 11 SP3 執行個體，指令如下：

user@my-instance:~$ sudo zypper --non-interactive up
user@my-instance:~$ sudo reboot

除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體：

debian-7-wheezy-v20150127
backports-debian-7-wheezy-v20150127
centos-6-v20150127
centos-7-v20150127
rhel-6-v20150127
rhel-7-v20150127
sles-11-sp3-v20150127
ubuntu-1204-precise-v20150127

對 Google 代管 VM 的影響

使用 gcloud preview app deploy 的代管 VM 使用者必須使用 gcloud preview app setup-managed-vms 更新基礎 Docker 容器，並使用 gcloud preview app deploy 重新部署每個執行中的應用程式。使用 appcfg 部署的使用者不必採取任何行動，系統會自動升級。

高

CVE-2015-0235

發布日期：2014 年 10 月 15 日

上次更新時間：2014 年 10 月 17 日

說明嚴重性附註

說明	嚴重性	附註
CVE-2014-3566 (又稱為 POODLE) 是 SSL 3.0 版設計中的安全漏洞。網路攻擊者可利用這項弱點，計算安全連線的純文字。詳情請參閱我們有關這項安全漏洞的網誌文章。 App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這個安全漏洞。Compute Engine 客戶必須更新 OS 映像檔。對 Compute Engine 的影響更新 (2014 年 10 月 17 日)：如果您使用 SSLv3，可能會受到攻擊。Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。我們建議您升級您的 Linux 發行版。執行 Debian 的執行個體，可於執行個體中使用以下指令來更新： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot 如果是 CentOS 執行個體，指令如下： user@my-instance:~$ sudo yum -y upgrade user@my-instance:~$ sudo reboot 除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體： `centos-6-v20141016` `centos-7-v20141016` `debian-7-wheezy-v20141017` `backports-debian-7-wheezy-v20141017` 我們會在取得 RHEL 和 SLES 映像檔後，更新相關公告。在此期間，RHEL 使用者可以直接諮詢 Red Hat，瞭解更多資訊。原始公告： Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。新的 OS 映像檔推出後，我們會更新這份安全性公告，並提供操作說明。	中	CVE-2014-3566

CVE-2014-3566 (又稱為 POODLE) 是 SSL 3.0 版設計中的安全漏洞。網路攻擊者可利用這項弱點，計算安全連線的純文字。詳情請參閱我們有關這項安全漏洞的網誌文章。

App Engine、Cloud Storage、BigQuery 和 Cloud SQL 客戶無須採取任何行動。Google 伺服器已更新，可防範這個安全漏洞。Compute Engine 客戶必須更新 OS 映像檔。

對 Compute Engine 的影響

更新 (2014 年 10 月 17 日)：

如果您使用 SSLv3，可能會受到攻擊。Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。

我們建議您升級您的 Linux 發行版。執行 Debian 的執行個體，可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

如果是 CentOS 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade
user@my-instance:~$ sudo reboot

除了執行手動更新指令之外，使用者也可利用下列的新映像檔重新建立執行個體：

centos-6-v20141016
centos-7-v20141016
debian-7-wheezy-v20141017
backports-debian-7-wheezy-v20141017

