Bollettini sulla sicurezza

I seguenti bollettini sulla sicurezza sono correlati ai prodotti Google Cloud .

Utilizza questo feed XML per iscriverti ai bollettini sulla sicurezza per questa pagina. Iscriviti

GCP-2026-068

Data di pubblicazione: 14 ottobre 2026

Descrizione

Descrizione Gravità Note

Una vulnerabilità di autorizzazione errata nel runtime di esecuzione della convalida e dell'integrazione di AuthConfig nelle versioni di Application Integration precedenti al 27 agosto 2026.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 27 agosto 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato potrebbe eseguire l'escalation dei privilegi e impersonare un account di servizio nel progetto Google Cloud .

 Critico CVE-2026-85298

GCP-2026-067

Data di pubblicazione: 12 ottobre 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di Denial of Service (DoS) in Envoy Proxy quando un filtro HTTP (ad esempio ext_proc con route_cache_action: RETAIN) modifica l'intestazione :path dopo la selezione della route su una route configurata con prefix_rewrite.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta envoyproxy/envoy#47841

GCP-2026-066

Data di pubblicazione: 2026-09-28

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità Confused Deputy nel componente Email Task nelle versioni di Application Integration precedenti al 30 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 30 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente malintenzionato autenticato potrebbe leggere ed esfiltrare file interni di Google arbitrari utilizzando un percorso di allegato creato ad hoc.

 Alta CVE-2026-81375

GCP-2026-065

Data di pubblicazione: 2026-09-28

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di deserializzazione di dati non attendibili nel task JavaScript nelle versioni di Application Integration precedenti al 28 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 28 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato con autorizzazioni standard potrebbe utilizzare uno script appositamente creato per eseguire codice arbitrario sui server di produzione condivisi.

 Critico CVE-2026-81867

GCP-2026-064

Data di pubblicazione: 2026-09-28

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di autorizzazione errata nella configurazione delle attività nelle versioni di Application Integration precedenti al 17 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 17 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato potrebbe utilizzare un tipo di attività solo interno per eseguire RPC interne arbitrarie dalla rete di produzione interna di Google con un'identità privilegiata.

 Critico CVE-2026-19759

GCP-2026-063

Data di pubblicazione: 2026-09-16

Descrizione

Descrizione Gravità Note

Una vulnerabilità di gestione impropria dei privilegi in Google Security Operations SOAR è stata corretta con la versione 6.3.85 e non è necessaria alcuna azione da parte del cliente. La vulnerabilità consentiva a un utente malintenzionato autenticato di eseguire l'escalation dei privilegi per ottenere l'accesso amministrativo a livello di sistema utilizzando un'intestazione di autenticazione interna creata ad hoc.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. È stato eseguito l'upgrade automatico di tutti i clienti alla versione corretta: 6.3.85 o successive.

 Critico CVE-2026-15587

GCP-2026-062

Data di pubblicazione: 11 settembre 2026

Descrizione

Descrizione Gravità Note

Sono state rilevate diverse vulnerabilità di sicurezza in Slurm che interessano i progetti di Cluster Toolkit che fanno riferimento a versioni di immagini specifiche. Queste vulnerabilità interessano il daemon slurmstepd, la gestione delle richieste RPC e il database di accounting.

Che cosa devo fare?

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cluster Toolkit.

Alta

GCP-2026-061

Data di pubblicazione: 9 settembre 2026

Descrizione

Descrizione Gravità Note

Una vulnerabilità di sicurezza (GHSA-p7v4-vr35-mj6f, assegnazione CVE in attesa) nell'implementazione CRI di containerd consente a un container ripristinato da un checkpoint non attendibile tramite l'API CreateContainer di bypassare il contesto di sicurezza di destinazione ed eseguire con privilegi elevati.

I cluster GKE non sono vulnerabili per impostazione predefinita. Le immagini dei nodi GKE non includono lo strumento criu.

Che cosa devo fare?

Per i cluster predefiniti non è richiesta alcuna azione immediata da parte dei clienti. Se installi software runtime personalizzato o strumenti per nodi sui tuoi nodi che includono il binario criu, consulta il bollettino sulla sicurezza per i comportamenti consigliati.

Quali vulnerabilità vengono affrontate?

Per maggiori informazioni, consulta il bollettino sulla sicurezza di GKE.

 Media GHSA-p7v4-vr35-mj6f

GCP-2026-060

Data di pubblicazione: 4 settembre 2026

Ultimo aggiornamento: 2026-09-08

Descrizione

Descrizione Gravità Note

Aggiornamento dell'8 settembre 2026: è stato aggiunto un link al bollettino sulla sicurezza di Cluster Toolkit.

Un difetto di sicurezza nello strumento Slurm sbcast (CVE-2026-65107) consente ai file di librerie condivise di bypassare i controlli di sicurezza e può causare l'arresto anomalo dei nodi nel cluster.

Che cosa devo fare?

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-65107

GCP-2026-059

Data di pubblicazione: 4 settembre 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di autorizzazione mancante nel connettore HTTP in Integration Connectors nelle versioni precedenti all'11 dicembre 2025.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta l'11 dicembre 2025.

Quali vulnerabilità vengono affrontate?

Un utente malintenzionato autenticato potrebbe utilizzare un collegamento di un account di servizio non autorizzato per eseguire l'escalation dei privilegi e assumere il controllo di un progetto Google Cloud .

 Alta CVE-2026-4644

GCP-2026-058

Data di pubblicazione: 2 settembre 2026

Descrizione

Descrizione Gravità Note

Un controllo delle autorizzazioni del progetto mancante nelle API GKE Multi-cloud (CreateAttachedCluster, CreateAwsCluster, CreateAzureCluster) ha consentito a un malintenzionato di registrare un cluster collegato in Workload Identity Federation for GKE di un progetto di destinazione arbitrario. Questa registrazione ha consentito la creazione non autorizzata di token Workload Identity e l'impersonificazione dei service account Kubernetes con associazioni nel progetto di destinazione tramite la configurazione di Workload Identity Federation for GKE.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE

 Critico

GCP-2026-057

Data di pubblicazione: 2026-08-26

Descrizione

Descrizione Gravità Note

Sono state rilevate una serie di vulnerabilità in Envoy Proxy.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da moderato ad alto

GCP-2026-056

Data di pubblicazione: 26 agosto 2026

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di convalida dell'input impropria nel driver JDBC nelle versioni di BigQuery Data Transfer Service precedenti al 1° maggio 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 1° maggio 2026.

Quali vulnerabilità vengono affrontate?

Un utente malintenzionato autenticato potrebbe utilizzare parametri della stringa di connessione JDBC creati ad hoc per eseguire codice da remoto nel container del connettore ed eseguire l'escalation dei privilegi nel progetto tenant.

 Critico CVE-2026-12717

GCP-2026-055

Data di pubblicazione: 25 agosto 2026

Descrizione

Descrizione Gravità Note

In Next.js e libheif esiste una vulnerabilità di esecuzione di codice remoto (RCE) non autenticata critica durante l'elaborazione di file immagine dannosi. L'infrastruttura Google Cloud non è direttamente vulnerabile, ma i carichi di lavoro dei clienti che eseguono Next.js su Google Cloud (ad es. Cloud Run, GKE, App Engine) potrebbero essere interessati.

Che cosa devo fare?

I servizi di backendGoogle Cloud non sono interessati direttamente e non è richiesta alcuna azione per proteggere l'infrastruttura Google Cloud sottostante. Tuttavia, i clienti che ospitano applicazioni Next.js su Google Cloud devono intervenire immediatamente per proteggere i propri workload. Ti consigliamo di eseguire manualmente l'upgrade dei deployment Next.js a una delle seguenti versioni (o successive) nel tuo package.json: 

  • 16.3.3
  • 15.5.24
I clienti che utilizzano libheif devono monitorare le patch del sistema operativo upstream e ricompilare le immagini di base dei container di conseguenza. Rifai il deployment dei workload aggiornati per assicurarti che i container in esecuzione utilizzino le versioni con patch.

Quali vulnerabilità vengono affrontate?

Le vulnerabilità, GHSA-2xp9-vwfh-vxw4 e GHSA-g89c-p67h-r497, consentono a un malintenzionato di eseguire codice arbitrario nel contesto dell'applicazione fornendo un file immagine creato ad hoc durante l'ottimizzazione delle immagini di Next.js. Questo problema si verifica a causa del modo in cui la libreria libheif sottostante elabora le caselle di apertura pulite nelle immagini HEIF/AVIF.

 Alta GHSA-2xp9-vwfh-vxw4 GHSA-g89c-p67h-r497

GCP-2026-054

Data di pubblicazione: 11 agosto 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità (CVE-2026-6726, nota anche come TCGVRT0010) nel codice di implementazione di riferimento TPM 2.0 di Trusted Computing Group, che interessa tutte le revisioni pubblicate del codice (v1.16, v1.38, v1.59, v1.83, v184).

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Google aggiornerà in modo proattivo i tuoi sistemi durante i periodi di manutenzione standard e pianificati.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Alta CVE-2026-6726

GCP-2026-053

Data di pubblicazione: 2026-08-11

Descrizione

Descrizione Gravità Note

Google è a conoscenza di diverse vulnerabilità di sicurezza che interessano il firmware Intel® Trust Domain Extensions (TDX) e che possono compromettere l'integrità dei guest riservati. Queste vulnerabilità potrebbero consentire a un avversario host privilegiato di bypassare i controlli di attestazione, accedere a registri con limitazioni o decriptare la memoria guest normalmente protetta.

Quali prodotti Google sono interessati?

Tutte le istanze Confidential VM che si basano sulla tecnologia Intel TDX.

Che cosa devo fare?

Google ha applicato in modo proattivo questi upgrade del firmware al nostro parco server per mitigare queste vulnerabilità. Non è richiesta alcuna azione per i clienti che non hanno ricevuto un avviso diretto separato per eseguire l'upgrade.

Per saperne di più, consulta gli avvisi tecnici PSIRT di Intel: INTEL-TA-01404, INTEL-TA-01428, INTEL-TA-01419, INTEL-TA-01439, INTEL-TA-01442, INTEL-TA-01436.

Alta

GCP-2026-052

Data di pubblicazione: 7 agosto 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità di sicurezza nell'unità di gestione della memoria (MMU) shadow x86 della macchina virtuale basata su kernel (KVM) che interessa sia le piattaforme Intel che AMD.

Che cosa devo fare?

Non è richiesta alcuna azione per le macchine virtuali Compute Engine gestite. Poiché la vulnerabilità risiede nell'hypervisor host, Google ha mitigato in modo trasparente l'impatto su tutta l'infrastruttura host basata su Intel e AMD tramite l'applicazione di patch in tempo reale, senza richiedere tempi di inattività, riavvii o upgrade manuali delle VM dei clienti.

Se gestisci ambienti virtualizzati autogestiti o hypervisor host personalizzati al di fuori dell'infrastruttura Compute Engine gestita standard, devi assicurarti che il kernel Linux host sia aggiornato con la patch upstream non appena viene resa disponibile dal fornitore della distribuzione del sistema operativo.

Quali vulnerabilità vengono affrontate?

Si tratta di una vulnerabilità KVM che potrebbe portare a un attacco VM escape. Non è stato osservato alcuno sfruttamento attivo e si tratta di un'attività di applicazione di patch proattiva.

 Nessuno CVE-2026-64561

GCP-2026-051

Data di pubblicazione: 31 luglio 2026

Descrizione

Aggiornamento del 4 agosto 2026: la versione di release della patch di VMware è 1.33.1200, non 1.33.1100 come indicato nel bollettino iniziale.

Descrizione Gravità

Nel runtime del container GDC, containerd, sono state rilevate le seguenti vulnerabilità. Queste vulnerabilità consentono agli aggressori con autorizzazioni per creare pod di bypassare i limiti di sicurezza di Kubernetes ed eseguire la compromissione dell'host, l'avvelenamento della cache e il denial of service. Sebbene queste vulnerabilità siano critiche nel contesto di containerd, il requisito di disporre dei privilegi del cluster per creare pod per sfruttarle significa che sono considerate di livello Alto secondo la classificazione delle vulnerabilità GDC (solo software).

  • CVE-2026-50195 (critica): il processo di importazione dei checkpoint CRI di containerd non riesce a convalidare i riferimenti alle immagini. Un malintenzionato con le autorizzazioni per creare pod può utilizzare un'immagine di checkpoint creata ad hoc per compromettere la cache delle immagini locale del nodo, inducendo altri pod a utilizzare un'immagine dannosa.
  • CVE-2026-53488 (critico): il plug-in CRI propaga le etichette da una configurazione dell'immagine a un container senza convalida. Ciò potrebbe comportare l'esecuzione di un comando arbitrario sull'host.
  • CVE-2026-53492 (critica): l'implementazione di CRI considera in modo improprio le annotazioni Container Device Interface (CDI) durante il ripristino del container. Ciò consente a un malintenzionato di inserire configurazioni CDI arbitrarie (come montaggi host e nodi di dispositivi) nei container ripristinati, bypassando l'allocazione delle risorse e l'applicazione dei plug-in dei dispositivi.
  • CVE-2026-53489 (alta): il plug-in CRI ripristina container.log senza convalidare un percorso con collegamento simbolico, consentendo a un utente malintenzionato di leggere file host arbitrari tramite i log kubectl.
  • CVE-2026-47262 (moderata): una vulnerabilità in containerd consente a un'immagine creata in modo dannoso di causare l'esaurimento della memoria (DoS) del processo containerd.
Queste vulnerabilità interessano tutte le configurazioni GDC (solo software) che utilizzano immagini dei nodi Ubuntu.

Che cosa devo fare?

Per il software GDC solo su bare metal, le seguenti patch conterranno correzioni per il problema delle vulnerabilità:

  • 1.34.800
  • 1.33.1100

Per GDC (solo software) su VMware, le seguenti patch conterranno le correzioni per le vulnerabilità:

  • 1.34.800
  • 1.33.1200
 Alta

GCP-2026-050

Data di pubblicazione: 29 luglio 2026

Descrizione

Descrizione Gravità Note

In base all'avviso VMSA-2026-0006, sono state segnalate privatamente a Broadcom diverse vulnerabilità in VMware ESXi e vCenter. Stiamo applicando le patch necessarie fornite da Broadcom. Non sono note soluzioni alternative per queste vulnerabilità segnalate.

Una volta applicata la patch, i deployment di VMware Engine dovrebbero eseguire vCenter ed ESXi 8.0 U3k.

Che cosa devo fare?

Google consiglia ai clienti di monitorare i propri workload su VMware Engine per rilevare eventuali attività insolite.

 Critico
  • VMSA-2026-0006
  • CVE-2026-59309
  • CVE-2026-59310
  • CVE-2026-47876
  • CVE-2026-41703
  • CVE-2026-41709

GCP-2026-049

Data di pubblicazione: 22 luglio 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di cross-site scripting (XSS) riflesso in Google Cloud Looker. Un utente malintenzionato potrebbe creare un URL dannoso che, se aperto da un amministratore autenticato, gli consentirebbe di eseguire script arbitrari per suo conto e potenzialmente compromettere l'account amministratore.

Che cosa devo fare?

Per le istanze ospitate da Looker, non è richiesta alcuna azione.

Per le istanze Looker self-hosted, aggiorna le istanze Looker il prima possibile. Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker per le istanze self-hosted. Le seguenti versioni sono state tutte aggiornate per correggere questa vulnerabilità:

  • Looker 26.8.7 e tutte le versioni successive
  • Looker 26.6.28+
  • Looker 26.4.36+
  • Looker 26.2.47+
  • Looker 26.0.66+
  • Looker 25.18.68+
  • Looker 25.12.65+
  • Looker 25.6.103+

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta CVE-2026-15810.

 Alta CVE-2026-15810

GCP-2026-048

Data di pubblicazione: 2026-07-13

Descrizione

Descrizione Gravità Note

È stata risolta una vulnerabilità di escalation dei privilegi in Developer Connect. In precedenza, per le connessioni GitLab Enterprise e Bitbucket Data Center, quando venivano recuperati i secret di Secret Manager, le autorizzazioni venivano controllate solo in base alle credenziali del service agent (P4SA) di Developer Connect. Developer Connect ora convalida che sia l'entità chiamante sia il P4SA dispongano delle autorizzazioni richieste per i secret a cui viene fatto riferimento.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Developer Connect.

Media

GCP-2026-047

Data di pubblicazione: 13 luglio 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di autorizzazione mancante nei repository in BigQuery, Dataform e Colab Enterprise.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Google ha già applicato misure di mitigazione a tutti i prodotti e servizi interessati.

Quali vulnerabilità vengono affrontate?

Durante la creazione del repository, un utente malintenzionato autenticato potrebbe potenzialmente eseguire l'escalation delle proprie autorizzazioni e assumere il controllo del repository tra tenant.

 Critico CVE-2026-14934

GCP-2026-046

Data di pubblicazione: 6 luglio 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità di virtualizzazione nelle configurazioni di virtualizzazione nidificata e shadow paging x86 di KVM. Poiché un malintenzionato che utilizza una macchina virtuale con virtualizzazione nidificata potrebbe eludere l'isolamento del limite dell'hypervisor per compromettere l'host fisico sottostante, qualsiasi macchina virtuale x86 (nidificata o non nidificata) ospitata su un server basato su Intel che supporta la virtualizzazione nidificata è potenzialmente esposta.

Che cosa devo fare?

Google sta eseguendo il deployment di hot patch live dell'hypervisor su tutti i server host Compute Engine gestiti a livello globale. Non è richiesta alcuna azione per le macchine virtuali Compute Engine gestite o i cluster Google Kubernetes Engine. Poiché la correzione viene eseguita in modo trasparente a livello di hypervisor dell'host fisico, non sono necessari tempi di inattività, riavvii o upgrade manuali delle VM dei clienti.

I clienti che gestiscono ambienti virtualizzati autogestiti o hypervisor host personalizzati al di fuori dell'infrastruttura Compute Engine gestita standard devono assicurarsi che il kernel Linux host venga aggiornato con la patch upstream non appena viene resa disponibile dal fornitore del sistema operativo.

Quali vulnerabilità vengono affrontate?

La vulnerabilità (CVE-2026-53359) sfrutta un errore di tipo use-after-free nelle routine di traduzione delle tabelle di pagine nidificate e di paging shadow x86. Google non ha rilevato prove di sfruttamento attivo dei clienti negli ambienti di produzione. Sono state implementate patch live e monitoraggio a livello di host a livello globale per mitigare i rischi e rilevare i tentativi di exploit.

 Alta/S0 CVE-2026-53359
(Januscape)

GCP-2026-045

Data di pubblicazione: 2026-06-29

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Envoy Proxy in cui la decodifica QPACK bloccata può causare un attacco Denial of Service contro lo stack HTTP/3.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta GHSA-p7c7-7c47-pwch

GCP-2026-044

Data di pubblicazione: 25 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità nell'attività JavaScript di Application Integration, che utilizzava il motore JavaScript Rhino. Questo problema ha interessato solo le attività pubblicate prima di gennaio 2025.

Per maggiori dettagli e istruzioni, consulta il bollettino sulla sicurezza di Application Integration.

Alta CVE-2025-0982

GCP-2026-043

Data di pubblicazione: 2026-06-24

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Firebase Studio, in cui l'RPC GetSignedGcsUrl consentiva agli utenti autenticati di elencare i bucket e scaricare il codice sorgente del deployment di altri tenant.

Non è richiesta alcuna azione per mitigare questa vulnerabilità, poiché la correzione è stata implementata nel servizio di backend.

Come misura precauzionale, gli utenti che hanno archiviato informazioni sensibili, come le chiavi API (ad esempio GEMINI_API_KEY), all'interno del proprio workspace Firebase Studio possono scegliere di ruotare queste chiavi. Per le istruzioni, consulta la guida alla risoluzione dei problemi di Firebase Studio.

