Halaman ini menjelaskan semua buletin keamanan yang terkait dengan Google Cloud Observability.
GCP-2026-039
Dipublikasikan: 2026-06-22
| Deskripsi | Keparahan | Catatan |
|---|---|---|
Kerentanan di Cloud Logging dapat memungkinkan penyerang untuk membajak tujuan sink log dengan membuat ulang bucket Cloud Storage target di project yang dikontrol oleh penyerang. Masalah ini dapat mengakibatkan perutean log sensitif yang berkelanjutan ke pihak ketiga yang tidak sah. Apa yang sebaiknya saya lakukan? Anda tidak perlu melakukan tindakan apa pun. Cloud Logging telah diupdate untuk mengatasi kerentanan ini. Oleh karena itu, sink log kini akan menampilkan error jika project induk bucket Cloud Storage tujuan telah berubah sejak konfigurasi awal. Untuk memulihkan ekspor log, pengguna harus menghapus dan membuat ulang sink log yang terpengaruh. Sebagai praktik terbaik, pengguna harus selalu menghapus sink log terkait sebelum menghapus resource tujuan untuk menghindari sink yang tidak terhubung. Kerentanan apa yang ditangani? Kerentanan ini dapat memungkinkan penyerang oportunistik membahayakan ekspor log yang dikonfigurasi untuk Cloud Storage. Sink Cloud Logging sebelumnya hanya mengandalkan nama bucket Cloud Storage yang unik secara global untuk merutekan log. Hal ini dapat memungkinkan pelaku kejahatan membuat ulang bucket yang dihapus dengan nama yang sama di project yang dikontrol oleh penyerang. Sink log aktif kemudian akan otomatis melanjutkan ekspor, merutekan log sensitif ke bucket penyerang, dan mengakibatkan eksfiltrasi data berkelanjutan yang tidak sah. Untuk menjalankan serangan ini, pihak berniat jahat harus mengetahui nama bucket Cloud Storage tujuan terlebih dahulu dan bucket Cloud Storage harus dihapus. Perbaikan yang diterapkan mengurangi kerentanan ini dengan memastikan bucket tujuan berada dalam project induk yang sama yang dikonfigurasi saat sink awalnya dibuat. Cloud Logging kini terus melakukan pemeriksaan ini saat menulis data log ke bucket Cloud Storage. |
Sedang |
GCP-2026-009
Dipublikasikan: 2026-02-13
| Deskripsi | Keparahan | Catatan |
|---|---|---|
Versi antarmuka pengguna Observability Analytics sebelum Januari 2026 dapat dikonfigurasi untuk otomatis menjalankan kueri SQL. Kerentanan dapat memungkinkan penyerang membuat URL kueri yang, jika dibuka oleh seseorang dengan kredensial, dapat mengakses konten tabel atau menimbulkan biaya kueri. Apa yang sebaiknya saya lakukan? Tidak ada tindakan pengguna yang diperlukan. Kerentanan ini telah ditambal, dan antarmuka pengguna yang terpengaruh telah diupdate pada Januari 2026 untuk menyertakan titik intervensi guna mencegah SQL berbahaya berjalan tanpa kesempatan bagi pengguna untuk memeriksanya. Kerentanan apa yang ditangani? Kerentanan ini dapat memungkinkan penyerang mengakses konten terbatas dari tabel Observability Analytics atau BigQuery target saat target menjalankan kueri SQL yang dibuat penyerang. Kerentanan ini memanfaatkan log audit BigQuery untuk menyampaikan informasi tentang konten tabel target ke project yang dikontrol penyerang. Google Cloud Kerentanan ini diperparah oleh perilaku antarmuka Observability Analytics yang otomatis menjalankan kueri yang disematkan di URL, yang mencegah target memeriksa kueri yang dibuat penyerang sebelum menjalankannya dengan kredensial mereka. |
Tinggi |
GCP-2026-005
Dipublikasikan: 2026-01-28
| Deskripsi | Keparahan | Catatan |
|---|---|---|
Kerentanan ini memengaruhi versi antarmuka Observability Analytics dan antarmuka dasbor Cloud Monitoring sebelum Januari 2026. Apa yang sebaiknya saya lakukan? Tidak ada tindakan pengguna yang diperlukan. Antarmuka pengguna yang terpengaruh telah diupdate pada Januari 2026 untuk menyertakan titik intervensi guna mencegah SQL berbahaya berjalan tanpa kesempatan bagi pengguna untuk memeriksanya. Kerentanan apa yang ditangani? Kerentanan ini memungkinkan penyerang mengakses konten terbatas dari tabel Observability Analytics atau BigQuery target saat target melihat dasbor yang dibuat penyerang. Kerentanan ini memanfaatkan saluran metadata BigQuery untuk menyampaikan informasi tentang konten tabel target ke project yang dikontrol penyerang. Google Cloud Kerentanan ini diperparah oleh perilaku antarmuka dasbor otomatis menjalankan kueri untuk mengisi widget yang didukung SQL, yang mencegah target memeriksa kueri yang dibuat penyerang sebelum menjalankannya dengan kredensial mereka. |
Tinggi |