我們會在取得 RHEL 和 SLES 映像檔後，更新相關公告。在此期間，RHEL 使用者可以直接諮詢 Red Hat，瞭解更多資訊。

原始公告：

Compute Engine 客戶必須更新執行個體的 OS 映像檔，才能消除這項安全漏洞。新的 OS 映像檔推出後，我們會更新這份安全性公告，並提供操作說明。

中

CVE-2014-3566

發布日期：2014 年 9 月 24 日

上次更新時間：2014 年 9 月 29 日

說明嚴重性附註

說明	嚴重性	附註
bash 有一項錯誤 (CVE-2014-6271)，可讓攻擊者透過剖析任何受控環境變數，遠端執行程式碼。最有可能的攻擊媒介是透過惡意 HTTP 要求，對網路伺服器上公開的 CGI 指令碼發動攻擊。詳情請參閱錯誤說明。除了 2014 年 9 月 26 日之前的 Compute Engine 客體 OS 映像檔外， Google Cloud 產品的 Bash 錯誤都已獲得修正。請參閱下面的步驟來排除 Compute Engine 映像檔中的錯誤。對 Compute Engine 的影響使用 CGI 指令碼的網站幾乎都會受到這個錯誤影響。此外，凡是依賴 PHP、Perl、Python、SSI、Java、C++ 和類似 Servlet 的網站，只要使用 `popen`、`system`、`shell_exec` 或類似 API 呼叫殼層指令，都可能受到影響。此外，如果系統嘗試使用 SSH 指令限制或 bash 受限殼層等機制，允許受控管的登入存取權給受限制的使用者，也可能會受到影響。更新 (2014-09-29)：除了執行下列手動更新指令，使用者現在也可以使用可防範其他 Bash 安全性錯誤相關安全漏洞的映像檔，重新建立執行個體，包括 CVE-2014-7169、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186 和 CVE-2014-7187。請使用下列新映像檔重新建立執行個體： `centos-6-v20140926` `centos-7-v20140926` `debian-7-wheezy-v20140926` `backports-debian-7-wheezy-v20140926` `rhel-6-v20140926` 更新 (2014-09-25)：使用者現可選擇重新建立執行個體，而不必執行手動更新。如要重新建立您的執行個體，請使用以下已對這個安全漏洞進行修正的新映像檔： `backports-debian-7-wheezy-v20140924` `debian-7-wheezy-v20140924` `rhel-6-v20140924` `centos-6-v20140924` `centos-7-v20140924` 至於 RHEL 和 SUSE 映像檔，可於執行個體上使用下列指令來手動更新： # RHEL instances user@my-instance:~$ sudo yum -y upgrade # SUSE instances user@my-instance:~$ sudo zypper --non-interactive up 原始公告：我們建議您升級您的 Linux 發行版。如果是執行 Debian 的執行個體，您可於執行個體中使用以下指令來更新： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade 如果是 CentOS 執行個體，指令如下： user@my-instance:~$ sudo yum -y upgrade 如需詳細信息，請查看個別的 Linux 發行版公告：原始修補程式：http://ftp.gnu.org/gnu/bash/ (請見結尾為 *-patches 的項目，以找到適當版本) Debian：[SECURITY] [DSA 3032-1] bash 安全性更新 RHEL： RHSA-2014:1293-01 RHSA-2014:1294-01 CentOS 5：[CentOS-通告] CESA-2014:1293 CentOS 6：[CentOS-通告] CESA-2014:1293 CentOS 7：[CentOS-通告] CESA-2014:1293	高	CVE-2014-7169、CVE-2014-6271、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186、CVE-2014-7187

bash 有一項錯誤 (CVE-2014-6271)，可讓攻擊者透過剖析任何受控環境變數，遠端執行程式碼。最有可能的攻擊媒介是透過惡意 HTTP 要求，對網路伺服器上公開的 CGI 指令碼發動攻擊。詳情請參閱錯誤說明。

除了 2014 年 9 月 26 日之前的 Compute Engine 客體 OS 映像檔外， Google Cloud 產品的 Bash 錯誤都已獲得修正。請參閱下面的步驟來排除 Compute Engine 映像檔中的錯誤。

對 Compute Engine 的影響

使用 CGI 指令碼的網站幾乎都會受到這個錯誤影響。此外，凡是依賴 PHP、Perl、Python、SSI、Java、C++ 和類似 Servlet 的網站，只要使用 popen、system、shell_exec 或類似 API 呼叫殼層指令，都可能受到影響。此外，如果系統嘗試使用 SSH 指令限制或 bash 受限殼層等機制，允許受控管的登入存取權給受限制的使用者，也可能會受到影響。

更新 (2014-09-29)：

除了執行下列手動更新指令，使用者現在也可以使用可防範其他 Bash 安全性錯誤相關安全漏洞的映像檔，重新建立執行個體，包括 CVE-2014-7169、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186 和 CVE-2014-7187。請使用下列新映像檔重新建立執行個體：

centos-6-v20140926
centos-7-v20140926
debian-7-wheezy-v20140926
backports-debian-7-wheezy-v20140926
rhel-6-v20140926