 Alta CVE-2026-12715

GCP-2026-042

Data di pubblicazione: 24 giugno 2026

Descrizione

Descrizione Gravità Note

In Cloud Build è stata risolta una vulnerabilità di escalation dei privilegi. In precedenza, per le connessioni GitLab Enterprise e Bitbucket Data Center, quando venivano recuperati i secret di Secret Manager, le autorizzazioni venivano verificate solo in base alle credenziali del service agent Cloud Build (P4SA). Cloud Build ora convalida che sia l'entità chiamante sia il P4SA dispongano delle autorizzazioni richieste per i secret a cui viene fatto riferimento.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Build.

Bassa

GCP-2026-041

Data di pubblicazione: 2026-06-24

Descrizione

Descrizione Gravità Note

Di recente è stata condotta un'indagine sulla sicurezza in merito alle vulnerabilità di log4j (CVE-2026-34480 e CVE-2026-34477) segnalate in Apigee Edge for Private Cloud. Google ha stabilito che Apigee Edge for Private Cloud non è vulnerabile a questi CVE. Non è richiesta alcuna azione da parte del cliente.

Per maggiori informazioni, consulta il bollettino sulla sicurezza di Apigee.

Alta CVE-2026-34480
CVE-2026-34477

GCP-2026-040

Data di pubblicazione: 23 giugno 2026

Descrizione

Descrizione Gravità Note

Sono state rilevate una serie di vulnerabilità in Envoy Proxy.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da moderato ad alto CVE-2026-47692
CVE-2026-47207
CVE-2026-47205
CVE-2026-47220
CVE-2026-47221
CVE-2026-48044
CVE-2026-48090
CVE-2026-47778
CVE-2026-47204
CVE-2026-48497
CVE-2026-48706
CVE-2026-48743
CVE-2026-47775
CVE-2026-48042

GCP-2026-039

Data di pubblicazione: 2026-06-22

Descrizione

Descrizione Gravità Note

Una vulnerabilità in Cloud Logging avrebbe potuto consentire ad utenti malintenzionati di intercettare le destinazioni dei sink di log ricreando il bucket Cloud Storage di destinazione in un progetto controllato dall'utente malintenzionato. Questo problema potrebbe aver comportato il routing continuo di log sensibili a una terza parte non autorizzata.

Per saperne di più, consulta il bollettino sulla sicurezza di Google Cloud Observability.

 Media

GCP-2026-038

Data di pubblicazione: 22 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in App Engine in cui l'operazione dell'API privata GraphQL GetDashboardAppStats nella console Google Cloud ha causato la fuga di log delle richieste tra tenant.

Non è richiesta alcuna azione da parte tua. Questa vulnerabilità è stata corretta.

 Alta CVE-2026-8934

GCP-2026-037

Data di pubblicazione: 18 giugno 2026

Ultimo aggiornamento: 20/06/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/06/2026: sono state aggiunte le versioni patch di GKE contenenti le correzioni per le immagini dei nodi Container-Optimized OS per le versioni secondarie 1.35 e 1.36. Le patch per le immagini dei nodi Ubuntu sono ancora in attesa e in corso.

Aggiornamento del 19/06/2026: sono state aggiunte le versioni patch di GKE contenenti le correzioni per le immagini dei nodi Container-Optimized OS per le versioni secondarie dalla 1.30 alla 1.34. Le patch per le immagini dei nodi Ubuntu e per la versione secondaria 1.35 e 1.36 per le immagini dei nodi Container-Optimized OS sono in corso.

Sono state rilevate più vulnerabilità in containerd (il runtime dei container GKE). Queste vulnerabilità consentono agli autori di attacchi con autorizzazioni per creare pod di bypassare i limiti di sicurezza di Kubernetes ed eseguire compromissione dell'host, avvelenamento della cache e denial of service.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE

 Critico CVE-2026-50195
CVE-2026-53488
CVE-2026-53492
CVE-2026-53489
CVE-2026-47262

GCP-2026-036

Data di pubblicazione: 9 giugno 2026

Descrizione

Descrizione Gravità Note

ARM ha annunciato CVE-2025-10263, un problema di architettura che interessa alcuni core Arm e che consente a un malintenzionato di bypassare le fasi di traduzione o le protezioni GPT in determinate condizioni. Questa vulnerabilità consente a un malintenzionato a un livello di eccezione inferiore di scrivere nella memoria di proprietà di un livello di eccezione superiore, aumentando così i privilegi. Questo problema non influisce sulle letture della memoria.

Per saperne di più, consulta i seguenti bollettini:

 Alta CVE-2025-10263

GCP-2026-035

Data di pubblicazione: 8 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Envoy in cui l'elaborazione delle richieste downstream HTTP/2 consente a un client remoto non autenticato di attivare un consumo eccessivo di memoria, con conseguente potenziale terminazione OOM del processo Envoy e denial of service.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2026-47774

GCP-2026-034

Data di pubblicazione: 20 maggio 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Apigee in cui il parametro IntegrationRegion nella policy SetIntegrationRequest non dispone della convalida, consentendo la falsificazione delle richieste lato server (SSRF) e l'esfiltrazione dei token dei account di servizio. Il problema si verifica quando un malintenzionato può controllare una variabile di flusso utilizzata per IntegrationRegion, il che comporta l'invio di richieste a un host controllato dal malintenzionato con il token del account di servizio.

 Alta CVE-2026-2264

GCP-2026-033

Data di pubblicazione: 14 maggio 2026

Ultimo aggiornamento: 16-07-2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/07/2026: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei tuoi node pool Ubuntu alle seguenti versioni o successive:

  • 1.30.14-gke.2710000
  • 1.31.14-gke.2116000
  • 1.32.13-gke.1829000
  • 1.33.13-gke.1011000
  • 1.34.9-gke.1131000
  • 1.35.6-gke.1127000
  • 1.36.2-gke.1346000

Nel kernel Linux è stata rilevata una vulnerabilità di container breakout CVE-2026-46300, nota come Fragnesia. Consente a un utente malintenzionato locale non privilegiato di eseguire l'escalation a root sull'host.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2026-46300

GCP-2026-032

Data di pubblicazione: 12 maggio 2026

Descrizione

Descrizione Gravità Note

AMD ha identificato una vulnerabilità a livello hardware nei processori con microarchitettura Zen 2 (incluse le serie EPYC e Ryzen) che comporta una potenziale corruzione all'interno della cache di micro-operazioni (OP). In condizioni specifiche, questo problema (AMD-SN-7052 / CVE-2025-54518) potrebbe portare a bypass dei limiti di sicurezza o accesso non autorizzato ai dati.
Abbiamo implementato correzioni nell'infrastruttura Google per mitigare questi problemi.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Alta CVE-2025-54518

GCP-2026-031

Data di pubblicazione: 12 maggio 2026

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità nel firmware AMD che, a causa della protezione mancante, potrebbe consentire a un hypervisor dannoso di eseguire codice arbitrario sul processore sicuro AMD (ASP). Ciò consente l'escalation delle autorizzazioni di lettura e autorizzazione in scrittura di Memory Mapped I/O (MMIO), compromettendo la riservatezza e l'integrità dei guest SEV-SNP.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Media

GCP-2026-030

Data di pubblicazione: 11 maggio 2026

Ultimo aggiornamento: 24/06/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 24/06/2026:sono state aggiunte versioni patch per GKE.

Aggiornamento del 20 maggio 2026: è stato aggiunto CVE-2026-43500 e sono stati aggiunti gli ID CVE ai percorsi di exploit.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2026-43284
  • CVE-2026-43500

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-43284

GCP-2026-029

Data di pubblicazione: 7 maggio 2026

Descrizione

Descrizione Gravità Note

Microsoft sta aggiornando i certificati di avvio protetto emessi originariamente nel 2011 per garantire che i dispositivi Windows continuino a verificare il software di avvio attendibile. Questi certificati meno recenti inizieranno a scadere a giugno 2026. I dispositivi che non hanno ricevuto i certificati più recenti del 2023 continueranno ad avviarsi e a funzionare normalmente e gli aggiornamenti standard di Windows continueranno a essere installati. Tuttavia, questi dispositivi non potranno più ricevere nuove protezioni di sicurezza per la fase iniziale di avvio, inclusi gli aggiornamenti di Windows Boot Manager, i database di Secure Boot, gli elenchi di revoche o le mitigazioni per le vulnerabilità a livello di avvio appena scoperte. Inoltre, le scadenze dei certificati di avvio protetto a partire da giugno 2026 interessano i sistemi Linux che utilizzano l'avvio protetto.

Che cosa devo fare?

Google consiglia ai clienti di aggiornare le proprie VM Windows intraprendendo le azioni appropriate consigliate da Microsoft. Distribuzioni come Ubuntu, Red Hat e Fedora stanno già lavorando per fornire pacchetti aggiornati firmati con la nuova chiave 2023. Consulta anche la documentazione di Broadcom per risolvere gli errori e gli avvisi nelle macchine virtuali VMware quando i certificati di avvio protetto si avvicinano alla scadenza. Dopo giugno 2026, i sistemi privi degli aggiornamenti dei certificati del 2023 potrebbero riscontrare errori durante le nuove installazioni del sistema operativo o durante l'aggiornamento del firmware del bootloader esistente.

 Informativo Broadcom KB 423893

GCP-2026-028

Data di pubblicazione: 5 maggio 2026

Ultimo aggiornamento: 27 maggio 2026

Descrizione

Descrizione Gravità Note

CVE-2026-31431, nota anche come "Copy Fail", è una vulnerabilità di escalation dei privilegi locali (LPE) ad alta gravità nel kernel Linux che consente a un utente senza privilegi di ottenere l'accesso root. Divulgata a fine aprile 2026, deriva da un difetto logico nel sottosistema crittografico del kernel (algif_aead) introdotto nel 2017.

Che cosa devo fare?

Google consiglia ai clienti di proteggere le proprie VM guest Linux aggiornando il kernel su tutte le VM Linux. Le principali distribuzioni hanno rilasciato o stanno implementando correzioni.

 Alta CVE-2026-31431

GCP-2026-027

Data di pubblicazione: 1° maggio 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23351

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23351

GCP-2026-026

Data di pubblicazione: 2026-04-30

Ultimo aggiornamento: 04/05/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 maggio 2026: sono state aggiunte le versioni patch per GKE.

Una vulnerabilità nel kernel Linux (CVE-2026-31431) consente a un utente malintenzionato locale non privilegiato di scrivere nella cache della pagina di sistema, il che potrebbe portare all'escalation dei privilegi locali e all'container escape.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-31431

GCP-2026-025

Data di pubblicazione: 30 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23274

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23274

GCP-2026-024

Data di pubblicazione: 28 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-38248

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38248

GCP-2026-023

Data di pubblicazione: 28 aprile 2026

Ultimo aggiornamento: 2026-05-07

Descrizione

Descrizione Gravità Note

Aggiornamento del 7 maggio 2026: sono state aggiunte versioni patch per i pool di nodi Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23074

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23074

GCP-2026-022

Data di pubblicazione: 16 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23209

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23209

GCP-2026-021

Published: 2026-04-14

Descrizione

Descrizione Gravità Note

AMD ha segnalato una vulnerabilità nel suo firmware che avrebbe potuto consentire a un hypervisor dannoso di indirizzare la IOMMU alla scrittura nella memoria guest delle istanze abilitate per AMD SEV-SNP, compromettendo l'integrità dei dati guest. Google ha implementato una mitigazione per le istanze Confidential VM vulnerabili con AMD SEV-SNP abilitato.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. La mitigazione è già stata applicata alle istanze Confidential VM con AMD SEV-SNP abilitato.

Per saperne di più, consulta l'avviso AMD AMD-SB-3016.

Media

CVE-2023-20585

GCP-2026-020

Data di pubblicazione: 14 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23231

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23231

GCP-2026-019

Data di pubblicazione: 2026-04-14

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità nel firmware AMD che potrebbe consentire a un hypervisor dannoso di alterare le impostazioni del BIOS e le configurazioni di routing di I/O mappato in memoria (MMIO), compromettendo la riservatezza e l'integrità delle Confidential VM con guest AMD SEV-SNP.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Media CVE-2025-54510

GCP-2026-018

Data di pubblicazione: 7 aprile 2026

Ultimo aggiornamento: 15/04/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 15/04/2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23111

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23111

GCP-2026-017

Data di pubblicazione: 2 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23273

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23273

GCP-2026-016

Data di pubblicazione: 27 marzo 2026

Ultimo aggiornamento: 31 marzo 2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 31/03/2026: sono state aggiunte versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38616

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38616

GCP-2026-015

Data di pubblicazione: 2026-03-27

Descrizione

Descrizione Gravità Note

È stata scoperta la seguente vulnerabilità nel kernel Linux che può portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2026-23268.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine:

 Alta CVE-2026-23268

GCP-2026-014

Data di pubblicazione: 2026-03-14

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026:sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38678

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38678

GCP-2026-013

Data di pubblicazione: 2026-03-11

Descrizione

Descrizione Gravità Note

In Envoy Proxy sono state rilevate le seguenti vulnerabilità:

  • CVE-2026-26311
  • CVE-2026-26309
  • CVE-2026-26310
  • CVE-2026-26308
  • CVE-2026-26330

In Istio sono state rilevate le seguenti vulnerabilità:

  • CVE-2026-31837
  • CVE-2026-31838

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da medio ad alto

GCP-2026-012

Data di pubblicazione: 20/02/2026

Descrizione

Descrizione Gravità Note

In Google Cloud Vertex AI, è stata identificata una vulnerabilità relativa alla denominazione prevedibile dei bucket in Vertex AI Experiments dalla versione 1.21.0 alla versione 1.133.0 (esclusa).

Che cosa devo fare?

Per la mitigazione non è necessaria alcuna azione da parte dei clienti.

CVE-2026-2473 consente a un attaccante remoto non autenticato di ottenere l'esecuzione di codice remoto cross-tenant, il furto di modelli e l'avvelenamento utilizzando la pre-creazione di bucket Cloud Storage con nomi prevedibili (Bucket Squatting). Questa vulnerabilità è stata identificata nella versione 1.21.0 di Vertex AI Experiments. Le mitigazioni sono già state applicate alla versione 1.133.0 e successive.

 Alta CVE-2026-2473

GCP-2026-011

Data di pubblicazione: 20/02/2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità di scripting cross-site (XSS) archiviata in _genai/_evals_visualization in Google google-cloud-aiplatform (visualizzazione dell'SDK Vertex AI Python) su Exclusively-Hosted-Service.

Che cosa devo fare?

I clienti dovranno aggiornare l'SDK Python google-cloud-aiplatform alla versione 1.131.0 (rilasciata il 16 dicembre 2025) o successiva per ricevere la correzione.

CVE-2026-2472 consente a un malintenzionato remoto non autenticato di eseguire JavaScript arbitrario nell'ambiente Jupyter o Colab di una vittima utilizzando sequenze di escape di script di inserimento nei risultati di valutazione del modello o nei dati JSON del set di dati. Questa vulnerabilità è stata identificata in Google google-cloud-aiplatform (SDK Vertex AI Python) prima della versione 1.131.0.

 Alta CVE-2026-2472

GCP-2026-010

Data di pubblicazione: 2026-02-13

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità nella piattaforma Apigee che avrebbe potuto consentire a un attore malintenzionato con autorizzazioni di livello amministratore o sviluppatore nel proprio ambiente Apigee di elevare i privilegi e accedere ai dati tra tenant.

Nello specifico, una vulnerabilità nella tecnologia sandbox di Apigee consentiva l'utilizzo di un endpoint link-local per accedere ai token del account di servizio (P4SA) all'interno di un progetto tenant cliente. Sfruttando questa identità, un malintenzionato potrebbe teoricamente leggere i metadati di Analytics o manomettere i record di monitoraggio interni in altre organizzazioni (tenant) Apigee.

Che cosa devo fare?

Esegui le seguenti azioni per ogni prodotto interessato:

Apigee

Non è richiesta alcuna azione da parte dei clienti che utilizzano la versione Google Cloud di Apigee. Le correzioni delle vulnerabilità sono state applicate alla release Apigee 1-16-0-apigee-3.

Apigee hybrid

Per risolvere questa vulnerabilità, i clienti devono abilitare la pipeline di analisi basata su Pub/Sub ed eseguire l'upgrade a una versione ibrida supportata:

Configurazione delle funzionalità Versione corretta minima
Apigee hybrid standard v1.14.0 o versioni successive
Con la monetizzazione (Mint) abilitata v1.14.3, v1.15.1 o v1.16.0
Alta CVE-2025-13292

GCP-2026-009

Data di pubblicazione: 13 febbraio 2026

Descrizione

Descrizione Gravità Note

Le versioni dell'interfaccia utente di Observability Analytics precedenti a gennaio 2026 possono essere configurate per eseguire automaticamente le query SQL. Una vulnerabilità può consentire a un utente malintenzionato di creare un URL di query che, se aperto da un utente con credenziali, potrebbe accedere ai contenuti della tabella o comportare costi per le query.

Per saperne di più, consulta il bollettino sulla sicurezza di Google Cloud Observability.

 Alta

GCP-2026-008

Data di pubblicazione: 2026-02-10

Descrizione

Descrizione Gravità Note

Una serie di vulnerabilità della sicurezza interessa il firmware Intel® TDX. Queste vulnerabilità comprendono vari difetti, tra cui race condition (CVE-2025-30513, CVE-2025-31944), letture fuori dai limiti (CVE-2025-32007, CVE-2025-27940), utilizzo di una variabile non inizializzata (CVE-2025-32467) ed esposizione di informazioni sensibili durante l'esecuzione transitoria (CVE-2025-27572). Nel complesso, questi problemi potrebbero consentire la divulgazione di informazioni, l'escalation dei privilegi o il denial of service. Lo sfruttamento generalmente richiede l'accesso utente con privilegi sul sistema.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Tutte le correzioni pertinenti sono state applicate al parco server di Google. Per saperne di più, consulta l'avviso tecnico PSIRT di Intel INTEL-TA-01397.

Alta

GCP-2026-007

Data di pubblicazione: 9 febbraio 2026

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026:sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40297

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40297

GCP-2026-006

Data di pubblicazione: 2026-01-29

Ultimo aggiornamento: 20/02/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/02/2026: sono state aggiunte le versioni delle patch per GKE.

Nella libreria OpenSSL sono state identificate diverse vulnerabilità della sicurezza. Il risultato più significativo è CVE-2025-15467, una vulnerabilità critica che potrebbe consentire attacchi di esecuzione di codice da remoto (RCE) o denial of service (DoS) tramite vettori basati sulla rete.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-15467

GCP-2026-005

Data di pubblicazione: 28 gennaio 2026

Descrizione

Descrizione Gravità Note

Questa vulnerabilità interessa l'interfaccia di Log Analytics e le versioni dell'interfaccia di creazione dei dashboard di Cloud Monitoring precedenti a gennaio 2026.

Per saperne di più, consulta il bollettino sulla sicurezza di Google Cloud Observability.

 Alta

GCP-2026-004

Data di pubblicazione: 14 gennaio 2026

Descrizione

Descrizione Gravità Note

In Compute Engine è stata rilevata una vulnerabilità in alcuni processori Arm che interessa le VM C4A e A4X:

  • CVE-2025-0647

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Media CVE-2025-0647

GCP-2026-003

Data di pubblicazione: 2026-01-09

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026:sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39964

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39964

GCP-2026-002

Data di pubblicazione: 2026-01-07

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026:sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40215

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40215

GCP-2026-001

Data di pubblicazione: 7 gennaio 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40214

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40214

GCP-2025-076

Data di pubblicazione: 2025-12-08

Descrizione

Descrizione Gravità Note

In Cloud Data Fusion è stata rilevata la seguente vulnerabilità:

  • CVE-2025-9571

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Data Fusion.

