Boletins de segurança

Descrevemos a seguir todos os boletins de segurança relacionados ao Migrate to Virtual Machines 5.0 do Google.

Para receber os boletins de segurança mais recentes:

  • Adicione o URL desta página ao seu leitor de feeds.
  • Adicione o URL do feed diretamente ao seu leitor de feeds: https://cloud.google.com/migrate-to-virtual-machines-security-bulletins.xml

GCP-2024-040

Publicado em: 10/07/2024
Descrição Gravidade Observações

O Migrate Connector, o dispositivo virtual usado para conectar fontes da VMware ao Migrate to Virtual Machines, está exposto a uma vulnerabilidade de segurança no Daemon do OpenSSH (SSHD) (CVE-2024-6387).

O que devo fazer?

O Migrate Connector versão 2.6.2497 já foi liberado para mitigar esse problema e está em processo gradual de lançamento. Para aplicá-lo, acesse a página do Migrate to Virtual Machines no console do Google Cloud . Assim que houver uma atualização disponível para o dispositivo de origem, você verá um banner com a mensagem Há uma atualização disponível para sua origem. Aprove a atualização para começar a atualizar a versão do Migrate Connector. Para mais informações, consulte Modificar uma configuração do Migrate Connector.

Para mitigar o risco imediatamente, use uma destas opções:

  1. Faça login no Migrate Connector e execute este comando: 
    sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config
     ou

    Edite /etc/ssh/sshd_config manualmente, remova a marca de comentário da entrada de LoginGraceTime e defina o valor como 0.
  2. Reinicie o SSHD executando este comando: 
    sudo systemctl restart ssh

Quais vulnerabilidades estão sendo abordadas?

Recentemente, descobrimos uma vulnerabilidade de execução remota de código no OpenSSH, CVE-2024-6387. A vulnerabilidade explora uma disputa que pode ser usada para acessar um shell remoto, o que dá aos invasores acesso raiz. No momento da publicação, acreditamos que seja difícil e leve várias horas para explorar essa vulnerabilidade em cada máquina invadida. Não estamos cientes de tentativas de exploit.

 Crítico CVE-2024-6387