更新 (2014-09-25)：

使用者現可選擇重新建立執行個體，而不必執行手動更新。如要重新建立您的執行個體，請使用以下已對這個安全漏洞進行修正的新映像檔：

backports-debian-7-wheezy-v20140924
debian-7-wheezy-v20140924
rhel-6-v20140924
centos-6-v20140924
centos-7-v20140924

至於 RHEL 和 SUSE 映像檔，可於執行個體上使用下列指令來手動更新：

# RHEL instances
user@my-instance:~$ sudo yum -y upgrade

# SUSE instances
user@my-instance:~$ sudo zypper --non-interactive up

原始公告：

我們建議您升級您的 Linux 發行版。如果是執行 Debian 的執行個體，您可於執行個體中使用以下指令來更新：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade

如果是 CentOS 執行個體，指令如下：

user@my-instance:~$ sudo yum -y upgrade

如需詳細信息，請查看個別的 Linux 發行版公告：

原始修補程式：http://ftp.gnu.org/gnu/bash/ (請見結尾為 *-patches 的項目，以找到適當版本)
Debian：[SECURITY] [DSA 3032-1] bash 安全性更新
RHEL：
- RHSA-2014:1293-01
- RHSA-2014:1294-01
CentOS 5：[CentOS-通告] CESA-2014:1293
CentOS 6：[CentOS-通告] CESA-2014:1293
CentOS 7：[CentOS-通告] CESA-2014:1293

高

CVE-2014-7169、CVE-2014-6271、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186、CVE-2014-7187

發布日期：2014 年 7 月 25 日

說明嚴重性附註

說明	嚴重性	附註
Elasticsearch Logstash 容易受到 OS 指令注入攻擊，這會允許未經授權的修改和資料揭露。攻擊者可以將精心設計的事件傳送至任何 Logstash 資料來源，進而以 Logstash 程序的權限執行指令。對 Compute Engine 的影響如果 Compute Engine 執行個體執行的 Elasticsearch Logstash 版本低於 1.4.2，且已啟用 zabbix 或 nagios_nsca 輸出，就會受到這個安全漏洞影響。為了防止攻擊，您可以：升級到 Logstash 1.4.2 為 1.3.x 版套用修補程式停用 `zabbix` 和 `nagios_nsca` 輸出內容。詳情請參閱 Logstash 網誌。 Elasticsearch 也建議使用防火牆，防止不受信任的 IP 遠端存取。	高	CVE-2014-4326

Elasticsearch Logstash 容易受到 OS 指令注入攻擊，這會允許未經授權的修改和資料揭露。攻擊者可以將精心設計的事件傳送至任何 Logstash 資料來源，進而以 Logstash 程序的權限執行指令。

對 Compute Engine 的影響

如果 Compute Engine 執行個體執行的 Elasticsearch Logstash 版本低於 1.4.2，且已啟用 zabbix 或 nagios_nsca 輸出，就會受到這個安全漏洞影響。為了防止攻擊，您可以：

升級到 Logstash 1.4.2
為 1.3.x 版套用修補程式
停用 zabbix 和 nagios_nsca 輸出內容。

詳情請參閱 Logstash 網誌。

Elasticsearch 也建議使用防火牆，防止不受信任的 IP 遠端存取。

高

CVE-2014-4326

發布日期：2014 年 6 月 18 日

說明	嚴重性	附註
我們想花點時間，回應客戶對在 Google Cloud上執行 Docker 容器時，可能產生的安全性疑慮。這包括使用 App Engine 擴充功能的客戶，這些擴充功能支援 Docker 容器、容器最佳化虛擬機器或開放原始碼 Kubernetes 排程器。 Docker 已妥善處理這個問題，您可以前往這裡查看他們的網誌回應。請注意，正如他們在回覆中所說，揭露的問題僅適用於 Docker 0.11，這是正式生產前的舊版本。當全世界都在思考容器安全性時，我們想指出，在 Google Cloud中，以 Linux 應用程式容器為基礎的解決方案 (特別是 Docker 容器) 是在完整的虛擬機器 (Compute Engine) 中執行。雖然我們支持 Docker 社群加強在 Linux 應用程式容器堆疊上的努力，但我們認識到這是一項新的技術，而且牽涉範圍廣大。我們相信就目前來說，完整的管理程序（虛擬機器）提供了更精簡和更具防禦性的介面區。虛擬機器一開始的設計目的，就是隔離惡意工作負載，並盡可能降低程式碼錯誤的可能性和影響。客戶可以放心，他們與任何第三方、潛在惡意程式碼之間，存在完整的管理程序邊界。如果我們認為 Linux 應用程式容器堆疊的穩健程度，已足以支援多租戶工作負載時，我們將會讓社群知道這一點。就目前來說，Linux 應用程式容器不會取代虛擬機器。這能讓你充分發揮這項工具的效益。	低	Docker 網誌文章