 Alta CVE-2025-9571

GCP-2025-075

Data di pubblicazione: 7 dicembre 2025

Descrizione

Descrizione Gravità Note

Una vulnerabilità nella funzionalità di integrazioni personalizzate di Google Security Operations SOAR potrebbe consentire a un utente autenticato con un ruolo IDE di ottenere l'esecuzione di codice remoto (RCE) sul server. La vulnerabilità era dovuta a una convalida insufficiente del codice del pacchetto Python, che consentiva a un utente malintenzionato di caricare un pacchetto con un file setup.py dannoso. Questo file potrebbe quindi essere eseguito durante l'installazione, compromettendo il server.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. È stato eseguito automaticamente l'upgrade di tutti i clienti alla versione corretta: 6.3.64 o successive.

 Alta CVE-2025-13428

GCP-2025-074

Data di pubblicazione: 5 dicembre 2025

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39965

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39965

GCP-2025-073

Published:2025-12-03

Descrizione

Descrizione Gravità Note

In Envoy Proxy sono state rilevate le seguenti vulnerabilità:

  • CVE-2025-66220
  • CVE-2025-64527
  • CVE-2025-64763

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Media

GCP-2025-072

Data di pubblicazione: 2025-12-04

Ultimo aggiornamento: 5 dicembre 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 dicembre 2025: è ora disponibile una regola del web application firewall.

È stata rilevata una vulnerabilità di esecuzione di codice remoto nei framework open source React e Next.js. Sebbene Google Cloud non sia vulnerabile, gli utenti di questi framework in esecuzione su Google Cloud potrebbero esserlo.

Le seguenti versioni del framework sono interessate da questa vulnerabilità:

  • React 19.0, 19.1.0, 19.1.1 e 19.2.0
  • Next.js 15.x, Next.js 16.x e Next.js 14.3.0-canary.77 e versioni canary successive

Le seguenti versioni del framework includono correzioni per questa vulnerabilità:

  • React 19.0.1, 19.1.2 e 19.2.1
  • Next.js 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 15.6.0-canary.58 e 16.0.7

Per saperne di più, consulta l'avviso di React e l'avviso di Vercel su queste vulnerabilità.

I clienti devono intervenire immediatamente per proteggere i propri carichi di lavoro eseguendo nuovamente il deployment con dipendenze aggiornate.

Qual è l'utilità di Google?

È stata resa disponibile una regola del web application firewall (WAF) di Cloud Armor progettata per rilevare e bloccare i tentativi di exploit correlati. Questa nuova regola ha lo scopo di proteggere le tue applicazioni e i tuoi servizi esposti a internet che utilizzano bilanciatori del carico delle applicazioni globali o regionali. Ti consigliamo di implementare questa regola come mitigazione temporanea durante l'aggiornamento dei carichi di lavoro. Le istruzioni per l'applicazione di questa regola sono disponibili in questo blog post.

Per i clienti che utilizzano App Engine Standard, Cloud Functions, Cloud Run Functions, Cloud Run, Firebase Hosting o Firebase App Hosting, è già in vigore una regola per limitare lo sfruttamento tramite richieste a domini personalizzati e predefiniti.

I clienti che utilizzano Artifact Analysis riceveranno una notifica di queste vulnerabilità sia sugli artefatti nuovi che su quelli esistenti per aiutarli a identificare i workload a rischio.

Questo bollettino sulla sicurezza verrà aggiornato man mano che saranno disponibili nuove informazioni.

 Critico CVE-2025-55182

GCP-2025-071

Data di pubblicazione: 2 dicembre 2025

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026: sono state aggiunte versioni patch per i nodi Ubuntu con GKE.

Aggiornamento dell'11/12/2025 : sono state aggiunte le versioni delle patch e una valutazione della gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40019

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40019

GCP-2025-070

Data di pubblicazione: 2 dicembre 2025

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026: sono state aggiunte versioni patch per i nodi Ubuntu con GKE.

Aggiornamento dell'11/12/2025 : sono state aggiunte le versioni delle patch e una valutazione della gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40018

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40018

GCP-2025-069

Data di pubblicazione: 24 novembre 2025

Descrizione

Descrizione Gravità Note

Sono stati rilevati diversi problemi di sicurezza in runc, un componente software open source utilizzato per l'esecuzione dei container. Gli attacchi divulgati in queste vulnerabilità (CVE-2025-31133, CVE-2025-52565 e CVE-2025-52881) consentono a un malintenzionato di eseguire un container breakout completo nei pool di worker e nei job Cloud Run, con conseguente escalation dei privilegi root dal container all'istanza in sandbox. Un utente con privilegi per eseguire il deployment di un'immagine container dannosa può sfruttare queste vulnerabilità per accedere agli altri container all'interno dell'istanza sandbox di Cloud Run.

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

I pool di worker, i job e un numero limitato di servizi che non sono ancora stati aggiornati sono vulnerabili.

È in fase di preparazione un aggiornamento che verrà implementato all'inizio di gennaio. Questo bollettino verrà aggiornato una volta completato il lancio.

Segnala eventuali problemi relativi a questa vulnerabilità al programma Vulnerability Reward Program di Cloud all'indirizzo g.co/vrp.

 Alta

GCP-2025-068

Data di pubblicazione: 2025-11-21

Descrizione

Descrizione Gravità Note

Looker ha corretto una vulnerabilità che avrebbe potuto consentire a un malintenzionato con autorizzazioni di visualizzatore in Looker di creare un URL dannoso che, se aperto da un amministratore di Looker, avrebbe eseguito uno script fornito dal malintenzionato. L'esplorazione richiede almeno un'estensione Looker installata sull'istanza.

Sia le istanze ospitate da Looker che quelle in hosting autonomo sono risultate vulnerabili.

Questo problema è già stato mitigato per le istanze ospitate da Looker.

Che cosa devo fare?

Istanze ospitate da Looker:

Non è richiesta alcuna azione del cliente.

Solo istanze Looker ospitate autonomamente:

Se la tua istanza di Looker è self-hosted, ti consigliamo di eseguire l'upgrade il prima possibile. Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker per le istanze self-hosted. Le seguenti versioni sono state tutte aggiornate per proteggere da questa vulnerabilità:

  • 25.16.0 e tutte le versioni successive
  • 25.12.7+
  • 25.6.66+
  • 25.0.79+
  • 24.18.201+

Puoi scaricare queste versioni di Looker dalla pagina di download di Looker: https://download.looker.com/

 Alta CVE-2025-12739

GCP-2025-067

Data di pubblicazione: 19 novembre 2025

Descrizione

Descrizione Gravità Note

Looker ha corretto una vulnerabilità che avrebbe potuto consentire a un malintenzionato di assumere il controllo di un account Looker in un'istanza di Looker configurata con l'autenticazione OIDC, a causa della normalizzazione delle stringhe degli indirizzi email.

Sia le istanze ospitate da Looker che quelle in hosting autonomo sono risultate vulnerabili.

Questo problema è già stato mitigato per le istanze ospitate da Looker.

Che cosa devo fare?

Istanze ospitate da Looker:

Non è richiesta alcuna azione del cliente.

Solo istanze Looker ospitate autonomamente:

Se la tua istanza di Looker è in hosting autonomo, ti consigliamo di eseguire l'upgrade delle istanze di Looker il prima possibile a una delle seguenti versioni:

  • 25.10.22+
  • 25.8.39+
  • 25.6.57+
  • 25.0.69+
  • 24.18.193+
  • 24.12.100+

Puoi scaricare queste versioni di Looker dalla pagina di download di Looker: https://download.looker.com/

Nota: le release 25.12 e successive non sono interessate da questo problema di sicurezza.

 Alta CVE-2025-12414

GCP-2025-066

Data di pubblicazione: 2025-11-10

Ultimo aggiornamento: 27/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 27/11/2025: sono state aggiunte le versioni patch per GKE e GDC (bare metal).

In runc, il runtime del container di basso livello predefinito per GKE, è stato scoperto un insieme di tre vulnerabilità di container escape. Le vulnerabilità possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2025-065

Data di pubblicazione: 6 novembre 2025

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità in AMD SEV-SNP (Secure Nested Paging) sulle macchine AMD Milan.

Un attacco potrebbe consentire a un hypervisor dannoso di manipolare i valori di inizializzazione RMP, con conseguente potenziale perdita di integrità della memoria guest AMD SEV-SNP.

Google ha implementato una mitigazione che impedisce questo problema.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente per la mitigazione. Le mitigazioni sono già state applicate alle istanze Confidential VM con AMD SEV-SNP.

Tuttavia, le istanze Confidential VM con AMD SEV-SNP ora utilizzano il formato di attestazione v4. I clienti che utilizzano la libreria go-sev-guest per analizzare i report di attestazione devono eseguire l'aggiornamento a go-sev-guest v0.14.0 o versioni successive.

Per i clienti che utilizzano i propri parser, il formato del report di attestazione è definito dalla specifica ABI del firmware SEV Secure Nested Paging.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta l'avviso di AMD AMD-SB-3020.

 Media CVE-2025-0033

GCP-2025-064

Data di pubblicazione: 28 ottobre 2025

Descrizione

Descrizione Gravità Note

In Envoy Proxy sono state rilevate le seguenti vulnerabilità:

  • CVE-2025-62504
  • CVE-2025-62409

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Media

GCP-2025-063

Data di pubblicazione: 28 ottobre 2025

Ultimo aggiornamento: 17/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/11/2025: sono state aggiunte le versioni patch per i nodi Ubuntu GKE.

Aggiornamento del 30/10/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per il software GDC per VMware

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39682

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39682

GCP-2025-062

Data di pubblicazione: 22 ottobre 2025

Ultimo aggiornamento: 30/10/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2025: sono state aggiunte versioni delle patch per i nodi Ubuntu su GKE, nonché versioni delle patch e una classificazione della gravità per il software GDC per VMware

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-58240

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-58240

GCP-2025-061

Data di pubblicazione: 21 ottobre 2025

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di esecuzione di codice da remoto in Valkey e Redis open source. Di conseguenza, sono interessate tutte le versioni supportate da Memorystore for Redis, Memorystore for Redis Cluster e Memorystore for Valkey.

Per impostazione predefinita, gli asset Memorystore di Google Cloud non sono esposti alla rete internet pubblica, pertanto il rischio di questa vulnerabilità è Basso per gli utenti di Memorystore che seguono le best practice per la sicurezza di Google Cloud.

Cosa dovresti fare?

Google ha iniziato ad applicare le patch automaticamente, con una data di completamento stimata per il 6 novembre 2025. Non è necessario alcun intervento da parte tua per ricevere questa correzione.

Se vuoi applicare queste patch ai tuoi cluster o alle tue istanze Memorystore prima del 6 novembre 2025, utilizza la manutenzione self-service per completare le seguenti azioni:

  1. Visualizza la versione di manutenzione attuale delle tue istanze Memorystore for Redis, cluster in Memorystore for Redis Cluster o istanze Memorystore for Valkey.
  2. Verifica se la versione corrisponde alle ultime versioni con patch.
  3. Se la versione non è l'ultima versione di manutenzione, aggiorna le istanze o i cluster all'ultima versione di manutenzione utilizzando la manutenzione self-service per Memorystore for Redis, Memorystore for Redis Cluster e Memorystore for Valkey.
 Critico CVE-2025-49844

GCP-2025-060

Data di pubblicazione: 21 ottobre 2025

Descrizione

Descrizione Gravità Note

Oracle ha rilasciato un avviso di sicurezza confermando che Oracle E-Business Suite (EBS) è vulnerabile a un exploit non autenticato.

Che cosa devo fare?

Oracle EBS non viene utilizzato da Google e Google Cloud non è interessato da questa vulnerabilità.

 Bassa CVE-2025-61882

GCP-2025-059

Data di pubblicazione: 2025-10-21

Ultimo aggiornamento: 22/10/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/10/2025:è stato aggiunto il link alla CVE.

Il 23 settembre 2025 abbiamo rilevato un problema tecnico nell'API Vertex AI che ha causato l'instradamento errato di un numero limitato di risposte tra i destinatari per alcuni modelli di terze parti durante l'utilizzo di richieste in streaming. Il problema è stato risolto. I modelli Google, ad esempio Gemini, non sono stati interessati.

Alcuni proxy interni non hanno gestito correttamente le richieste HTTP che hanno un'intestazione Expect: 100-continue, causando una desincronizzazione in una connessione di risposta in streaming, in cui una risposta destinata a una richiesta è stata invece inviata come risposta a una richiesta successiva.

Che cosa devo fare?

Abbiamo implementato delle correzioni per gestire correttamente la presenza dell'intestazione Expect: 100-continue ed evitare che il problema si ripresenti. Abbiamo anche aggiunto test, monitoraggio e avvisi in modo da poter rilevare rapidamente un'occorrenza di questo problema per evitare regressioni. Al momento, i clienti non devono intraprendere alcuna azione per evitare che si verifichi il comportamento indesiderato.

Le correzioni sono state implementate per diversi modelli in pianificazioni separate, con i modelli Anthropic corretti entro il 26 settembre alle 09:45 CEST e tutte le piattaforme corrette entro il 29 settembre alle 04:10 CEST. Di seguito sono elencati i modelli interessati nell'API Vertex AI e l'ora della risoluzione:

  • Modelli Partner Model-as-a-Service di Anthropic (Claude)

    • Il problema è stato risolto il 26 settembre 2025 alle 00:45 PDT.

  • Tutti i modelli Open Model-as-a-Service, tra cui: DeepSeek (R1-0528 e V3.1), OpenAI (gpt-oss-120b e gpt-oss-20b), Qwen (Next Instruct 80B, Next Thinking 80B, Qwen 3 Coder e Qwen 3 235B), Llama (Maverick, Scout, 3.3, 3.2, 3.1 405b, 3.1 70b e 3.1 8b)

    • Il problema è stato risolto il 28 settembre 2025 alle 02:43 PDT.

  • Modelli Model-as-a-Service dei partner Mistral e AI21

    • Il problema è stato risolto il 28 settembre 2025 alle 11:00 PDT.

  • Modelli di cui è stato eseguito il deployment autonomo per i quali è stato richiamato il metodo "StreamRawPredict", "ChatCompletions", "GenerateContent" o "StreamGenerateContent" utilizzando endpoint pubblici

    • Il problema è stato risolto il 28 settembre 2025 alle 19:10 PDT.

    • Né gli endpoint dedicati (l'impostazione predefinita in Model Garden) né quelli privati sono stati interessati.

Media CVE-2025-11915

GCP-2025-058

Data di pubblicazione: 2025-10-20

Descrizione

Descrizione Gravità Note

È stato scoperto un difetto nell'istruzione RDSEED nei processori AMD Zen 5 (Turin). Questa istruzione viene utilizzata per generare numeri casuali crittografici. In determinate condizioni di carico del sistema, le versioni a 16 e 32 bit di RDSEED possono non riuscire senza segnalazione, il che potrebbe compromettere le applicazioni che si basano sulla generazione di numeri casuali. I clienti che utilizzano la versione a 64 bit di RDSEED non sono interessati.

Che cosa devo fare?

AMD sta esaminando la vulnerabilità.

È importante notare che il kernel Linux a 64 bit utilizza la versione sicura a 64 bit dell'istruzione RDSEED, che fornisce i numeri casuali ottenuti da /dev/[u]random. Questi numeri casuali non sono interessati da questa vulnerabilità.

Se hai un codice dell'applicazione che sintetizza numeri casuali utilizzando l'istruzione RDSEED, tieni presente che le versioni a 16 e 32 bit dell'istruzione non sono sicure. La versione a 64 bit dell'istruzione è sicura.

Quali vulnerabilità vengono risolte?

Questa vulnerabilità consente a un malintenzionato di causare un errore silenzioso di RDSEED, compromettendo potenzialmente la generazione di numeri casuali nelle applicazioni.

Alta CVE-2025-62626

GCP-2025-057

Data di pubblicazione: 2025-10-17

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 27/10/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38618

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38618

GCP-2025-056

Data di pubblicazione: 16 ottobre 2025

Ultimo aggiornamento: 24 marzo 2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 24/03/2026: sono state aggiunte versioni patch per i nodi Ubuntu con GKE.

Aggiornamento del 13/11/2025: sono state aggiunte le versioni delle patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39946

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39946

GCP-2025-055

Data di pubblicazione: 15 ottobre 2025

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 16/10/2025: sono state aggiunte le versioni delle patch e una classificazione della gravità per il software GDC per VMware

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38617

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38617

GCP-2025-054

Data di pubblicazione: 14/10/2025

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2025-0015, sono state segnalate privatamente a Broadcom diverse vulnerabilità in VMware Aria Operations e VMware Tools. Sono disponibili patch per correggere queste vulnerabilità nei prodotti Broadcom interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation 8.18.5 e VMware Tools 13.0.5.

 Importante

GCP-2025-053

Data di pubblicazione: 30 settembre 2025

Descrizione

Descrizione Gravità Note

Looker Studio ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il Vulnerability Reward Program (VRP) di Google e Alphabet, ma non ha trovato prove di sfruttamento. Questi problemi sono stati risolti e non è necessario alcun intervento da parte dell'utente.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

Quali vulnerabilità vengono risolte?

Le vulnerabilità consentivano l'accesso non autorizzato ai dati tramite report condivisi, origini dati con credenziali del visualizzatore, API Studio Linking e Conversational Analytics.

 Alta

GCP-2025-052

Data di pubblicazione: 2025-09-30

Descrizione

Descrizione Gravità Note

Looker ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il Vulnerability Reward Program (VRP) di Google e Alphabet, ma non ha trovato prove di exploit. Questi problemi sono stati risolti e non è necessario alcun intervento da parte degli utenti per i clienti ospitati da Looker su Looker (Google Cloud core) e Looker (original). Per le istanze Looker in hosting autonomo, si consiglia di eseguire l'aggiornamento all'ultima versione supportata.

Che cosa devo fare?

Istanze ospitate da Looker: istanze di Looker (Google Cloud core) e Looker (originale)

Non è richiesta alcuna azione del cliente.

Solo istanze di Looker ospitate autonomamente

Se la tua istanza di Looker è self-hosted, ti consigliamo di eseguire l'upgrade a una delle seguenti versioni:

  • 25.12.30+
  • 25.10.54+
  • 25.6.79+
  • 25.0.89+
  • 24.18.209+

Nota: le versioni 25.14 e successive non sono interessate da questi problemi di sicurezza.

Quali vulnerabilità vengono risolte?

Le vulnerabilità consentivano agli utenti con autorizzazioni di sviluppatore in Looker di accedere sia al sistema sottostante che ospita Looker sia al suo database interno.

 Alta

GCP-2025-051

Data di pubblicazione: 2025-09-11

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità di sicurezza che interessa le CPU Intel e tutte le CPU AMD Zen. Questa vulnerabilità consente a un malintenzionato di potenzialmente leggere dati sensibili sfruttando vulnerabilità di esecuzione speculativa note.

Che cosa devo fare?

Al momento non è richiesta alcuna azione, poiché Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per mitigare il problema senza interruzioni in tutto il parco risorse.

Quali vulnerabilità vengono risolte?

Per saperne di più, consulta il blog post di COMSEC.

 Alta CVE-2025-40300

GCP-2025-050

Data di pubblicazione: 10 settembre 2025

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 15/10/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38500

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38500

GCP-2025-049

Data di pubblicazione: 2025-09-10

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità critica in Google Security Operations SOAR versioni 6.3.54.0 e 6.3.53.2. Un utente autenticato con autorizzazioni per caricare file ZIP (ad esempio, durante l'importazione di casi d'uso) potrebbe caricare un archivio ZIP in grado di scrivere file in posizioni arbitrarie del file system del server.

