Halaman ini menjelaskan semua buletin keamanan yang terkait dengan Google Cloud Observability.
GCP-2026-009
Dipublikasikan: 13-02-2026
| Deskripsi | Keparahan | Catatan |
|---|---|---|
Versi antarmuka pengguna Observability Analytics sebelum Januari 2026 dapat dikonfigurasi untuk menjalankan kueri SQL secara otomatis. Kerentanan dapat memungkinkan penyerang membuat URL kueri yang, jika dibuka oleh seseorang dengan kredensial, dapat mengakses konten tabel atau menimbulkan biaya kueri. Apa yang sebaiknya saya lakukan? Pengguna tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch, dan antarmuka pengguna yang terpengaruh telah diupdate pada Januari 2026 untuk menyertakan titik intervensi guna mencegah SQL berbahaya berjalan tanpa kesempatan bagi pengguna untuk memeriksanya. Kerentanan apa yang ditangani? Kerentanan ini dapat memungkinkan penyerang mengakses konten terbatas dari tabel BigQuery atau Analisis Observabilitas target saat target menjalankan kueri SQL yang dibuat oleh penyerang. Kerentanan ini memanfaatkan log audit BigQuery untuk menyampaikan informasi tentang konten tabel target ke project Google Cloud yang dikontrol penyerang. Kerentanan ini diperparah oleh perilaku antarmuka Observability Analytics yang otomatis menjalankan kueri yang disematkan dalam URL, yang mencegah target memeriksa kueri buatan penyerang sebelum mengeksekusinya dengan kredensial mereka. |
Tinggi |
GCP-2026-005
Dipublikasikan: 28-01-2026
| Deskripsi | Keparahan | Catatan |
|---|---|---|
Kerentanan ini memengaruhi antarmuka Observability Analytics dan antarmuka dasbor Cloud Monitoring versi sebelum Januari 2026. Apa yang sebaiknya saya lakukan? Pengguna tidak perlu melakukan tindakan apa pun. Antarmuka pengguna yang terpengaruh telah diperbarui pada Januari 2026 untuk menyertakan titik intervensi guna mencegah SQL berbahaya berjalan tanpa kesempatan bagi pengguna untuk memeriksanya. Kerentanan apa yang ditangani? Kerentanan ini memungkinkan penyerang mengakses konten terbatas dari tabel BigQuery atau Analisis Observabilitas target saat target melihat dasbor buatan penyerang. Kerentanan ini memanfaatkan saluran metadata BigQuery untuk menyampaikan informasi tentang konten tabel target ke project Google Cloud yang dikontrol penyerang. Kerentanan ini diperparah oleh perilaku antarmuka dasbor yang otomatis menjalankan kueri untuk mengisi widget yang didukung SQL, sehingga mencegah target memeriksa kueri buatan penyerang sebelum mengeksekusinya dengan kredensial mereka. |
Tinggi |