說明

嚴重性

附註

我們想花點時間，回應客戶對在 Google Cloud上執行 Docker 容器時，可能產生的安全性疑慮。這包括使用 App Engine 擴充功能的客戶，這些擴充功能支援 Docker 容器、容器最佳化虛擬機器或開放原始碼 Kubernetes 排程器。

Docker 已妥善處理這個問題，您可以前往這裡查看他們的網誌回應。請注意，正如他們在回覆中所說，揭露的問題僅適用於 Docker 0.11，這是正式生產前的舊版本。

當全世界都在思考容器安全性時，我們想指出，在 Google Cloud中，以 Linux 應用程式容器為基礎的解決方案 (特別是 Docker 容器) 是在完整的虛擬機器 (Compute Engine) 中執行。雖然我們支持 Docker 社群加強在 Linux 應用程式容器堆疊上的努力，但我們認識到這是一項新的技術，而且牽涉範圍廣大。我們相信就目前來說，完整的管理程序（虛擬機器）提供了更精簡和更具防禦性的介面區。虛擬機器一開始的設計目的，就是隔離惡意工作負載，並盡可能降低程式碼錯誤的可能性和影響。

客戶可以放心，他們與任何第三方、潛在惡意程式碼之間，存在完整的管理程序邊界。如果我們認為 Linux 應用程式容器堆疊的穩健程度，已足以支援多租戶工作負載時，我們將會讓社群知道這一點。就目前來說，Linux 應用程式容器不會取代虛擬機器。這能讓你充分發揮這項工具的效益。

低

Docker 網誌文章

發布日期：2014 年 6 月 5 日

上次更新時間：2014 年 6 月 9 日

說明嚴重性附註

說明	嚴重性	附註
OpenSSL 有個問題，就是 `ChangeCipherSpec` 訊息未正確繫結至交握狀態機器。因此可在握手處理過程中，將訊息提前注入。如此一來，攻擊者就能蓄意操弄握手作業的漏洞，強行在 OpenSSL SSL/TLS 用戶端和伺服器中使用安全性低的加密材料。這可能會遭到中間人 (PITM) 攻擊，攻擊者可以解密及修改受攻擊用戶端和伺服器的流量。這個問題已識別為 CVE-2014-0224。OpenSSL 團隊已修正了這個問題，並提醒 OpenSSL 社群更新 OpenSSL。對 Compute Engine 的影響這項安全漏洞會影響所有使用 OpenSSL 的 Compute Engine 執行個體，包括 Debian、CentOS、Red Hat Enterprise Linux 和 SUSE Linux Enterprise Server。您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件，藉此更新執行個體。更新 (2014 年 6 月 9 日)：要利用新映像檔更新執行 SUSE Linux Enterprise Server 的執行個體，請使用下列映像檔版本或更新版本重新建立執行個體： `sles-11-sp3-v20140609` 原始貼文：要利用新映像檔更新 Debian 和 CentOS 的執行個體，請使用下列任一映像檔版本或更新版本重新建立執行個體： `debian-7-wheezy-v20140605` `backports-debian-7-wheezy-v20140605` `centos-6-v20140605` `rhel-6-v20140605` 如要手動更新執行個體上的 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來更新 OpenSSL： user@my-instance:~$ sudo yum -y update user@my-instance:~$ sudo reboot 若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot 若是執行 SUSE Linux Enterprise Server 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本： user@my-instance:~$ sudo zypper --non-interactive up user@my-instance:~$ sudo reboot	中	CVE-2014-0224