Il sistema per l'estrazione dei file dai file ZIP non è riuscito a impedire che i file all'interno dell'archivio vengano scritti al di fuori della cartella di destinazione prevista. Questo problema è noto anche come vulnerabilità Directory Traversal o Zip Slip.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. È stato eseguito l'upgrade automatico di tutti i clienti alla versione corretta o successiva: 6.3.54.1 o 6.3.53.3

Quali vulnerabilità vengono risolte?

Un malintenzionato potrebbe sfruttare questa vulnerabilità per sovrascrivere i file dell'applicazione. Sovrascrivendo un file JavaScript utilizzato dalla funzionalità di generazione dei report, un malintenzionato potrebbe ottenere l'esecuzione di codice remoto (RCE) nell'istanza Google SecOps SOAR. L'utente malintenzionato potrebbe eseguire il proprio codice sul server.

Per saperne di più, consulta il bollettino sulla sicurezza GCP-2025-049 di Google SecOps.

Alta CVE-2025-9918

GCP-2025-048

Data di pubblicazione: 2025-09-02

Descrizione

Descrizione Gravità Note

La seguente vulnerabilità è stata rilevata in Envoy Proxy:

  • CVE-2025-54588

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2025-54588

GCP-2025-047

Data di pubblicazione: 27 agosto 2025

Ultimo aggiornamento: 25/09/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38350

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38350

GCP-2025-046

Data di pubblicazione: 23 agosto 2025

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 15/10/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38477

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38477

GCP-2025-045

Data di pubblicazione: 2025-08-21

Descrizione

Descrizione Gravità Note

Un ricercatore esterno ha segnalato una vulnerabilità nell'API Dataform tramite il Vulnerability Reward Program (VRP) di Google e Alphabet. Questa vulnerabilità potrebbe potenzialmente consentire l'accesso non autorizzato ai repository di codice e ai dati dei clienti. Google ha risolto rapidamente il problema e ha rilasciato la correzione in tutte le regioni. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Google ha già applicato mitigazioni a tutti i prodotti e servizi interessati.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta CVE-2025-9118.

 Critico CVE-2025-9118

GCP-2025-044

Data di pubblicazione: 12 agosto 2025

Descrizione

Descrizione Gravità Note

Intel ha informato Google di due nuove vulnerabilità della sicurezza.

CVE-2025-21090: questa vulnerabilità interessa i seguenti processori Intel:

  • Sapphire Rapids: famiglie di VM C3, Z3, H3, A3, v5p
  • Emerald Rapids: famiglie di VM N4, C4, M4, A3 Ultra, A4
  • Granite Rapids: famiglia di VM N4 e C4

CVE-2025-22840: questa vulnerabilità interessa il seguente processore Intel:

  • Granite Rapids: famiglia di VM N4, C4

Che cosa devo fare?

Non è richiesto alcun intervento da parte del cliente per nessuna delle due vulnerabilità. Google aggiornerà in modo proattivo i tuoi sistemi durante i periodi di manutenzione standard e pianificati. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Quali vulnerabilità vengono affrontate?

La vulnerabilità, CVE-2025-21090, consente a un attore non privilegiato di utilizzare l'istruzione della CPU AMX, insieme all'istruzione della CPU AVX, per rendere inutilizzabile la macchina host.

La vulnerabilità, CVE-2025-22840, consente a un attore non privilegiato che utilizza l'istruzione della CPU prefetchit di caricare contenuti della memoria a cui altrimenti non avrebbe accesso, con la potenziale conseguenza di un'esecuzione di codice da remoto.

 Media

GCP-2025-043

Data di pubblicazione: 12 agosto 2025

Descrizione

Descrizione Gravità Note

Esiste una potenziale vulnerabilità Denial of Service (DoS) nell'implementazione pure-Python di protobuf-python. Un malintenzionato può causare l'arresto anomalo di un servizio inviando un messaggio appositamente creato.

Impatto

Potresti essere interessato se importi protobuf-python nei tuoi progetti, direttamente o in modo transitivo. Tieni presente che le librerie client di Cloud per Python utilizzano protobuf-python come dipendenza. Se utilizzi queste librerie, assicurati di utilizzare una versione di protobuf-python menzionata nella sezione seguente.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • protobuf-python (4.25.8, 5.29.5, 6.31.1)

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

La vulnerabilità deriva dalla ricorsione illimitata quando il backend pure-Python analizza determinati messaggi buffer di protocollo. Un malintenzionato non autenticato può inviare un messaggio contenente gruppi ricorsivi profondamente nidificati, messaggi o una serie di tag SGROUP. Questo input fa sì che l'interprete Python superi la profondità massima di ricorsione, attivando un RecursionError che causa l'arresto anomalo del servizio, con conseguente Denial of Service. Qualsiasi progetto che analizza dati non attendibili con il backend interessato è a rischio.

Per saperne di più, consulta l' avviso di sicurezza di Protobuf.

Alta

CVSS v4.0

Punteggio: 8.2

 CVE-2025-4565

Questo problema riguarda solo il backend di implementazione di Protobuf python.

Indipendentemente dal valore restituito durante il controllo del backend di implementazione di Protobuf, è consigliabile un upgrade poiché la variabile di ambiente PROTOCOL_BUFFERS_PYTHON_IMPLEMENTATION può modificare il backend di implementazione di Protobuf durante l'esecuzione.

GCP-2025-042

Data di pubblicazione: 11 agosto 2025

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità di sicurezza in CPU Intel specifiche, incluse quelle basate sulle microarchitetture Skylake, Broadwell e Haswell. Questa vulnerabilità consente a un malintenzionato di leggere potenzialmente dati sensibili direttamente dalla cache L1 della CPU a cui non è autorizzato ad accedere.

Questa vulnerabilità è stata inizialmente divulgata in CVE-2018-3646 nel 2018. Dopo aver scoperto questa vulnerabilità, Google ha implementato immediatamente delle mitigazioni che hanno affrontato i rischi noti. La comunicazione relativa alla vulnerabilità e alle correzioni iniziali è stata pubblicata in quel momento. Da allora, abbiamo effettuato ricerche sul rischio residuo e collaborato con la community Linux upstream per rimediare a questo rischio.

Di recente abbiamo collaborato con ricercatori di sicurezza del mondo accademico per valutare lo stato dell'arte delle mitigazioni della sicurezza della CPU e le potenziali tecniche di attacco non prese in considerazione nel 2018.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per mitigare il problema.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Le mitigazioni sono già state applicate alla flotta di server Google.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta l'avviso di Intel INTEL-SA-00161 e CVE-2018-3646.

 Alta CVE-2018-3646

GCP-2025-041

Data di pubblicazione: 21 luglio 2025

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni delle patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu:

  • CVE-2025-37890

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37890

GCP-2025-040

Data di pubblicazione: 2025-07-15

Descrizione

Descrizione Gravità Note

In base all'avviso VMSA-2025-0013, diverse vulnerabilità in VMware ESXi sono state segnalate privatamente a Broadcom.

Abbiamo già applicato le patch per queste vulnerabilità o stiamo applicando le patch necessarie fornite da Broadcom. Non sono note soluzioni alternative per queste vulnerabilità segnalate.

Una volta applicata la patch, i deployment di VMware Engine devono eseguire ESXi 7.0U3w o ESXi 8.0U3f o versioni successive.

Che cosa devo fare?

Google consiglia ai clienti di monitorare i propri workload su VMware Engine per rilevare eventuali attività insolite.

 Da medio a critico

GCP-2025-039

Data di pubblicazione: 15 luglio 2025

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Aggiornamento del 28/08/2025: sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38083

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38083

GCP-2025-038

Data di pubblicazione: 9 luglio 2025

Ultimo aggiornamento: 25/09/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37752

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37752

GCP-2025-037

Data di pubblicazione: 8 luglio 2025

Descrizione Gravità Note

AMD ha divulgato due vulnerabilità che interessano le CPU AMD EPYC di 2ª generazione (Rome), 3ª generazione (Milan) e 4ª generazione (Genoa). Le vulnerabilità consentono a un malintenzionato di dedurre dati da negozi precedenti o dalla cache L1D, con conseguente potenziale perdita di informazioni sensibili.

Google ha implementato una mitigazione che impedisce questa fuga di informazioni tra le VM.

Esiste ancora la possibilità che i processi all'interno di una singola VM possano sfruttare queste vulnerabilità.

Che cosa devo fare?

Dopo l'8 luglio 2025, una mitigazione a livello di guest che protegge dagli attacchi intra-guest è disponibile per le seguenti VM:

  • VM avviate per la prima volta.
  • VM che vengono arrestate completamente e avviate di nuovo. I riavvii del sistema operativo non attiveranno la mitigazione, pertanto la VM stessa deve essere riavviata completamente per attivare la mitigazione. Affinché questa mitigazione sia efficace, i kernel del sistema operativo guest devono supportarla.

Per saperne di più, consulta il bollettino sulla sicurezza di AMD AMD-SB-7029.

Media

GCP-2025-036

Data di pubblicazione: 2025-07-01

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. Gravità aggiornata ad Alta per il software GDC per VMware.

Aggiornamento del 21/07/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38001

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38001

GCP-2025-035

Data di pubblicazione: 17 giugno 2025

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. Gravità aggiornata ad Alta per il software GDC per VMware.

Aggiornamento del 21/07/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37997

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37997

GCP-2025-034

Data di pubblicazione: 2025-06-17

Ultimo aggiornamento: 21/07/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/07/2025: Sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38000

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38000

GCP-2025-033

Data di pubblicazione: 6 giugno 2025

Descrizione

Descrizione Gravità Note

È stato scoperto un problema di sicurezza in cui gli autori degli attacchi potrebbero essere in grado di aggirare le limitazioni di isolamento dei carichi di lavoro sui cluster GKE.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media N/D

GCP-2025-032

Data di pubblicazione: 3 giugno 2025

Ultimo aggiornamento: 21/07/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/07/2025: Sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37798

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37798

GCP-2025-031

Data di pubblicazione: 2025-06-03

Ultimo aggiornamento: 26/08/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/08/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37797

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37797

GCP-2025-030

Data di pubblicazione: 2025-05-23

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2024-0017, una vulnerabilità di SQL injection in VMware Aria Automation è stata segnalata privatamente a VMware. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation KB325790.

Importante

GCP-2025-029

Data di pubblicazione: 23 maggio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2025-0006, è stata segnalata a VMware una vulnerabilità di escalation dei privilegi locali in VMware Aria Operations. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Operations 8.18 HF5.

Importante

GCP-2025-028

Data di pubblicazione: 23 maggio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2025-0003, sono state segnalate privatamente a VMware diverse vulnerabilità in VMware Aria Operations for Logs e VMware Aria Operations. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Operations for Logs 8.18.3 e VMware Aria Operations alla versione 8.18.3.

Importante

GCP-2025-027

Data di pubblicazione: 16 maggio 2025

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di sicurezza nel servizio bilanciatore del carico delle applicazioni classico prima del 26 aprile 2025.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Il problema è stato risolto nel servizio bilanciatore del carico delle applicazioni classico il 26 aprile 2025.

Quali vulnerabilità vengono affrontate?

CVE-2025-4600 consentiva agli utenti malintenzionati di eseguire il contrabbando di richieste ai bilanciatori del carico delle applicazioni classici a causa di un'analisi errata dei corpi dei blocchi di dimensioni eccessive. Durante l'analisi del corpo della richiesta di una richiesta HTTP che utilizza la codifica di trasferimento in blocchi, il bilanciatore del carico delle applicazioni classico consente corpi di blocchi di dimensioni eccessive. Di conseguenza, era possibile nascondere byte all'interno di questi dati finali ignorati che un server HTTP upstream avrebbe potuto interpretare erroneamente come un terminatore di riga. Questa vulnerabilità è stata risolta all'interno del servizio del bilanciatore del carico delle applicazioni classico il 26 aprile 2025 tramite una logica di analisi e convalida degli input migliorata.

Siamo a tua disposizione

Per qualsiasi domanda o se hai bisogno di aiuto, contatta l'assistenza clienti Google Cloud.

 Alta CVE-2025-4600

GCP-2025-026

Data di pubblicazione: 15/05/2025

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2025-0008, una vulnerabilità di cross-site scripting (XSS) basata sul DOM in VMware Aria Automation è stata segnalata privatamente a VMware. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation 8.18.1 patch 2.

Importante

GCP-2025-025

Data di pubblicazione: 13 maggio 2025

Descrizione

Descrizione Gravità Note

Intel ha informato Google di una nuova vulnerabilità del canale laterale che interessa i seguenti processori Intel: CascadeLake, Ice Lake XeonSP, Ice Lake XeonD, Sapphire Rapids ed Emerald Rapids.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Sono già state applicate correzioni al parco server di Google per proteggere i clienti.

Quali vulnerabilità vengono affrontate?

CVE-2024-45332. Per saperne di più, consulta l'avviso di Intel INTEL-SA-01247.

Siamo a tua disposizione

Per domande o per assistenza, contatta l'assistenza clienti Google Cloud e menziona il codice problema 417536835.

 Alta CVE-2024-45332

GCP-2025-024

Data di pubblicazione: 12 maggio 2025

Ultimo aggiornamento: 13 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 13 maggio 2025: per domande o per assistenza, contatta l'assistenza clienti Google Cloud e menziona il codice problema 417458390.

Intel ha informato Google di una nuova vulnerabilità di esecuzione speculativa che interessa i processori Intel Cascade Lake e Intel Ice Lake.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Le mitigazioni sono già state applicate al parco server di Google.

Ulteriori mitigazioni da parte dei produttori di apparecchiature originali (OEM) di Intel e di altri partner di sistemi operativi verranno implementate non appena saranno disponibili per mitigare la vulnerabilità di Indirect Target Selection (ITS) in modalità identica.

Dopo l'applicazione delle mitigazioni del sistema operativo, i clienti con VM di 3ª generazione o successive con un tempo di esecuzione lungo potrebbero riscontrare un peggioramento involontario delle prestazioni

Quali vulnerabilità vengono affrontate?

CVE-2024-28956. Per saperne di più, consulta l'avviso di sicurezza Intel INTEL-SA-01153.

 Alta CVE-2024-28956

GCP-2025-023

Data di pubblicazione: 5 maggio 2025

Descrizione

Descrizione Gravità Note

Sono state scoperte e risolte potenziali lacune di sicurezza che potrebbero essere sfruttate se non vengono affrontate nelle policy JavaCallout e PythonScript.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Apigee.

Alta CVE-2023-44487

GCP-2025-022

Data di pubblicazione: 1° maggio 2025

Aggiornamento:22/05/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: Sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21702

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21702

GCP-2025-021

Data di pubblicazione: 29 aprile 2025

Ultimo aggiornamento: 2 giugno 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 02/06/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21971

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21971

GCP-2025-020

Data di pubblicazione: 2025-04-29

Descrizione

Descrizione Gravità Note

Una vulnerabilità in Looker consentiva agli utenti con autorizzazioni amministrative (nello specifico: manage_project_connections_restricted) in Looker di leggere i file dal file system host sottostante e di eseguire query sugli endpoint di rete interni. Il problema è stato risolto e non è necessario alcun intervento da parte degli utenti per i clienti ospitati da Looker che utilizzano Looker (Google Cloud core) e Looker (originale). Per le istanze Looker in hosting autonomo, si consiglia di eseguire l'aggiornamento all'ultima versione supportata.

Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker ospitato dal cliente, disponibili nella pagina di download di Looker.

Che cosa devo fare?

  • Per tutte le istanze ospitate da Looker, incluse quelle di Looker (Google Cloud core) e Looker (originale), non è necessario alcun intervento da parte tua.
  • Per le istanze ospitate dal cliente di Looker, esegui l'aggiornamento all'ultima versione supportata di Looker il prima possibile. Le versioni riportate di seguito sono state tutte aggiornate per proteggere da questa vulnerabilità. Puoi scaricare queste versioni dalla pagina di download di Looker:
    • 25.4 -> 25.4.29+
    • 25.2 -> 25.2.34+
    • 25.0 -> 25.0.55+
    • 24.18 -> 24.18.185+
    • 01:12:24,458 --> 01:12:25,458
    • 24.6 -> 24.6.107+
 Alta

GCP-2025-019

Data di pubblicazione: 2025-04-25

Ultimo aggiornamento: 26/06/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/06/2025: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 22/05/2025: sono state aggiunte le versioni delle patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-21701

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21701

GCP-2025-018

Data di pubblicazione: 2025-04-23

Ultimo aggiornamento: 9 ottobre 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 09/10/2025: sono state aggiunte le versioni patch per i nodi Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-40364

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40364

GCP-2025-017

Data di pubblicazione: 17 aprile 2025

Aggiornamento:22/05/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 5 maggio 2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21756

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21756

GCP-2025-016

Data di pubblicazione: 16/04/2025

Ultimo aggiornamento: 22 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 29/04/2025: aggiunta la versione patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2023-52927

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-52927

GCP-2025-015

Data di pubblicazione: 2025-04-15

Aggiornamento:22/05/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22 maggio 2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 17/04/2025: sono state aggiunte le versioni patch per GDC (VMware). Aggiornamento della gravità di GDC (VMware) da In attesa ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21700

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21700

GCP-2025-014

Data di pubblicazione: 2025-04-10

Ultimo aggiornamento: 22 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 5 maggio 2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21703

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21703

GCP-2025-013

Data di pubblicazione: 24 marzo 2025

Descrizione

Descrizione Gravità Note

Sono stati rilevati diversi problemi di sicurezza nel controller Ingress NGINX, ingress-nginx, un componente software open source che viene eseguito all'interno dei cluster Kubernetes per facilitare la gestione del traffico di rete in entrata nel cluster. La più critica è CVE-2025-1974. Per i dettagli completi e un elenco completo, consulta il feed CVE di Kubernetes.

Questi problemi influiscono su ingress-nginx. Se non hai ingress-nginx installato sul tuo cluster, non sei interessato.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2025-1974

GCP-2025-012

Data di pubblicazione: 19/03/2025

Ultimo aggiornamento: 10/04/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/04/2025: sono state aggiunte le versioni patch per i nodi GKE Ubuntu e il software GDC per VMware. Gravità aggiornata ad Alta per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-53164

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-53164

GCP-2025-011

Data di pubblicazione: 6/03/2025

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2025-0004 che interessano i componenti ESXi distribuiti negli ambienti dei clienti.

Impatto di VMware Engine

I tuoi cloud privati sono già stati corretti o sono in fase di aggiornamento per risolvere la vulnerabilità di sicurezza. Nell'ambito del servizio VMware Engine, tutti i clienti ricevono host bare metal dedicati con dischi collegati localmente, fisicamente isolati da altro hardware. Ciò significa che la vulnerabilità è limitata alle VM guest all'interno del tuo cloud privato specifico.

I tuoi cloud privati verranno aggiornati alla build 24534642 della versione 7.0u3s. Questo equivale a 7.0U3s: numero build 24585291.

Che cosa devo fare?

Segui le istruzioni di Broadcom e dei tuoi fornitori di sicurezza in merito a questa vulnerabilità.

Critico

GCP-2025-010

Data di pubblicazione: 5 marzo 2025

Ultimo aggiornamento: 2 giugno 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 02/06/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 10 aprile 2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-56770

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-56770

GCP-2025-009

Data di pubblicazione: 2025-03-05

Descrizione

Descrizione Gravità Note

Il progetto Envoy ha recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2024-53269, CVE-2024-53270 e CVE-2024-53271) che potrebbero consentire a un aggressore di arrestare in modo anomalo Envoy.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2025-008

Data di pubblicazione: 19 febbraio 2025

Ultimo aggiornamento: 10/04/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10 aprile 2025: sono state aggiunte le versioni patch per il software GDC per VMware. Gravità aggiornata ad Alta per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-53141

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-53141

GCP-2025-007

Data di pubblicazione: 2025-02-03

Descrizione

Descrizione Gravità Note

Google ha scoperto una vulnerabilità nelle CPU basate su AMD Zen che interessa le istanze Confidential VM con AMD SEV-SNP abilitato. Questa vulnerabilità consente agli aggressori con accesso root in una macchina fisica di compromettere la riservatezza e l'integrità dell'istanza Confidential VM.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. I clienti che vogliono verificare la correzione possono controllare la versione di Trusted Computing Base (TCB) nel report di attestazione della loro istanza Confidential VM con AMD SEV-SNP. Le versioni minime che mitigano questa vulnerabilità sono le seguenti:

SNP TCB SVN: 0x18 0d24
tcb_version {
  psp_bootloader_version: 4
  snp_firmware_version: 24 (0x18)
  microcode_version: 219
}

Per saperne di più, consulta il bollettino sulla sicurezza di AMD AMD-SB-3019.

 Alta

CVE-2024-56161

GCP-2025-006

Data di pubblicazione: 23 gennaio 2025

Descrizione

Descrizione Gravità Note

Una vulnerabilità nel provider Google Secret Manager per il driver CSI Secret Store consente a un malintenzionato con autorizzazioni di creazione di pod e secret in uno spazio dei nomi di esfiltrare il token dell'account di servizio Kubernetes del driver CSI montando un volume dannoso su un pod.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2025-005

Data di pubblicazione: 2025-01-22

Descrizione

Descrizione Gravità Note

I server che utilizzano le librerie di autenticazione di Google e le librerie client di Cloud per l'autenticazione su Google Cloud con una configurazione delle credenziali controllata da un utente malintenzionato potrebbero essere soggetti a falsificazione delle richieste lato server e letture di file arbitrarie.

Che cosa devo fare?

Se accetti una configurazione delle credenziali (JSON, file o stream delle credenziali) da una fonte esterna per l'autenticazione in Google Cloud, devi convalidarla prima di fornirla alle librerie di autenticazione di Google o alle librerie client di Cloud. Fornire una configurazione delle credenziali non convalidate alle librerie Google può compromettere la sicurezza dei tuoi sistemi e dei tuoi dati. Per saperne di più, consulta Convalida le configurazioni delle credenziali da origini esterne.

Quali vulnerabilità vengono affrontate?

Alcuni tipi di configurazioni delle credenziali includono endpoint e percorsi file, che le librerie di autenticazione utilizzano per acquisire un token. Quando un servizio o un'applicazione accetta configurazioni delle credenziali di origine esterna e le utilizza con le librerie di autenticazione di Google o le librerie client di Cloud senza convalida, un utente malintenzionato può fornire una configurazione delle credenziali che contiene un endpoint o un percorso dannoso. Ciò consente all'utente malintenzionato di esfiltrare dati o token dal servizio o dalla macchina su cui è in esecuzione il servizio. Per evitare questo problema, le convalide devono essere eseguite sulla configurazione delle credenziali di origine esterna, come descritto in Convalida le configurazioni delle credenziali da origini esterne.

Per informare gli sviluppatori di applicazioni, abbiamo aggiornato la nostra documentazione con le convalide da eseguire quando si accettano configurazioni delle credenziali ottenute da fonti esterne.

Alta

GCP-2025-004

Data di pubblicazione: 16 gennaio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2025-0001, una vulnerabilità di tipo Server-Side Request Forgery (SSRF) in VMware Aria Automation è stata segnalata in modo responsabile a VMware. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation 8.18.2 HF.

Media

GCP-2025-003

Data di pubblicazione: 2025-01-09

Ultimo aggiornamento: 23/01/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 23 gennaio 2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-50264

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-50264

GCP-2025-002

Data di pubblicazione: 2025-01-09

Ultimo aggiornamento: 23/01/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 23 gennaio 2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 22/01/2025: sono state aggiunte le versioni patch per GDC (VMware). La gravità per GDC (VMware) è stata aggiornata a Media.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-53057

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-53057

GCP-2025-001

Data di pubblicazione: 2025-01-08

Ultimo aggiornamento: 23/01/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 23/01/2025: è stata aggiornata la sezione Risorse interessate nella scheda GKE.

Aggiornamento del 08/01/2025: è stata corretta la data e l'ora di inizio del problema.

Un problema di sicurezza ha interessato le risorse nei VPC con GKE Multi-Cluster Gateway (MCG) configurato. MCG è una funzionalità facoltativa utilizzata da un piccolo sottoinsieme di clienti GKE. Stiamo inviando una notifica individuale ai clienti che avevano attivato la funzionalità durante questo periodo di tempo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta Nessuno

GCP-2024-065

Descrizione

Descrizione Gravità Note

I seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-53269: Happy Eyeballs: verifica che additional_address siano indirizzi IP anziché causare un arresto anomalo durante l'ordinamento.
  • CVE-2024-53270: HTTP/1: l'invio di un sovraccarico causa un arresto anomalo quando la richiesta viene reimpostata in anticipo.
  • CVE-2024-53271: HTTP/1.1 Diversi problemi con envoy.reloadable_features.http1_balsa_delay_reset.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-064

Data di pubblicazione: 10/12/2024

Descrizione Gravità Note

In base al bollettino sulla sicurezza di VMware VMSA-2024-0022, sono state segnalate in modo responsabile a VMware diverse vulnerabilità in VMware Aria Operations. Sono disponibili aggiornamenti per correggere queste vulnerabilità nel prodotto VMware interessato.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Operations 8.18.2.

Importante

GCP-2024-063

Data di pubblicazione: 2024-12-06

Descrizione Gravità Note

È stata rilevata una vulnerabilità nell'API Vertex AI che gestisce le richieste multimodali di Gemini, consentendo il bypass dei Controlli di servizio VPC. Un malintenzionato potrebbe essere in grado di utilizzare in modo improprio il parametro fileURI dell'API per esfiltrare i dati.

Che cosa devo fare?

Nessuna azione richiesta. Abbiamo implementato una correzione per restituire un messaggio di errore quando viene specificato un URL del file multimediale nel parametro fileUri e i Controlli di servizio VPC sono abilitati. Altri casi d'uso non sono interessati.

Quali vulnerabilità vengono risolte?

L'API Cloud Support che gestisce le richieste multimodali di Gemini ti consente di includere file multimediali specificando l'URL del file multimediale nel parametro fileUri. Questa funzionalità può essere utilizzata per bypassare i perimetri dei Controlli di servizio VPC. Un utente malintenzionato all'interno del perimetro di servizio potrebbe codificare i dati sensibili nel parametro fileURI per bypassare il perimetro di servizio.

Media CVE-2024-12236

GCP-2024-062

Data di pubblicazione: 2024-12-02

Ultimo aggiornamento: 22/01/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/01/2025: sono state aggiunte le versioni patch per GDC (VMware). Aggiornamento della gravità di GDC (VMware) da In attesa ad Alta.

Aggiornamento del 12/12/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-46800

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-46800

GCP-2024-061

Data di pubblicazione: 25 novembre 2024

Descrizione

Descrizione Gravità Note

Un problema di sicurezza rilevato nei cluster Kubernetes potrebbe comportare l'esecuzione di codice da remoto utilizzando un volume gitRepo. Se il repository Git è costruito in modo dannoso, un utente con la possibilità di creare un pod e associare un volume gitRepo potrebbe eseguire comandi arbitrari oltre il confine del container.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-10220

GCP-2024-060

Data di pubblicazione: 17/10/2024

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2024-0020, sono state segnalate in modo responsabile a VMware diverse vulnerabilità in VMware NSX.

La versione NSX-T in esecuzione nel tuo ambiente VMware Engine non è interessata da CVE-2024-38815, CVE-2024-38818 o CVE-2024-38817.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Media

GCP-2024-059

Data di pubblicazione: 16/10/2024

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2024-0021, una vulnerabilità di SQL injection autenticata in VMware HCX è stata segnalata privatamente a VMware.

Abbiamo applicato la mitigazione approvata da VMware per risolvere questa vulnerabilità. Questa correzione risolve una vulnerabilità di sicurezza descritta in CVE-2024-38814. Le versioni immagine in esecuzione nel tuo cloud privato VMware Engine non riflettono alcuna modifica in questo momento per indicare le modifiche applicate. Sono state installate le mitigazioni appropriate e il tuo ambiente è protetto da questa vulnerabilità.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware HCX versione 4.9.2.

Alta

GCP-2024-058

Data di pubblicazione: 2024-10-16

Descrizione

Descrizione Gravità Note

Migrate to Containers per Windows versioni da 1.1.0 a 1.2.2 ha creato un m2cuser locale con privilegi amministrativi. Questo comportava un rischio per la sicurezza se i comandi analyze o generate venivano interrotti dall'utente o a causa di un errore interno che causava l'omissione dell'azione di eliminazione dell'utente locale m2cuser.

Che cosa devo fare?

Le seguenti versioni dell'interfaccia a riga di comando Migrate to Containers per Windows sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire manualmente l'upgrade dell'interfaccia a riga di comando di Migrate to Containers alla versione seguente o a una versione successiva:

Quali vulnerabilità vengono affrontate?

La vulnerabilità, CVE-2024-9858, consente a un malintenzionato di ottenere l'accesso amministrativo alle macchine Windows interessate utilizzando l'utente amministratore locale creato dal software Migrate to Containers.

 Media CVE-2024-9858

GCP-2024-057

Data di pubblicazione: 3 ottobre 2024

Ultimo aggiornamento: 19/11/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/11/2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 15/10/2024: sono state aggiunte le versioni delle patch per GDC (VMware). Livelli di gravità aggiornati di GKE e GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-45016

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2024-45016

GCP-2024-056

Data di pubblicazione: 2024-09-27

Descrizione

Descrizione Gravità Note

Una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto è stata scoperta nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux. Un malintenzionato può sfruttare questa vulnerabilità se i servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno

GCP-2024-055

Data di pubblicazione: 24 settembre 2024

Descrizione

Descrizione Gravità Note

Una vulnerabilità di HTTP Request Smuggling in Looker ha consentito a un malintenzionato non autorizzato di acquisire risposte HTTP destinate a utenti legittimi.

Esistono due versioni di Looker ospitate da Looker:

  • È stato rilevato che Looker (Google Cloud core) è vulnerabile. Questo problema è già stato mitigato e la nostra indagine non ha rilevato segni di sfruttamento.
  • Looker (originale) non era vulnerabile a questo problema.

Le istanze di Looker ospitate dal cliente sono risultate vulnerabili e devono essere aggiornate a una delle versioni riportate di seguito.

Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker ospitato dal cliente, disponibili nella pagina di download di Looker.

Che cosa devo fare?

  • Per tutte le istanze ospitate da Looker, incluse quelle di Looker (Google Cloud core), non è richiesta alcuna azione da parte tua.
  • Per le istanze ospitate dal cliente di Looker, esegui l'aggiornamento all'ultima versione supportata di Looker il prima possibile. Le versioni riportate di seguito sono state tutte aggiornate per proteggere da questa vulnerabilità. Puoi scaricare queste versioni dalla pagina di download di Looker:
    • 23.12 -> 23.12.123+
    • 23.18 -> 23.18.117+
    • 24.0 -> 24.0.92+
    • 24.6 -> 24.6.77+
    • 24.8 -> 24.8.66+
    • 24.10 -> 24.10.78+
    • 24.12 -> 24.12.56+
    • 24.14 -> 24.14.37+

Quali vulnerabilità vengono affrontate?

La vulnerabilità, CVE-2024-8912, consente a un attaccante di inviare intestazioni della richiesta HTTP create ad hoc a Looker, con la possibile intercettazione di risposte HTTP destinate ad altri utenti.

Queste risposte potrebbero contenere informazioni sensibili.

Questa vulnerabilità è sfruttabile solo in determinate configurazioni specifiche.

Media CVE-2024-8912

GCP-2024-054

Data di pubblicazione: 2024-09-23

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei container e gli utenti NT AUTHORITY\Authenticated potrebbero essere in grado di modificare i log dei container.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2024-5321

GCP-2024-053

Data di pubblicazione: 2024-09-19

Descrizione

Descrizione Gravità Note

Durante l'analisi di campi sconosciuti nelle librerie Protobuf Java Full e Lite, un messaggio creato con intenti dannosi può causare un errore StackOverflow e l'arresto anomalo del programma.

Che cosa devo fare?

Abbiamo lavorato diligentemente per risolvere il problema e abbiamo rilasciato una mitigazione che è ora disponibile. Ti consigliamo di utilizzare le ultime versioni dei seguenti pacchetti software:

  • protobuf-java (3.25.5, 4.27.5, 4.28.2)
  • protobuf-javalite (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin-lite (3.25.5, 4.27.5, 4.28.2)
  • com-protobuf [solo gem JRuby] (3.25.5, 4.27.5, 4.28.2)

Quali vulnerabilità vengono affrontate da questa patch?

Questa vulnerabilità è un potenziale Denial of Service.

L'analisi di gruppi nidificati come campi sconosciuti con DiscardUnknownFieldsParser o Java Protobuf Lite Parser o rispetto ai campi della mappa Protobuf crea ricorsioni illimitate che possono essere sfruttate da un malintenzionato.

Punteggio CVSS4.0 8,7

Alta

 CVE-2024-7254

GCP-2024-052

Descrizione

Descrizione Gravità Note

I seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-45807: arresto anomalo di oghttp2 su OnBeginHeadersForStream
  • CVE-2024-45808: Iniezione di log dannosi tramite i log di accesso
  • CVE-2024-45806: Possibilità di manipolare le intestazioni "x-envoy" da fonti esterne
  • CVE-2024-45809: arresto anomalo del filtro JWT nella cache di route vuota con JWK remoti
  • CVE-2024-45810: Envoy si arresta in modo anomalo per LocalReply nel client asincrono http

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da medio ad alto

GCP-2024-051

Data di pubblicazione: 18 settembre 2024

Descrizione Gravità Note

VMware ha divulgato più vulnerabilità in VMSA-2024-0019 che interessano i componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di VMware Engine

  • Google ha già disattivato qualsiasi potenziale exploit di questa vulnerabilità. Ad esempio, Google ha bloccato le porte attraverso le quali questa vulnerabilità potrebbe essere sfruttata.
  • Inoltre, Google garantisce che tutte le implementazioni future di vCenter non siano esposte a questa vulnerabilità.

Che cosa devo fare?

Non sono richieste ulteriori azioni in questo momento.

Critico

GCP-2024-050

Data di pubblicazione: 2024-09-04

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità di esecuzione di codice da remoto (CVE-2024-38063) in Windows. Un malintenzionato potrebbe sfruttare questa vulnerabilità da remoto inviando pacchetti IPv6 appositamente creati a un host.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2024-38063

GCP-2024-049

Data di pubblicazione: 2024-08-21

Ultimo aggiornamento: 1° novembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 1° novembre 2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 21/10/2024:sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-36978

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-36978

GCP-2024-048

Data di pubblicazione: 2024-08-20

Ultimo aggiornamento: 30 ottobre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 25/10/2024: sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-41009

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-41009

GCP-2024-047

Data di pubblicazione: 19 agosto 2024

Ultimo aggiornamento: 30 ottobre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 21/10/2024:sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-39503

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-39503

GCP-2024-046

Data di pubblicazione: 2024-08-05

Descrizione

Descrizione Gravità Note

AMD ha informato Google di tre nuove vulnerabilità del firmware (due a rischio medio, una a rischio elevato) che interessano SEV-SNP nelle CPU AMD EPYC di 3ª generazione (Milan) e 4ª generazione (Genoa).

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Le correzioni sono già state applicate al parco server di Google.

Per saperne di più, consulta il bollettino sulla sicurezza di AMD AMD-SN-3011.

 Medio-alta

CVE-2023-31355

CVE-2024-21978

CVE-2024-21980

GCP-2024-045

Data di pubblicazione: 17 luglio 2024

Ultimo aggiornamento: 19 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 21/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26925

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26925

GCP-2024-044

Data di pubblicazione: 16 luglio 2024

Ultimo aggiornamento: 30 ottobre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 21/10/2024:sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-36972

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-36972

GCP-2024-043

Data di pubblicazione: 16 luglio 2024

Ultimo aggiornamento: 2024-10-02

Descrizione

Descrizione Gravità Note

Aggiornamento del 2/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 20/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26921

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26921

GCP-2024-042

Data di pubblicazione: 15/07/2024

Ultimo aggiornamento: 18 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: è stato chiarito che i cluster Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26809

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26809

GCP-2024-041

Data di pubblicazione: 2024-07-08

Ultimo aggiornamento: 16 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 19/07/2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-52654
  • CVE-2023-52656

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2024-040

Data di pubblicazione: 1° luglio 2024

Ultimo aggiornamento: 16 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamenti del 16/07/2024:

Alcuni clienti dell'accesso VPC serverless sono potenzialmente interessati da una vulnerabilità in OpenSSH (CVE-2024-6387). In caso di exploit riuscito, ciò potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina virtuale di destinazione. Lo sfruttamento è considerato difficile. Ad esempio, i clienti non possono accedere alle VM e le VM non hanno IP pubblici. Non siamo a conoscenza di tentativi di sfruttamento.

Che cosa devo fare?

I deployment di accesso VPC serverless sono stati aggiornati automaticamente da Google, ove possibile. Tuttavia, devi verificare che l'agente di servizio gestito da Google disponga del ruolo richiesto. In caso contrario, il connettore di accesso VPC serverless potrebbe essere ancora vulnerabile. Ti consigliamo di eseguire la migrazione al VPC diretto per il traffico in uscita o di eseguire il deployment di un nuovo connettore ed eliminare quello precedente per assicurarti di avere l'aggiornamento richiesto con la correzione.

Aggiornamento del 11/07/2024: sono state aggiunte le versioni delle patch per il software GDC per VMware, GKE su AWS e GKE su Azure. Per i dettagli, consulta i seguenti bollettini nella documentazione di GKE:

Aggiornamento del 10/07/2024:

  • Aggiunto il bollettino sulla sicurezza per Migrate to Virtual Machines.

Aggiornamenti del 9 luglio 2024:

Alcuni clienti dell'ambiente flessibile di App Engine sono potenzialmente interessati da una vulnerabilità in OpenSSH (CVE-2024-6387). In caso di exploit riuscito, ciò potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina virtuale di destinazione.

Che cosa devo fare?

Google ha già aggiornato automaticamente le implementazioni dell'ambiente flessibile, ove possibile. Tuttavia, alcuni clienti che hanno disattivato l'agente di servizio gestito da Google o hanno apportato modifiche alle API Google Cloud o ad altre configurazioni predefinite non hanno potuto eseguire l'aggiornamento e potrebbero essere ancora vulnerabili. Devi eseguire il deployment di una nuova versione della tua app per ricevere l'aggiornamento con la correzione.

Tieni presente che i deployment aggiornati segnaleranno la versione SSH OpenSSH_9.6p1. Questa versione è stata aggiornata con una correzione per CVE-2024-6387.

Quali vulnerabilità vengono risolte?

La vulnerabilità CVE-2024-6387, che consente a un attaccante remoto non autenticato di eseguire codice arbitrario come root sulla macchina di destinazione.

Aggiornamenti dell'8 luglio 2024:

I cluster Managed Service for Apache Spark su Google Compute Engine in esecuzione su versioni immagine 2.2 (tutti i sistemi operativi) e 2.1 (solo Debian) sono interessati da una vulnerabilità in OpenSSH (CVE-2024-6387) che, in caso di sfruttamento riuscito, potrebbe consentire a un malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina di destinazione.