OpenSSL 有個問題，就是 ChangeCipherSpec 訊息未正確繫結至交握狀態機器。因此可在握手處理過程中，將訊息提前注入。如此一來，攻擊者就能蓄意操弄握手作業的漏洞，強行在 OpenSSL SSL/TLS 用戶端和伺服器中使用安全性低的加密材料。這可能會遭到中間人 (PITM) 攻擊，攻擊者可以解密及修改受攻擊用戶端和伺服器的流量。

這個問題已識別為 CVE-2014-0224。OpenSSL 團隊已修正了這個問題，並提醒 OpenSSL 社群更新 OpenSSL。

對 Compute Engine 的影響

這項安全漏洞會影響所有使用 OpenSSL 的 Compute Engine 執行個體，包括 Debian、CentOS、Red Hat Enterprise Linux 和 SUSE Linux Enterprise Server。您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件，藉此更新執行個體。

更新 (2014 年 6 月 9 日)：要利用新映像檔更新執行 SUSE Linux Enterprise Server 的執行個體，請使用下列映像檔版本或更新版本重新建立執行個體：

sles-11-sp3-v20140609

原始貼文：

要利用新映像檔更新 Debian 和 CentOS 的執行個體，請使用下列任一映像檔版本或更新版本重新建立執行個體：

debian-7-wheezy-v20140605
backports-debian-7-wheezy-v20140605
centos-6-v20140605
rhel-6-v20140605

如要手動更新執行個體上的 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來更新 OpenSSL：

user@my-instance:~$ sudo yum -y update
user@my-instance:~$ sudo reboot

若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get -y upgrade
user@my-instance:~$ sudo reboot

若是執行 SUSE Linux Enterprise Server 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本：

user@my-instance:~$ sudo zypper --non-interactive up
user@my-instance:~$ sudo reboot

中

CVE-2014-0224

發布日期：2014 年 4 月 8 日

說明嚴重性附註

說明	嚴重性	附註
OpenSSL 1.0.1 (1.0.1g 之前的版本) 中的 (1) TLS 和 (2) DTLS 實作項目無法正確處理 Heartbeat Extension 封包，因此遠端攻擊者可使用觸發緩衝區過度讀取的特製封包，從程序記憶體取得機密資訊 (如私密金鑰)，這與 `d1_both.c` 和 `t1_lib.c` 相關，也稱為 Heartbleed 錯誤。對 Compute Engine 的影響這個安全漏洞會影響所有未安裝最新版 OpenSSL 的 Compute Engine Debian、RHEL 和 CentOS 執行個體。如要更新執行個體，您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件。要使用新映像檔更新執行個體，請利用下列任一映像檔版本或更新版本重新建立執行個體： `debian-7-wheezy-v20140408` `backports-debian-7-wheezy-v20140408` `centos-6-v20140408` `rhel-6-v20140408` 如要在執行個體上更新 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本： user@my-instance:~$ sudo yum update user@my-instance:~$ sudo reboot 若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL： user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get upgrade user@my-instance:~$ sudo reboot 執行 SUSE Linux 的執行個體不受影響。 2014 年 4 月 14 日更新：根據有關使用 Heartbleed 錯誤擷取金鑰的新研究，Compute Engine 建議 Compute Engine 客戶為所有受影響的 SSL 服務建立新金鑰。	中	CVE-2014-0160

OpenSSL 1.0.1 (1.0.1g 之前的版本) 中的 (1) TLS 和 (2) DTLS 實作項目無法正確處理 Heartbeat Extension 封包，因此遠端攻擊者可使用觸發緩衝區過度讀取的特製封包，從程序記憶體取得機密資訊 (如私密金鑰)，這與 d1_both.c 和 t1_lib.c 相關，也稱為 Heartbleed 錯誤。

對 Compute Engine 的影響

這個安全漏洞會影響所有未安裝最新版 OpenSSL 的 Compute Engine Debian、RHEL 和 CentOS 執行個體。如要更新執行個體，您可以使用新映像檔重新建立執行個體，或手動更新執行個體上的套件。