Le versioni immagine 2.0 e 1.5 di Managed Service for Apache Spark su Google Compute Engine, nonché le immagini Managed Service for Apache Spark versione 2.1 non in esecuzione su Debian, non sono interessate. I cluster Managed Service for Apache Spark con l'autenticazione personale abilitata non sono interessati. Anche Managed Service for Apache Spark Serverless non è interessato.

Che cosa devo fare?

Aggiorna i cluster Managed Service for Apache Spark su Google Compute Engine a una delle seguenti versioni:

  • 2.2.24 o versioni successive
  • 2.1.58 o versioni successive

Se non riesci ad aggiornare i cluster Managed Service for Apache Spark a una delle versioni precedenti, ti consigliamo di utilizzare l'azione di inizializzazione disponibile in questa posizione: gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

Segui queste istruzioni su come specificare le azioni di inizializzazione per Managed Service for Apache Spark. Tieni presente che l'azione di inizializzazione deve essere eseguita su ogni nodo (master e worker) per i cluster preesistenti.

Aggiornamenti del 3 luglio 2024:

  • Sono state aggiunte versioni patch per GKE.
  • È stato aggiunto il bollettino sulla sicurezza per GDC collegato.

Aggiornamenti del 2/07/2024:

  • È stato chiarito che i cluster Autopilot sono interessati e richiedono l'intervento dell'utente.
  • Sono state aggiunte valutazioni dell'impatto e passaggi di mitigazione per il software GDC per VMware, GKE su AWS e GKE su Azure.
  • Il bollettino sulla sicurezza del software GDC per Bare Metal è stato corretto per chiarire che il software GDC per Bare Metal non è direttamente interessato e che i clienti devono rivolgersi ai fornitori di sistemi operativi per le patch.

Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice remoto,CVE-2024-6387. La vulnerabilità sfrutta una race condition che può essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli aggressori di ottenere l'accesso root. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina attaccata. Non siamo a conoscenza di tentativi di exploit.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Critico CVE-2024-6387

GCP-2024-039

Data di pubblicazione: 28 giugno 2024

Aggiornamento: 25/09/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 20/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26923

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26923

GCP-2024-038

Data di pubblicazione : 26 giugno 2024

Ultimo aggiornamento: 17 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 06/08/2024: sono state aggiunte le versioni delle patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26924

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26924

GCP-2024-037

Data di pubblicazione: 18/06/2024

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2024-0012 che interessano i componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di Google Cloud VMware Engine

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Google ha già bloccato le porte vulnerabili sul server vCenter, il che impedisce qualsiasi potenziale exploit di questa vulnerabilità.
  • Inoltre, Google garantisce che tutte le implementazioni future di vCenter non siano esposte a questa vulnerabilità.

Che cosa devo fare?

Non sono richieste ulteriori azioni in questo momento.

Critico

GCP-2024-036

Data di pubblicazione: 18 giugno 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-035

Data di pubblicazione: 12/06/2024

Ultimo aggiornamento: 18/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE e una versione patch per la versione 1.27 sui node pool Container-Optimized OS.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-034

Data di pubblicazione: 11 giugno 2024

Ultimo aggiornamento: 10 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/07/2024: sono state aggiunte versioni patch per i nodi Container-Optimized OS che eseguono le versioni secondarie 1.26 e 1.27 e sono state aggiunte versioni patch per i nodi Ubuntu.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-26583

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26583

GCP-2024-033

Data di pubblicazione: 10 giugno 2024

Ultimo aggiornamento: 26/09/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2022-23222

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-23222

GCP-2024-032

Data di pubblicazione: 2024-06-04

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23326: Envoy accetta erroneamente la risposta HTTP 200 per l'inserimento della modalità di upgrade.
  • CVE-2024-32974: arresto anomalo in EnvoyQuicServerStream::OnInitialHeadersComplete().
  • CVE-2024-32975: arresto anomalo in QuicheDataReader::PeekVarInt62Length().
  • CVE-2024-32976: loop infinito durante la decompressione dei dati Brotli con input aggiuntivo.
  • CVE-2024-34362: arresto anomalo (use-after-free) in EnvoyQuicServerStream.
  • CVE-2024-34363: Arresto anomalo dovuto a un'eccezione JSON nlohmann non rilevata.
  • CVE-2024-34364: vettore OOM di Envoy dal client asincrono HTTP con buffer di risposta illimitato per la risposta mirror.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-031

Data di pubblicazione: 24 maggio 2024

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2024-4323) in Fluent Bit che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit da 2.0.7 a 3.0.3.

GKE, GKE on VMware, GKE on AWS, GKE on Azure e GKE on Bare Metal non utilizzano una versione vulnerabile di Fluent Bit e non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2024-4323

GCP-2024-030

Data di pubblicazione: 15 maggio 2024

Ultimo aggiornamento: 18/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-52620

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-52620

GCP-2024-029

Data di pubblicazione: 14 maggio 2024

Ultimo aggiornamento: 19 agosto 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26642

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26642

GCP-2024-028

Data di pubblicazione: 13 maggio 2024

Ultimo aggiornamento: 22 maggio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2024: aggiunte versioni patch per Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26581

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26581

GCP-2024-027

Data di pubblicazione: 2024-05-08

Ultimo aggiornamento: 25 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 15/05/2024: sono state aggiunte versioni patch per i node pool GKE Ubuntu.

Aggiornamento del 09/05/2024: la gravità è stata corretta da Media ad Alta ed è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26808

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26808

GCP-2024-026

Data di pubblicazione: 7 maggio 2024

Ultimo aggiornamento: 06/08/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 09/05/2024: è stata corretta la gravità da Media ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26643

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26643

GCP-2024-025

Data di pubblicazione: 2024-04-26

Descrizione

Descrizione Gravità Note

Looker ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il programma Vulnerability Reward Program (VRP) di Google e Alphabet, ma non ha trovato prove di sfruttamento. Questi problemi sono stati risolti e non è necessario alcun intervento da parte degli utenti per i clienti ospitati da Looker su Looker (Google Cloud core) e Looker (original). Per le istanze Looker in hosting autonomo, si consiglia di eseguire l'aggiornamento all'ultima versione supportata.

Che cosa devo fare?

Istanze ospitate da Looker: istanze di Looker (Google Cloud core) e Looker (originale)

Non è richiesta alcuna azione da parte del cliente.

Solo istanze di Looker ospitate autonomamente

Se la tua istanza di Looker è in hosting autonomo, ti consigliamo di eseguire l'upgrade delle tue istanze di Looker a una delle seguenti versioni:

  • 24.6.12+
  • 24.4.27+
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105+
  • 23.6.163+

Come è stato risolto il problema?

Google ha disattivato l'accesso amministrativo diretto al database interno dall'applicazione Looker, ha rimosso i privilegi elevati che consentivano l'accesso cross-tenant e ha ruotato i secret esposti. Inoltre, abbiamo corretto le vulnerabilità di attraversamento del percorso che potenzialmente esponevano le credenziali del account di servizio. Stiamo inoltre conducendo una revisione approfondita del nostro codice e dei nostri sistemi per identificare e risolvere eventuali potenziali vulnerabilità simili.

 Critico

GCP-2024-024

Data di pubblicazione: 25 aprile 2024

Ultimo aggiornamento: 18 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26585

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26585

GCP-2024-023

Data di pubblicazione: 24 aprile 2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-27919: HTTP/2: esaurimento della memoria dovuto a un flood di frame CONTINUATION.
  • CVE-2024-30255: HTTP/2: esaurimento della CPU dovuto a un flood di frame CONTINUATION
  • CVE-2024-32475: interruzione anomala quando si utilizza "auto_sni" con l'intestazione ":authority" più lunga di 255 caratteri.
  • CVE-2023-45288: i frame HTTP/2 CONTINUATION possono essere utilizzati per attacchi DoS.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-022

Data di pubblicazione: 2024-04-03

Aggiornamento: 17/07/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/07/2024: sono state aggiunte le versioni delle patch per GKE su VMware

Aggiornamento del 9 luglio 2024: sono state aggiunte le versioni patch per GKE on Bare Metal

Aggiornamento del 24/04/2024: sono state aggiunte le versioni patch per GKE.

Di recente è stata scoperta una vulnerabilità Denial of Service (DoS) (CVE-2023-45288) in più implementazioni del protocollo HTTP/2, incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS al control plane di Google Kubernetes Engine (GKE).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-45288

GCP-2024-021

Data di pubblicazione: 3 aprile 2024

Descrizione

Descrizione Gravità Note

Compute Engine non è interessato da CVE-2024-3094, che interessa le versioni 5.6.0 e 5.6.1 del pacchetto xz-utils nella libreria liblzma e potrebbe compromettere l'utilità OpenSSH.

Per maggiori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Media CVE-2024-3094

GCP-2024-020

Data di pubblicazione: 2024-04-02

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità (CVE-2023-48022) in Ray. Ray è uno strumento open source di terze parti per i workload di AI. Poiché Ray non richiede l'autenticazione, gli autori di minacce possono ottenere l'esecuzione di codice remoto inviando job a istanze esposte pubblicamente. La vulnerabilità è stata contestata da Anyscale, lo sviluppatore di Ray. Ray ritiene che le sue funzioni siano una funzionalità di base del prodotto e che la sicurezza debba invece essere implementata al di fuori di un cluster Ray, in quanto qualsiasi esposizione non intenzionale della rete del cluster Ray potrebbe portare a una compromissione.

In base alla risposta, questa CVE è contestata e potrebbe non essere visualizzata negli scanner di vulnerabilità. In ogni caso, viene sfruttata attivamente in natura e gli utenti devono configurare il proprio utilizzo come suggerito di seguito.

Che cosa devo fare?

Segui le best practice e le linee guida di Ray, tra cui l'esecuzione di codice attendibile su reti attendibili, per proteggere i tuoi workload Ray. Il deployment di ray.io nelle istanze cloud dei clienti rientra nel modello di responsabilità condivisa.

Il team di sicurezza di Google Kubernetes Engine (GKE) ha pubblicato un blog sull'hardening di Ray su GKE.

Per ulteriori informazioni sui modi per aggiungere l'autenticazione e l'autorizzazione ai servizi Ray, consulta la documentazione di Identity-Aware Proxy (IAP). Gli utenti di GKE possono implementare IAP seguendo queste indicazioni o riutilizzando i moduli Terraform collegati nel blog.

Alta CVE-2023-48022

GCP-2024-018

Data di pubblicazione: 12/03/2024

Ultimo aggiornamento: 4 aprile 2024, 6 maggio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 6 maggio 2024: sono state aggiunte le versioni patch per i node pool Ubuntu di GKE.

Aggiornamento del 4/04/2024: sono state corrette le versioni minime per i node pool GKE Container-Optimized OS.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-1085

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-1085

GCP-2024-017

Data di pubblicazione: 2024-03-06

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-3611

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3611

GCP-2024-016

Data di pubblicazione: 2024-03-05

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2024-0006 che interessano i componenti ESXi di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di Google Cloud VMware Engine

I tuoi cloud privati sono stati aggiornati per risolvere la vulnerabilità di sicurezza.

Che cosa devo fare?

Non è necessaria alcuna azione da parte tua.

Critico

GCP-2024-014

Data di pubblicazione: 2024-02-26

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-3776

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3776

GCP-2024-013

Data di pubblicazione: 27 febbraio 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-3610

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3610

GCP-2024-012

Data di pubblicazione: 20/02/2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-0193

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-0193

GCP-2024-011

Data di pubblicazione: 15 febbraio 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-6932

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6932

GCP-2024-010

Data di pubblicazione: 14 febbraio 2024

Aggiornamento: 17/04/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/04/2024: sono state aggiunte le versioni delle patch per GKE su VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-6931

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6931

GCP-2024-009

Data di pubblicazione: 2024-02-13

Descrizione

Descrizione Gravità Note

Il 13 febbraio 2024, AMD ha divulgato due vulnerabilità che interessano SEV-SNP sulle CPU EPYC basate sui core Zen "Milan" di terza generazione e "Genoa" di quarta generazione. Le vulnerabilità consentono agli autori di attacchi con privilegi di accedere a dati obsoleti degli ospiti o causare una perdita di integrità degli ospiti.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Le correzioni sono già state applicate al parco server di Google per Google Cloud, incluso Compute Engine.

Per saperne di più, consulta il bollettino sulla sicurezza di AMD AMD-SN-3007.

 Moderato

GCP-2024-008

Data di pubblicazione: 2024-02-12

Descrizione

Descrizione Gravità Note

CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da abilitare l'escalation dei privilegi amministrativi su questi nodi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5528

GCP-2024-007

Data di pubblicazione: 2024-02-08

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23322: Envoy si arresta in modo anomalo quando è inattivo e si verifica il timeout delle richieste per tentativo nell'intervallo di backoff.
  • CVE-2024-23323: utilizzo eccessivo della CPU quando il matcher del modello URI è configurato utilizzando regex.
  • CVE-2024-23324: L'autorizzazione esterna può essere bypassata quando il filtro del protocollo proxy imposta metadati UTF-8 non validi.
  • Envoy si arresta in modo anomalo quando utilizzi un tipo di indirizzo non supportato dal sistema operativo.
  • CVE-2024-23327: arresto anomalo nel protocollo proxy quando il tipo di comando è LOCAL.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-006

Data di pubblicazione: 5 febbraio 2024

Descrizione

Descrizione Gravità Note

Quando un proxy di gestione delle API Apigee si connette a un endpoint di destinazione o a un server di destinazione, il proxy non esegue la convalida del nome host per il certificato presentato dall'endpoint di destinazione o dal server di destinazione per impostazione predefinita. Se la convalida del nome host non è abilitata utilizzando una delle seguenti opzioni, i proxy Apigee che si connettono a un endpoint di destinazione o a un server di destinazione potrebbero essere a rischio di attacco man-in-the-middle da parte di un utente autorizzato. Per ulteriori informazioni, consulta Configurazione di TLS da Edge al backend (Cloud e cloud privato).

Sono interessati i deployment dei proxy Apigee sulle seguenti piattaforme Apigee:

  • Apigee Edge for Public Cloud
  • Apigee Edge for Private Cloud

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Apigee.

 Alta

GCP-2024-005

Data di pubblicazione: 31/01/2024
Ultimo aggiornamento: 02/04/2024, 06/05/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 6 maggio 2024: sono state aggiunte le versioni patch per GKE su AWS e GKE su Azure.

Aggiornamento del 02/04/2024: sono state aggiunte le versioni patch per GKE on Bare Metal

Aggiornamento del 06/03/2024: sono state aggiunte le versioni patch per GKE on VMware

Aggiornamento del 28/02/2024: aggiunte le versioni patch per Ubuntu

Aggiornamento del 15/02/2024: è stato chiarito che le versioni patch di Ubuntu 1.25 e 1.26 nell'aggiornamento del 14/02/2024 potrebbero causare nodi non integri.

Aggiornamento del 14/02/2024: aggiunte le versioni patch per Ubuntu

Aggiornamento del 06/02/2024: sono state aggiunte le versioni delle patch per Container-Optimized OS.

È stata scoperta una vulnerabilità di sicurezza, CVE-2024-21626, in runc, dove un utente con l'autorizzazione a creare pod sui nodi Container-Optimized OS e Ubuntu potrebbe essere in grado di ottenere l'accesso completo al file system del nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-21626

GCP-2024-004

Data di pubblicazione: 24/01/2024
Ultimo aggiornamento: 07/02/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 7 febbraio 2024: sono state aggiunte le versioni delle patch per Ubuntu.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-6817

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6817

GCP-2024-003

Data di pubblicazione: 19 gennaio 2024
Ultimo aggiornamento: 26 gennaio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/01/2024: abbiamo chiarito il numero di cluster interessati e le azioni che abbiamo intrapreso per contribuire a mitigare l'impatto. Per maggiori dettagli, consulta il bollettino sulla sicurezza GCP-2024-003.

Abbiamo identificato diversi cluster in cui gli utenti hanno concesso privilegi Kubernetes al gruppo system:authenticated, che include tutti gli utenti con un Account Google. Questi tipi di binding non sono consigliati, in quanto violano il principio del privilegio minimo e concedono l'accesso a gruppi di utenti molto grandi. Consulta le indicazioni nella sezione "Cosa devo fare" per istruzioni su come trovare questi tipi di associazioni.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2024-002

Data di pubblicazione: 17 gennaio 2024

Ultimo aggiornamento: 20/02/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/02/2024: sono state aggiunte le versioni patch per GKE on VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS.

  • CVE-2023-6111

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6111

GCP-2024-001

Data di pubblicazione: 9 gennaio 2024

Descrizione

Descrizione Gravità Note

Sono state rilevate diverse vulnerabilità nel firmware UEFI TianoCore EDK II. Questo firmware viene utilizzato nelle VM Google Compute Engine. Se sfruttate, le vulnerabilità potrebbero consentire un bypass dell'avvio protetto, che fornirebbe misurazioni false nel processo di avvio protetto, anche se utilizzato nelle Shielded VM.

Che cosa devo fare?

Non è richiesta alcuna azione da parte tua. Google ha applicato una patch a questa vulnerabilità in Compute Engine e tutte le VM sono protette da questa vulnerabilità.

Quali vulnerabilità vengono affrontate da questa patch?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 Media

GCP-2023-051

Data di pubblicazione: 2023-12-28

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3609

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3609

GCP-2023-050

Data di pubblicazione: 27 dicembre 2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3389

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3389

GCP-2023-049

Data di pubblicazione: 20/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3090

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3090

GCP-2023-048

Data di pubblicazione: 15/12/2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3390

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3390

GCP-2023-047

Data di pubblicazione: 14 dicembre 2023

Descrizione

Descrizione Gravità Note

Un malintenzionato che ha compromesso il container di logging Fluent Bit potrebbe combinare questo accesso con i privilegi elevati richiesti da Cloud Service Mesh (sui cluster in cui è abilitato) per aumentare i privilegi nel cluster.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2023-046

Data di pubblicazione: 22/11/2023
Ultimo aggiornamento: 4/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 marzo 2024: sono state aggiunte le versioni GKE per GKE on VMware.

Aggiornamento del 22 gennaio 2024: aggiunte le versioni delle patch di Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-5717

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5717

GCP-2023-045

Data di pubblicazione: 20/11/2023

Aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-5197

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5197

GCP-2023-044

Data di pubblicazione: 15 novembre 2023

Descrizione

Descrizione Gravità Note

Il 14 novembre, AMD ha divulgato diverse vulnerabilità che interessano varie CPU dei server AMD. Nello specifico, le vulnerabilità interessano le CPU dei server EPYC che utilizzano i core Zen di seconda generazione "Rome", di terza generazione "Milan" e di quarta generazione "Genoa".

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

Le correzioni sono già state applicate al parco server di Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono risolte?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

Per saperne di più, consulta l'avviso di sicurezza di AMD AMD-SN-3005: "AMD INVD Instruction Security Notice", pubblicato anche come CacheWarp, e AMD-SN-3002: "AMD Server Vulnerabilities – November 2023".

 Moderato

GCP-2023-043

Data di pubblicazione: 2023-11-14

Descrizione

Descrizione Gravità Note

Intel ha divulgato una vulnerabilità della CPU in alcuni processori. Google ha adottato misure per mitigare la sua flotta di server, tra cui Google Compute Engine per Google Cloud, e i dispositivi ChromeOS per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-23583

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

La mitigazione fornita da Intel per i processori interessati è stata applicata al parco server di Google, incluso Google Compute Engine per Google Cloud.

Al momento, Google Distributed Cloud Edge richiede un aggiornamento da parte dell'OEM. Google risolverà il problema di questo prodotto una volta reso disponibile l'aggiornamento e questo bollettino verrà aggiornato di conseguenza.