要使用新映像檔更新執行個體，請利用下列任一映像檔版本或更新版本重新建立執行個體：

debian-7-wheezy-v20140408
backports-debian-7-wheezy-v20140408
centos-6-v20140408
rhel-6-v20140408

如要在執行個體上更新 OpenSSL，請執行下列指令來更新適當的套件。若是執行 CentOS 和 RHEL 的執行個體，可於執行個體中使用這些指令來確保 OpenSSL 是最新版本：

user@my-instance:~$ sudo yum update
user@my-instance:~$ sudo reboot

若是執行 Debian 的執行個體，可於執行個體中使用以下指令來更新 OpenSSL：

user@my-instance:~$ sudo apt-get update
user@my-instance:~$ sudo apt-get upgrade
user@my-instance:~$ sudo reboot

執行 SUSE Linux 的執行個體不受影響。

2014 年 4 月 14 日更新：根據有關使用 Heartbleed 錯誤擷取金鑰的新研究，Compute Engine 建議 Compute Engine 客戶為所有受影響的 SSL 服務建立新金鑰。

中

CVE-2014-0160

發布日期：2013 年 6 月 7 日

說明嚴重性附註

說明	嚴重性	附註
注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。 Linux 核心 3.9.4 版 (含) 之前的 Broadcom B43 無線驅動程式中，`drivers/net/wireless/b43/main.c` 內 `b43_request_firmware` 函式的格式字串漏洞，可讓本機使用者利用根層級存取權，並在 `fwpostfix` modprobe 參數中加入格式字串指定碼，藉此取得權限，導致錯誤訊息建構不當。對 Compute Engine 的影響這個安全漏洞會影響 `gcg-3.3.8-201305291443` 以前的所有 Compute Engine 核心。為此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130603`。`gce-v20130603` 包含核心 `gcg-3.3.8-201305291443`，其中含有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	中	CVE-2013-2852

注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。

Linux 核心 3.9.4 版 (含) 之前的 Broadcom B43 無線驅動程式中，drivers/net/wireless/b43/main.c 內 b43_request_firmware 函式的格式字串漏洞，可讓本機使用者利用根層級存取權，並在 fwpostfix modprobe 參數中加入格式字串指定碼，藉此取得權限，導致錯誤訊息建構不當。

對 Compute Engine 的影響

這個安全漏洞會影響 gcg-3.3.8-201305291443 以前的所有 Compute Engine 核心。為此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130603。gce-v20130603 包含核心 gcg-3.3.8-201305291443，其中含有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

中

CVE-2013-2852

發布日期：2013 年 6 月 7 日

說明嚴重性附註

說明	嚴重性	附註
注意：這項安全漏洞僅適用於核心，而核心已遭淘汰，並自 API 版本 v1 起移除。 Linux 核心 3.9.4 之前的版本中，`block/genhd.c` 的 register_disk 函式存在格式字串安全漏洞，可讓本機使用者利用根存取權，將格式字串說明符寫入 `/sys/module/md_mod/parameters/new_array`，藉此建立精心設計的 `/dev/md` 裝置名稱，進而取得權限。對 Compute Engine 的影響這個安全漏洞會影響 `gcg-3.3.8-201305291443` 之前的所有 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130603`。`gce-v20130603` 包含核心 `gcg-3.3.8-201305291443`，其中含有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	中	CVE-2013-2851

注意：這項安全漏洞僅適用於核心，而核心已遭淘汰，並自 API 版本 v1 起移除。

Linux 核心 3.9.4 之前的版本中，block/genhd.c 的 register_disk 函式存在格式字串安全漏洞，可讓本機使用者利用根存取權，將格式字串說明符寫入 /sys/module/md_mod/parameters/new_array，藉此建立精心設計的 /dev/md 裝置名稱，進而取得權限。

對 Compute Engine 的影響

這個安全漏洞會影響 gcg-3.3.8-201305291443 之前的所有 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130603。gce-v20130603 包含核心 gcg-3.3.8-201305291443，其中含有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