I dispositivi ChromeOS con i processori interessati hanno ricevuto la correzione automaticamente nell'ambito delle release 119, 118 e 114 (LTS).

Quali vulnerabilità vengono risolte?

CVE-2023-23583. Per maggiori dettagli, consulta l'avviso di sicurezza Intel INTEL-SA-00950.

 Alta CVE-2023-23583

GCP-2023-042

Data di pubblicazione: 13/11/2023
Ultimo aggiornamento: 15/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 15/11/2023:chiarisci che solo le versioni secondarie elencate devono essere aggiornate a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4147

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4147

GCP-2023-041

Data di pubblicazione: 8 novembre 2023

Ultimo aggiornamento: 21/11/2023, 5/12/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 05/12/2023: sono state aggiunte altre versioni di GKE per i node pool di Container-Optimized OS.

Aggiornamento del 21/11/2023: chiarisci che solo le versioni secondarie elencate devono essere aggiornate a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4004

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4004

GCP-2023-040

Data di pubblicazione: 6 novembre 2023

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: chiarisci che solo le versioni secondarie elencate devono essere aggiornate a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4921

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4921

GCP-2023-039

Data di pubblicazione: 2023-11-06

Updated: 2023-11-21, 2023-11-16

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/11/2023: chiarisci che solo le versioni secondarie elencate devono essere aggiornate a una versione con patch corrispondente per GKE.

Aggiornamento del 16/11/2023: la vulnerabilità associata a questo bollettino sulla sicurezza è CVE-2023-4622. CVE-2023-4623 è stata erroneamente indicata come vulnerabilità in una versione precedente del bollettino sulla sicurezza.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4622

GCP-2023-038

Data di pubblicazione: 6 novembre 2023

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: chiarisci che solo le versioni secondarie elencate devono essere aggiornate a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4623

GCP-2023-037

Data di pubblicazione: 6 novembre 2023

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: chiarisci che solo le versioni secondarie elencate devono essere aggiornate a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4015

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4015

GCP-2023-036

Data di pubblicazione: 30 ottobre 2023

Descrizione

Descrizione Gravità Note

Deep Learning VM Images è un insieme di immagini di macchine virtuali preconfezionate con un framework di deep learning, pronte per essere eseguite immediatamente. Di recente, è stata scoperta una vulnerabilità di scrittura fuori dai limiti nella funzione `ReadHuffmanCodes()` della libreria `libwebp`. Ciò potrebbe influire sulle immagini che utilizzano questa libreria.

Google Cloud esegue la scansione continua delle immagini pubblicate pubblicamente e aggiorna i pacchetti per garantire che le distribuzioni patchate siano incluse nelle ultime release disponibili per l'adozione da parte dei clienti. Le Deep Learning VM Image sono state aggiornate per garantire che le immagini VM più recenti includano le distribuzioni con patch. I clienti che adottano le immagini VM più recenti non sono esposti a questa vulnerabilità.

Che cosa devo fare?

I clienti diGoogle Cloud che utilizzano immagini VM pubblicate devono assicurarsi di adottare le immagini più recenti e che i loro ambienti siano aggiornati in base al modello di responsabilità condivisa.

CVE-2023-4863 potrebbe essere sfruttata da un malintenzionato per eseguire codice arbitrario. Questa vulnerabilità è stata identificata in Google Chrome prima della versione 116.0.5845.187 e in `libwebp` prima della versione 1.3.2 ed è elencata in CVE-2023-4863.

 Alta CVE-2023-4863

GCP-2023-035

Data di pubblicazione: 2023-10-26

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: chiarisci che solo le versioni secondarie elencate devono essere aggiornate a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128

GCP-2023-034

Data di pubblicazione: 25 ottobre 2023

Ultimo aggiornamento: 27/10/2023

Descrizione

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2023-0023 che interessano i componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto sull'assistenza clienti Google Cloud

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Queste porte non sono esposte alla rete internet pubblica.
  • Se le porte vCenter 2012/tcp, 2014/tcp e 2020/tcp non sono accessibili a sistemi non attendibili, non sei esposto a questa vulnerabilità.
  • Google ha già bloccato le porte vulnerabili sul server vCenter, impedendo qualsiasi potenziale exploit di questa vulnerabilità.
  • Inoltre, Google si assicurerà che tutti i deployment futuri del server vCenter non siano esposti a questa vulnerabilità.
  • Al momento della pubblicazione del bollettino, VMware non è a conoscenza di alcun exploit "in the wild". Per ulteriori dettagli, consulta la documentazione di VMware.

Che cosa devo fare?

Non sono richieste ulteriori azioni in questo momento

 Critico CVE-2023-34048,CVE-2023-34056

GCP-2023-033

Data di pubblicazione: 2023-10-24

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarimento sul fatto che i cluster GKE Autopilot nella configurazione predefinita e i workload di GKE Sandbox non sono interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3777

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3777

GCP-2023-032

Data di pubblicazione: 13 ottobre 2023

Aggiornamento: 03/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 3 novembre 2023:è stato aggiunto un problema noto per Apigee Edge for Private Cloud.

Di recente è stata scoperta una vulnerabilità Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il servizio Apigee Ingress (Cloud Service Mesh) utilizzato da Apigee X e Apigee Hybrid. La vulnerabilità potrebbe causare un DoS della funzionalità di gestione delle API Apigee.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Apigee.

Alta CVE-2023-44487

GCP-2023-031

Data di pubblicazione: 2023-10-10

Descrizione

Descrizione Gravità Note

Un attacco denial of service può influire sul piano dati quando si utilizza il protocollo HTTP/2. Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-44487

GCP-2023-030

Data di pubblicazione: 10 ottobre 2023

Ultimo aggiornamento: 20/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/03/2024: sono state aggiunte versioni patch per GKE su AWS e GKE su Azure con le patch più recenti per CVE-2023-44487.

Aggiornamento del 14/02/2024: sono state aggiunte le versioni patch per GKE on VMware.

Aggiornamento del 9 novembre 2023: è stata aggiunta la vulnerabilità CVE-2023-39325. Versioni GKE aggiornate con le patch più recenti per CVE-2023-44487 e CVE-2023-39325.

Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS al control plane di Google Kubernetes Engine (GKE). I cluster GKE con reti autorizzate configurate sono protetti limitando l'accesso alla rete, ma tutti gli altri cluster sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-44487, CVE-2023-39325

GCP-2023-029

Data di pubblicazione: 2023-10-03

Descrizione

Descrizione Gravità Note

TorchServe viene utilizzato per ospitare i modelli di machine learning PyTorch per la previsione online. Vertex AI fornisce container di erogazione del modello PyTorch predefiniti che dipendono da TorchServe. Di recente sono state scoperte vulnerabilità in TorchServe che consentirebbero a un malintenzionato di assumere il controllo di un deployment TorchServe se la relativa API di gestione dei modelli è esposta. I clienti con modelli PyTorch di cui è stato eseguito il deployment nella previsione online di Vertex AI non sono interessati da queste vulnerabilità, poiché Vertex AI non espone l'API di gestione dei modelli di TorchServe. I clienti che utilizzano TorchServe al di fuori di Vertex AI devono adottare precauzioni per garantire che i deployment siano configurati in modo sicuro.

Che cosa devo fare?

I clienti di Vertex AI con modelli di cui è stato eseguito il deployment utilizzando i container di pubblicazione PyTorch predefiniti di Vertex AI non devono intraprendere alcuna azione per risolvere le vulnerabilità, poiché i deployment di Vertex AI non espongono il server di gestione di TorchServe a internet.

I clienti che utilizzano i container PyTorch predefiniti in altri contesti o che utilizzano una distribuzione di TorchServe personalizzata o di terze parti devono:

  • Assicurati che l'API di gestione dei modelli di TorchServe non sia esposta a internet. L'API di gestione dei modelli può essere limitata al solo accesso locale assicurandosi che management_address sia associato a 127.0.0.1.
  • Utilizza l'impostazione allowed_urls per assicurarti che i modelli possano essere caricati solo dalle origini previste.
  • Esegui l'upgrade di TorchServe alla versione 0.8.2, che include mitigazioni per questo problema, il prima possibile. In via precauzionale, Vertex AI rilascerà container predefiniti corretti entro il 13 ottobre 2023.

Quali vulnerabilità vengono risolte?

L'API di gestione di TorchServe è associata a 0.0.0.0 per impostazione predefinita nella maggior parte delle immagini Docker di TorchServe, incluse quelle rilasciate da Vertex AI, rendendola accessibile alle richieste esterne. L'indirizzo IP predefinito per l'API di gestione è stato modificato in 127.0.0.1 in TorchServe 0.8.2, il che mitiga il problema.

CVE-2023-43654 e CVE-2022-1471 consentono a un utente con accesso all'API di gestione di caricare modelli da origini arbitrarie ed eseguire codice da remoto. Le mitigazioni per entrambi i problemi sono incluse in TorchServe 0.8.2: il percorso di esecuzione del codice remoto viene rimosso e viene emesso un avviso se viene utilizzato il valore predefinito per allowed_urls.

 Alta CVE-2023-43654, CVE-2022-1471

GCP-2023-028

Data di pubblicazione: 19 settembre 2023

Ultimo aggiornamento: 29 maggio 2024

Descrizione

Descrizione Gravità Note
Aggiornamento del 29 maggio 2024: i nuovi feed non utilizzano più il account di servizio condiviso, che però rimane attivo per i feed esistenti per evitare interruzioni del servizio. Le modifiche all'origine nei feed meno recenti sono bloccate per impedire l'uso improprio del account di servizio condiviso. I clienti possono continuare a utilizzare i loro vecchi feed normalmente, a condizione che non cambino l'origine.

I clienti possono configurare Google Security Operations per importare i dati dai bucket Cloud Storage di loro proprietà utilizzando un feed di importazione. Fino a poco tempo fa, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione al bucket. Esisteva un'opportunità per cui l'istanza di Google Security Operations di un cliente poteva essere configurata per importare dati dal bucket Cloud Storage di un altro cliente. Dopo aver eseguito un'analisi dell'impatto, non abbiamo riscontrato alcuno sfruttamento attuale o precedente di questa vulnerabilità. La vulnerabilità era presente in tutte le versioni di Google Security Operations precedenti al 19 settembre 2023.

Che cosa devo fare?

A partire dal 19 settembre 2023, Google Security Operations è stato aggiornato per risolvere questa vulnerabilità. Non è richiesta alcuna azione del cliente.

Quali vulnerabilità vengono risolte?

In precedenza, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione a un bucket. Poiché clienti diversi hanno concesso la stessa autorizzazione all'account di servizio Google Security Operations per il proprio bucket, esisteva un vettore di sfruttamento che consentiva al feed di un cliente di accedere al bucket di un altro cliente durante la creazione o la modifica di un feed. Questo vettore di sfruttamento richiedeva la conoscenza dell'URI del bucket. Ora, durante la creazione o la modifica dei feed, Google Security Operations utilizza service account univoci per ogni cliente.

 Alta

GCP-2023-027

Data di pubblicazione: 11 settembre 2023
Descrizione Gravità Note

Gli aggiornamenti di VMware vCenter Server risolvono diverse vulnerabilità di danneggiamento della memoria (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896)

Impatto sull'assistenza clienti

VMware vCenter Server (vCenter Server) e VMware Cloud Foundation (Cloud Foundation).

Che cosa devo fare?

I clienti non sono interessati e non è necessario intraprendere alcuna azione.

 Media

GCP-2023-026

Data di pubblicazione: 6 settembre 2023

Descrizione

Descrizione Gravità Note

Sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) in Kubernetes, in cui un utente che può creare pod sui nodi Windows potrebbe essere in grado di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e del proxy CSI di Kubernetes.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3676, CVE-2023-3955, CVE-2023-3893

GCP-2023-025

Data di pubblicazione: 2023-08-08
Descrizione Gravità Note

Intel ha recentemente annunciato l'avviso di sicurezza Intel INTEL-SA-00828 che interessa alcune delle sue famiglie di processori. Ti invitiamo a valutare i rischi in base all'avviso.

Impatto di Google Cloud VMware Engine

Il nostro parco macchine utilizza le famiglie di processori interessate. Nel nostro deployment, l'intero server è dedicato a un cliente. Pertanto, il nostro modello di deployment non aggiunge alcun rischio aggiuntivo alla tua valutazione di questa vulnerabilità.

Stiamo collaborando con i nostri partner per ottenere le patch necessarie e le implementeremo con priorità in tutta la flotta utilizzando la procedura di upgrade standard nelle prossime settimane.

Che cosa devo fare?

Non è necessario alcun intervento da parte tua. Stiamo lavorando per eseguire l'upgrade di tutti i sistemi interessati.

 Alta

GCP-2023-024

Data di pubblicazione: 8 agosto 2023

Ultimo aggiornamento: 10 agosto 2023, 4 giugno 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 giugno 2024: i seguenti prodotti mancanti sono stati aggiornati per correggere questa vulnerabilità:

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

Aggiornamento del 10/08/2023:è stato aggiunto il numero di versione di ChromeOS LTS.

Intel ha divulgato una vulnerabilità in alcuni processori (CVE-2022-40982). Google ha adottato misure per mitigare il proprio parco server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2022-40982 (Intel IPU 2023.3, "GDS" aka "Downfall")

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

Tutte le patch disponibili sono già state applicate al parco server di Google per Google Cloud, incluso Google Compute Engine.

Al momento, i seguenti prodotti richiedono ulteriori aggiornamenti da parte di partner e fornitori.

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Bare Metal Solution di Google Cloud
  • Evolved Packet Core

Google correggerà questi prodotti non appena queste patch saranno disponibili e questo bollettino verrà aggiornato di conseguenza.

I clienti di Google Chromebook e ChromeOS Flex hanno ricevuto automaticamente le mitigazioni fornite da Intel in Stable (115), LTS (108), Beta (116) e LTC (114). I clienti di Chromebook e ChromeOS Flex bloccati su una release precedente dovrebbero prendere in considerazione la possibilità di sbloccarla e passare alle release Stable o LTS per assicurarsi di ricevere questa e altre correzioni di vulnerabilità.

Quali vulnerabilità vengono risolte?

CVE-2022-40982 - Per saperne di più, consulta Intel Security Advisory INTEL-SA-00828.

Alta CVE-2022-40982

GCP-2023-023

Data di pubblicazione: 8 agosto 2023

Descrizione

Descrizione Gravità Note

AMD ha divulgato una vulnerabilità in alcuni processori (CVE-2023-20569). Google ha adottato misure per mitigare il proprio parco server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-20569 (AMD SB-7005 aka "Inception")

Che cosa devo fare?

Gli utenti delle VM di Compute Engine devono prendere in considerazione le mitigazioni fornite dal sistema operativo se utilizzano l'esecuzione di codice non attendibile all'interno dell'istanza. Consigliamo ai clienti di contattare i fornitori del sistema operativo per indicazioni più specifiche.

Le correzioni sono già state applicate al parco server di Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono risolte?

CVE-2023-20569: per saperne di più, consulta AMD SB-7005.

Moderato CVE-2023-20569

GCP-2023-022

Data di pubblicazione: 3 agosto 2023

Descrizione

Descrizione Gravità Note

Google ha identificato una vulnerabilità nelle implementazioni gRPC C++ precedenti alla release 1.57. Si trattava di una vulnerabilità di tipo Denial of Service nell'implementazione C++ di gRPC. Questi problemi sono stati risolti nelle release 1.53.2, 1.54.3, 1.55.2, 1.56.2 e 1.57.

Che cosa devo fare?

Assicurati di utilizzare le ultime versioni dei seguenti pacchetti software:

  • Le versioni 1.53, 1.54, 1.55 e 1.56 di gRPC (C++, Python, Ruby) devono essere aggiornate alle seguenti release di patch:
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • Le versioni 1.52 e precedenti di gRPC (C++, Python, Ruby) devono essere aggiornate a una delle patch approvate. Ad esempio, 1.53.2, 1.54.3, 1.53.4 e così via.

Quali vulnerabilità vengono risolte?

Queste patch mitigano le seguenti vulnerabilità:

  • Vulnerabilità di Denial of Service nelle implementazioni gRPC C++: richieste appositamente create possono causare l'interruzione della connessione tra un proxy e un backend.
Alta CVE-2023-33953

GCP-2023-021

Updated:2023-07-26

Published:2023-07-25

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-35941: un client dannoso è in grado di creare credenziali con validità permanente in alcuni scenari specifici. Ad esempio, la combinazione di host e ora di scadenza nel payload HMAC può essere sempre valida nel controllo HMAC del filtro OAuth2.
  • CVE-2023-35942: i logger di accesso gRPC che utilizzano l'ambito globale del listener possono causare un arresto anomalo di tipo use-after-free quando il listener viene svuotato. Questo può essere attivato da un aggiornamento LDS con la stessa configurazione del log di accesso gRPC.
  • CVE-2023-35943: se l'intestazione origin è configurata per essere rimossa con request_headers_to_remove: origin, il filtro CORS segfault e causa l'arresto anomalo di Envoy.
  • CVE-2023-35944: gli utenti malintenzionati possono inviare richieste di schemi misti per bypassare i controlli degli schemi in Envoy. Ad esempio, se una richiesta HTTP con schema misto viene inviata al filtro OAuth2, i controlli di corrispondenza esatta per HTTP non andranno a buon fine e l'endpoint remoto verrà informato che lo schema è HTTPS, bypassando così potenzialmente i controlli OAuth2 specifici per le richieste HTTP.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2023-020

Updated:2023-07-26

Data di pubblicazione: 24 luglio 2023

Descrizione

Descrizione Gravità Note

AMD ha rilasciato un aggiornamento del microcodice che risolve una vulnerabilità di sicurezza dell'hardware (CVE-2023-20593). Google ha applicato le correzioni necessarie per questa vulnerabilità al suo parco server, inclusi i server per Google Cloud Platform. I test indicano che non vi è alcun impatto sulle prestazioni dei sistemi.

Che cosa devo fare?

Non è richiesta alcuna azione da parte dei clienti, in quanto le correzioni sono già state applicate al parco server Google per Google Cloud Platform.

Quali vulnerabilità vengono risolte?

CVE-2023-20593 risolve una vulnerabilità in alcune CPU AMD. Ulteriori informazioni sono disponibili qui.

Alta CVE-2023-20593

GCP-2023-019

Published:2023-07-18

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-35945) in Envoy in cui una risposta creata appositamente da un servizio upstream non attendibile può causare un attacco Denial of Service tramite esaurimento della memoria. Ciò è causato dal codec HTTP/2 di Envoy, che potrebbe divulgare una mappa di intestazioni e strutture di contabilità alla ricezione di RST_STREAM immediatamente seguito dai frame GOAWAY da un server upstream.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-35945

GCP-2023-018

Data di pubblicazione: 27 giugno 2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-2235) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo. I cluster GKE Autopilot sono interessati, in quanto i nodi GKE Autopilot utilizzano sempre immagini dei nodi Container-Optimized OS. Sono interessati i cluster GKE Standard con versioni 1.25 o successive che eseguono immagini dei nodi Container-Optimized OS.

I cluster GKE non sono interessati se eseguono solo immagini dei nodi Ubuntu, versioni precedenti alla 1.25 o utilizzano GKE Sandbox.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-2235

GCP-2023-017

Data di pubblicazione: 26 giugno 2023

Ultimo aggiornamento: 11/07/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 11/07/2023:le nuove versioni di GKE sono state aggiornate per includere le ultime versioni di Ubuntu che applicano la patch CVE-2023-31436.