中

CVE-2013-2851

發布日期：2013 年 5 月 14 日

說明嚴重性附註

說明	嚴重性	附註
注意：這項安全漏洞僅適用於核心，而核心已遭淘汰，並自 API 版本 v1 起移除。 Linux 核心 3.8.9 之前的版本中，`kernel/events/core.c` 的 perf_swevent_init 函式使用不正確的 `integer` 資料型別，導致本機使用者可透過精心設計的 `perf_event_open` 系統呼叫取得權限。對 Compute Engine 的影響這項安全漏洞會影響所有早於 `gcg-3.3.8-201305211623` 的 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130521`。`gce-v20130521` 包含核心 `gcg-3.3.8-201305211623`，其中含有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	高	CVE-2013-2094

注意：這項安全漏洞僅適用於核心，而核心已遭淘汰，並自 API 版本 v1 起移除。

Linux 核心 3.8.9 之前的版本中，kernel/events/core.c 的 perf_swevent_init 函式使用不正確的 integer 資料型別，導致本機使用者可透過精心設計的 perf_event_open 系統呼叫取得權限。

對 Compute Engine 的影響

這項安全漏洞會影響所有早於 gcg-3.3.8-201305211623 的 Compute Engine 核心。因此，Compute Engine 已淘汰所有舊版核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130521。gce-v20130521 包含核心 gcg-3.3.8-201305211623，其中含有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

高

CVE-2013-2094

發布日期：2013 年 2 月 18 日

說明嚴重性附註

說明	嚴重性	附註
注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。 Linux 核心 3.7.5 之前的 ptrace 功能存在競爭狀況，可讓本機使用者透過精心設計的應用程式中的 `PTRACE_SETREGS ptrace` 系統呼叫取得權限。對 Compute Engine 的影響這項安全漏洞會影響 Compute Engine 核心 `2.6.x-gcg-<date>`。為此，Compute Engine 已淘汰 2.6.x 核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 `gce-v20130225`。`gce-v20130225` 包含核心 `3.3.8-gcg-201302081521`，其中含有這個安全漏洞的修補程式。如要找出您執行個體使用的核心版本：使用 SSH 連線至執行個體執行 `uname -r`	中	CVE-2013-0871

注意：這項安全漏洞僅適用於核心，自 API 第 1 版起已淘汰並移除。

Linux 核心 3.7.5 之前的 ptrace 功能存在競爭狀況，可讓本機使用者透過精心設計的應用程式中的 PTRACE_SETREGS ptrace 系統呼叫取得權限。

對 Compute Engine 的影響

這項安全漏洞會影響 Compute Engine 核心 2.6.x-gcg-<date>。為此，Compute Engine 已淘汰 2.6.x 核心，並建議使用者更新執行個體和映像檔，改用 Compute Engine 核心 gce-v20130225。gce-v20130225 包含核心 3.3.8-gcg-201302081521，其中含有這個安全漏洞的修補程式。

如要找出您執行個體使用的核心版本：

使用 SSH 連線至執行個體
執行 uname -r

中

CVE-2013-0871

安全性公告 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

GCP-2026-054

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2026-036

說明

該怎麼辦？

GCP-2026-032

說明

GCP-2026-031

說明

該怎麼辦？

要解決哪些安全漏洞？

GCP-2026-021

說明

該怎麼辦？

GCP-2026-019

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2026-015

說明

該怎麼辦？

要解決哪些安全漏洞？

GCP-2026-004

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-058

說明

該怎麼辦？

要解決哪些安全漏洞？

GCP-2025-044

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-042

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-031

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2025-025

說明

該怎麼辦？

解決哪些安全漏洞？

我們很樂意提供協助

GCP-2025-024

說明

該怎麼辦？

解決哪些安全漏洞？

GCP-2024-040

該怎麼辦？

GCP-2024-021

該怎麼辦？

要解決哪些安全漏洞？

GCP-2024-001

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

GCP-2023-44

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

GCP-2023-004

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

CVE-2023-1017

CVE-2023-1018

GCP-2021-026

該怎麼辦？

GCP-2021-001

對 Compute Engine 的影響

發布日期：2020-08-27

安全漏洞

對 Compute Engine 的影響

修補完成的映像檔與廠商資源

發布日期：2020-06-19

安全漏洞

安全性公告