È stata scoperta una nuova vulnerabilità (CVE-2023-31436) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo. Sono interessati i cluster GKE, inclusi i cluster Autopilot. I cluster GKE che utilizzano GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-31436

GCP-2023-016

Data di pubblicazione: 26 giugno 2023

Descrizione

Descrizione Gravità Note

In Envoy, utilizzato in Cloud Service Mesh, sono state rilevate diverse vulnerabilità che consentono a un malintenzionato di causare un denial of service o un arresto anomalo di Envoy. Questi sono stati segnalati separatamente come GCP-2023-002.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487

GCP-2023-015

Data di pubblicazione: 2023-06-20

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità, CVE-2023-0468, nel kernel Linux che potrebbe consentire a un utente senza privilegi di eseguire l'escalation dei privilegi a root quando io_poll_get_ownership continua ad aumentare req->poll_refs su ogni io_poll_wake, per poi eseguire l'overflow a 0, che eseguirà fput req->file due volte e causerà un problema di refcount del file struct. Sono interessati i cluster GKE, inclusi i cluster Autopilot, con Container-Optimized OS che utilizzano la versione kernel 5.15 di Linux. I cluster GKE che utilizzano immagini Ubuntu o GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-CVE-2023-0468

GCP-2023-014

Ultimo aggiornamento: 2023-08-11
Pubblicato: 2023-06-15

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/08/2023: sono state aggiunte le versioni patch per GKE on VMware, GKE on AWS, GKE on Azure e Google Distributed Cloud Virtual per Bare Metal.

Sono stati scoperti due nuovi problemi di sicurezza in Kubernetes in cui gli utenti potrebbero essere in grado di avviare container che aggirano le limitazioni dei criteri quando utilizzano container effimeri e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2023-2727, CVE-2023-2728

GCP-2023-013

Data di pubblicazione: 8 giugno 2023

Descrizione

Descrizione Gravità Note

Quando abiliti l'API Cloud Build in un progetto, Cloud Build crea automaticamente un account di servizio predefinito per eseguire le build per tuo conto. In precedenza, questo service account Cloud Build disponeva dell'autorizzazione IAM logging.privateLogEntries.list, che consentiva alle build di accedere per elencare i log privati per impostazione predefinita. Questa autorizzazione è stata revocata dal account di servizio Cloud Build per rispettare il principio di sicurezza del privilegio minimo.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Build.

 Bassa

GCP-2023-010

Data di pubblicazione: 7 giugno 2023

Descrizione

Descrizione Gravità Note

Google ha identificato tre nuove vulnerabilità nell'implementazione C++ di gRPC. Queste vulnerabilità verranno pubblicate a breve pubblicamente come CVE-2023-1428, CVE-2023-32731 e CVE-2023-32732.

Ad aprile abbiamo identificato due vulnerabilità nelle release 1.53 e 1.54. Una era una vulnerabilità di Denial of Service nell'implementazione C++ di gRPC e l'altra era una vulnerabilità di esfiltrazione di dati da remoto. Questi problemi sono stati risolti nelle versioni 1.53.1, 1.54.2 e successive.

In precedenza, a marzo, i nostri team interni hanno scoperto una vulnerabilità di tipo Denial of Service nell'implementazione C++ di gRPC durante l'esecuzione di attività di fuzzing di routine. È stata rilevata nella release gRPC 1.52 ed è stata corretta nelle release 1.52.2 e 1.53.

Che cosa devo fare?

Assicurati di utilizzare le ultime versioni dei seguenti pacchetti software:

  • grpc (C++, Python, Ruby) versione 1.52, 1.53 e 1.54 deve eseguire l'upgrade alle seguenti release di patch;
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • grpc (C++, Python, Ruby) versione 1.51 e precedenti non sono interessati, quindi gli utenti con queste versioni non devono intraprendere alcuna azione

Quali vulnerabilità vengono risolte da queste patch?

Queste patch mitigano le seguenti vulnerabilità:

  • Le versioni 1.53.1, 1.54.2 e successive risolvono il seguente problema: vulnerabilità di tipo Denial of Service nell'implementazione gRPC C++. Le richieste appositamente create possono causare l'interruzione della connessione tra un proxy e un backend. Vulnerabilità di esfiltrazione remota dei dati: la desincronizzazione nella tabella HPACK a causa delle limitazioni delle dimensioni dell'intestazione può comportare la perdita di dati di intestazione da parte dei backend proxy di altri client connessi a un proxy.
  • Le versioni 1.52.2, 1.53 e successive risolvono il seguente problema: vulnerabilità Denial of Service nell'implementazione C++ di gRPC. L'analisi di alcune richieste con un formato specifico può causare un arresto anomalo che influisce su un server.

Ti consigliamo di eseguire l'upgrade alle ultime versioni dei seguenti pacchetti software, come elencato sopra.

 Alta (CVE-2023-1428, CVE-2023-32731). Medio (CVE-2023-32732) CVE-2023-1428, CVE-2023-32731, CVE-023-32732

GCP-2023-009

Data di pubblicazione: 6 giugno 2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) nel driver secrets-store-csi-driver, in cui un attore con accesso ai log del driver potrebbe osservare i token dei account di servizio.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2023-2878

GCP-2023-008

Data di pubblicazione: 5 giugno 2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-1872) nel kernel Linux che può portare a un'escalation dei privilegi a root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1872

GCP-2023-007

Data di pubblicazione: 2 giugno 2023

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità in Cloud SQL per SQL Server che consentiva agli account amministratore cliente di creare trigger nel database tempdb e di utilizzarli per ottenere privilegi sysadmin nell'istanza. I privilegi sysadmin darebbero all'aggressore l'accesso ai database di sistema e l'accesso parziale alla macchina che esegue l'istanza di SQL Server.

Google Cloud ha risolto il problema applicando una patch alla vulnerabilità di sicurezza entro il 1° marzo 2023. Google Cloud non ha trovato istanze di clienti compromesse.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud SQL.

 Alta

GCP-2023-005

Data di pubblicazione: 2023-05-18

Ultimo aggiornamento: 6 giugno 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 06/06/2023:le nuove versioni di GKE sono state aggiornate per includere le versioni più recenti di Ubuntu che correggono CVE-2023-1281 e CVE-2023-1829.

Nel kernel Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi di root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1281 CVE-2023-1829

GCP-2023-004

Data di pubblicazione: 26/04/2023

Descrizione

Descrizione Gravità Note

Sono state scoperte due vulnerabilità (CVE-2023-1017 e CVE-2023-1018) in Trusted Platform Module (TPM) 2.0.

Le vulnerabilità avrebbero potuto consentire a un malintenzionato sofisticato di sfruttare una lettura/scrittura fuori limite di 2 byte su determinate VM di Compute Engine.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Media

GCP-2023-003

Data di pubblicazione: 2023-04-11

Aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di elevare i privilegi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-0240, CVE-2023-23586

GCP-2023-002

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-27496: se Envoy è in esecuzione con il filtro OAuth abilitato, un malintenzionato potrebbe creare una richiesta che causerebbe un attacco Denial of Service bloccando Envoy.
  • CVE-2023-27488: l'utente malintenzionato può utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz.
  • CVE-2023-27493: la configurazione di Envoy deve includere anche un'opzione per aggiungere intestazioni della richiesta generate utilizzando input della richiesta, ad esempio il SAN del certificato peer.
  • CVE-2023-27492: gli utenti malintenzionati possono inviare corpi di richiesta di grandi dimensioni per le route con filtro Lua abilitato e attivare arresti anomali.
  • CVE-2023-27491: gli autori degli attacchi possono inviare richieste HTTP/2 o HTTP/3 create appositamente per attivare errori di analisi sul servizio upstream HTTP/1.
  • CVE-2023-27487: l'intestazione "x-envoy-original-path" deve essere un'intestazione interna, ma Envoy non la rimuove dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh:

Alta

GCP-2023-001

Data di pubblicazione: 1/03/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

È stata scoperta una nuova vulnerabilità (CVE-2022-4696) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-4696

GCP-2022-026

Data di pubblicazione: 2023-01-11

Descrizione

Descrizione Gravità Note

Sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) in OpenSSL v3.0.6 che possono potenzialmente causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2022-025

Data di pubblicazione: 21 dicembre 2022
Ultimo aggiornamento: 19 gennaio 2023, 21 dicembre 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 19/01/2023: sono state aggiunte informazioni sulla disponibilità della versione GKE 1.21.14-gke.14100.

Sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) in OpenSSL v3.0.6 che possono potenzialmente causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2022-024

Data di pubblicazione: 9 novembre 2022

Ultimo aggiornamento: 19 gennaio 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/01/2023: sono state aggiunte informazioni sulla disponibilità della versione GKE 1.21.14-gke.14100.

Aggiornamento del 16/12/2022: aggiunte versioni patch per GKE e GKE on VMware.

Nel kernel Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare a un'interruzione completa del container per ottenere l'accesso root al nodo.

Per istruzioni e maggiori dettagli, consulta:

Alta

GCP-2022-023

Data di pubblicazione: 4 novembre 2022

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di sicurezza, CVE-2022-39278, in Istio, utilizzato in Cloud Service Mesh, che consente a un malintenzionato di causare l'arresto anomalo del control plane.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-39278

GCP-2022-022

Data di pubblicazione: 2022-10-28

Aggiornamento: 14/12/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 14/12/2022: sono state aggiunte le versioni patch per GKE e GKE on VMware.

È stata scoperta una nuova vulnerabilità, CVE-2022-20409, nel kernel Linux che potrebbe consentire a un utente senza privilegi di eseguire l'escalation al privilegio di esecuzione del sistema.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-20409

GCP-2022-021

Data di pubblicazione: 27 ottobre 2022

Aggiornamento: 19/01/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 19/01/2023: sono state aggiunte informazioni sulla disponibilità della versione GKE 1.21.14-gke.14100.

Aggiornamento del 15/12/2022: informazioni aggiornate sul fatto che l'implementazione della versione 1.21.14-gke.9400 di Google Kubernetes Engine è in attesa e potrebbe essere sostituita da un numero di versione superiore.

Aggiornamento del 22/11/2022: sono state aggiunte le versioni patch per GKE on VMware, GKE on AWS e GKE on Azure.

Nel kernel Linux è stata scoperta una nuova vulnerabilità, CVE-2022-3176, che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di ottenere il container breakout completo come root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-3176

GCP-2022-020

Data di pubblicazione: 5 ottobre 2022

Ultimo aggiornamento: 12/10/2022

Descrizione

Descrizione Gravità Note

Il control plane Istio istiod è vulnerabile a un errore di elaborazione delle richieste, che consente a un malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida di un cluster viene esposto pubblicamente. Questo endpoint viene fornito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'utente malintenzionato.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2022-39278

GCP-2022-019

Data di pubblicazione: 22 settembre 2022

Descrizione

Descrizione Gravità Note

Una vulnerabilità di analisi dei messaggi e gestione della memoria nelle implementazioni C++ e Python di ProtocolBuffer può attivare un errore di memoria esaurita (OOM) durante l'elaborazione di un messaggio appositamente creato. Ciò potrebbe causare un attacco denial of service (DoS) ai servizi che utilizzano le librerie.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • protobuf-cpp (3.18.3, 3.19.5, 3.20.2, 3.21.6)
  • protobuf-python (3.18.3, 3.19.5, 3.20.2, 4.21.6)

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

Un piccolo messaggio appositamente creato che induce il servizio in esecuzione ad allocare grandi quantità di RAM. Le dimensioni ridotte della richiesta consentono di sfruttare facilmente la vulnerabilità ed esaurire le risorse. I sistemi C++ e Python che utilizzano protobuf non attendibili sarebbero vulnerabili agli attacchi DoS se contengono un oggetto MessageSet nella richiesta RPC.

Media CVE-2022-1941

GCP-2022-018

Data di pubblicazione: 1° agosto 2022

Aggiornamento: 14/09/2022, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisci che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 14/09/2022: sono state aggiunte versioni patch per GKE su VMware, GKE su AWS e GKE su Azure.

È stata scoperta una nuova vulnerabilità (CVE-2022-2327) nel kernel Linux che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di ottenere un'interruzione completa del contenitore per accedere come root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-2327

GCP-2022-017

Data di pubblicazione: 29 giugno 2022
Ultimo aggiornamento: 22 novembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022:i carichi di lavoro che utilizzano GKE Sandbox non sono interessati da queste vulnerabilità.

Aggiornamento del 21/07/2022: ulteriori informazioni su GKE su VMware.

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni kernel 5.10 e 5.11 di Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di ottenere un container breakout completo per l'accesso root sul nodo. Sono interessati solo i cluster che eseguono Container-Optimized OS. Le versioni di GKE Ubuntu utilizzano la versione 5.4 o 5.15 del kernel e non sono interessate.

Per istruzioni e maggiori dettagli, consulta:

 Alta CVE-2022-1786

GCP-2022-016

Data di pubblicazione: 23 giugno 2022
Data di aggiornamento: 22 novembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022:i cluster Autopilot non sono interessati da CVE-2022-29581, ma sono vulnerabili a CVE-2022-29582 e CVE-2022-1116.

Nel kernel Linux sono state scoperte tre nuove vulnerabilità di corruzione della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di ottenere un container breakout completo per accedere come root sul nodo. Sono interessati tutti i cluster Linux (Container-Optimized OS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2022-015

Data di pubblicazione: 9 giugno 2022
Data di aggiornamento: 10 giugno 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 10 giugno 2022: le versioni di Cloud Service Mesh sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2022-31045: il piano dati di Istio può potenzialmente accedere alla memoria in modo non sicuro quando sono abilitate le estensioni Metadata Exchange e Stats.
  • CVE-2022-29225: i dati possono superare i limiti del buffer intermedio se un malintenzionato trasmette un piccolo payload altamente compresso (attacco zip bomb).
  • CVE-2021-29224: potenziale dereferenziazione del puntatore null in GrpcHealthCheckerImpl.
  • CVE-2021-29226: il filtro OAuth consente un bypass banale.
  • CVE-2022-29228: il filtro OAuth può danneggiare la memoria (versioni precedenti) o attivare un ASSERT() (versioni successive).
  • CVE-2022-29227: arresto anomalo dei reindirizzamenti interni per le richieste con corpo o trailer.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Critico

GCP-2022-014

Pubblicato: 2022-04-26
Aggiornato: 2022-11-22

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: i cluster GKE Autopilot e i carichi di lavoro in esecuzione in GKE Sandbox non sono interessati.

Aggiornamento del 12/05/2022: le versioni di GKE su AWS e GKE su Azure sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Nel kernel Linux sono state rilevate due vulnerabilità della sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuna di queste vulnerabilità può consentire a un utente malintenzionato locale di eseguire un container breakout, un'escalation dei privilegi sull'host o entrambi. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-1055
CVE-2022-27666

GCP-2022-013

Pubblicazione: 11-04-2022
Aggiornamento: 22-04-2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del path traversal di containerd nella specifica del volume dell'immagine OCI. I container avviati tramite l'implementazione CRI di containerd con una configurazione dell'immagine appositamente creata potrebbero ottenere l'accesso in lettura completo a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe bypassare qualsiasi applicazione basata su policy nella configurazione del container (inclusa una policy di sicurezza dei pod di Kubernetes).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media CVE-2022-23648

GCP-2022-012

Data di pubblicazione: 7 aprile 2022
Data di aggiornamento: 22 novembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: per i cluster GKE in entrambe le modalità, Standard e Autopilot, i workload che utilizzano GKE Sandbox non sono interessati.

Nel kernel Linux versione 5.8 e successive è stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, che può potenzialmente aumentare i privilegi del container a root. Questa vulnerabilità interessa i seguenti prodotti:

  • Versioni del pool di nodi GKE 1.22 e successive che utilizzano immagini sistema operativo Container-Optimized OS (Container-Optimized OS 93 e versioni successive)
  • GKE su VMware v1.10 per le immagini Container-Optimized OS
  • GKE su AWS v1.21 e GKE su AWS (generazione precedente) v1.19, v1.20, v1.21, che utilizzano Ubuntu
  • Cluster gestiti di GKE su Azure v1.21 che utilizzano Ubuntu

Per istruzioni e maggiori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-0847

GCP-2022-011

Pubblicato: 2022-03-22
Aggiornato: 2022-08-11

Descrizione

Descrizione Gravità

Aggiornamento dell'11/08/2022: sono state aggiunte ulteriori informazioni sulla configurazione del multi-threading simultaneo (SMT). L'SMT doveva essere disattivato, ma è stato attivato nelle versioni elencate.

Se hai abilitato manualmente SMT per un pool di nodi in sandbox, SMT rimarrà abilitato manualmente nonostante questo problema.

Si è verificato un errore di configurazione con il multi-threading simultaneo (SMT), noto anche come hyper-threading, sulle immagini GKE Sandbox. La configurazione errata lascia i nodi potenzialmente esposti ad attacchi side channel come il Microarchitectural Data Sampling (MDS) (per ulteriori informazioni, consulta la documentazione di GKE Sandbox). Ti consigliamo di non utilizzare le seguenti versioni interessate:

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

 Media

GCP-2022-010

Descrizione

Descrizione Gravità Note

La seguente CVE di Istio espone Cloud Service Mesh a una vulnerabilità sfruttabile da remoto:

  • CVE-2022-24726: il control plane Istio, "istiod", è vulnerabile a un errore di elaborazione delle richieste, che consente a un utente malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida di un cluster viene esposto pubblicamente. Questo endpoint viene pubblicato sulla porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'autore dell'attacco.

Per istruzioni e maggiori dettagli, consulta il seguente bollettino sulla sicurezza:

Alta

GCP-2022-009

Data di pubblicazione: 1° marzo 2022

Descrizione

Descrizione Gravità

Alcuni percorsi imprevisti per accedere alla VM del nodo sui cluster GKE Autopilot potrebbero essere stati utilizzati per aumentare i privilegi nel cluster. Questi problemi sono stati risolti e non sono richieste ulteriori azioni. Le correzioni risolvono i problemi segnalati tramite il nostro Vulnerability Reward Program.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE

 Bassa

GCP-2022-008

Data di pubblicazione: 23 febbraio 2022
Ultimo aggiornamento: 28 aprile 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 28/04/2022: sono state aggiunte versioni di GKE on VMware che correggono queste vulnerabilità. Per i dettagli, consulta il bollettino sulla sicurezza di GKE su VMware.

Il progetto Envoy ha recentemente scoperto una serie di vulnerabilità. Tutti i problemi elencati di seguito sono stati risolti nella release 1.21.1 di Envoy.
  • CVE-2022-23606: quando un cluster viene eliminato tramite il servizio di rilevamento dei cluster (CDS), tutte le connessioni inattive stabilite con gli endpoint in quel cluster vengono disconnesse. Nella versione 1.19 di Envoy è stata erroneamente introdotta una ricorsione nella procedura di disconnessione delle connessioni inattive che può causare l'esaurimento dello stack e l'interruzione anomala del processo quando un cluster ha un numero elevato di connessioni inattive.
  • CVE-2022-21655: il codice di reindirizzamento interno di Envoy presuppone l'esistenza di una voce di route. Quando viene eseguito un reindirizzamento interno a una route che ha una voce di risposta diretta e nessuna voce di route, si verifica un dereferenziazione di un puntatore nullo e un arresto anomalo.
  • CVE-2021-43826: quando Envoy è configurato per utilizzare tcp_proxy, che utilizza il tunneling upstream (su HTTP) e la terminazione TLS downstream, Envoy si arresta in modo anomalo se il client downstream si disconnette durante il TLS handshake mentre lo stream HTTP upstream è ancora in fase di stabilimento. La disconnessione downstream può essere avviata dal client o dal server. Il client può disconnettersi per qualsiasi motivo. Il server potrebbe disconnettersi se, ad esempio, non dispone di cifrari TLS o di versioni del protocollo TLS compatibili con il client. Potrebbe essere possibile attivare questo arresto anomalo anche in altre configurazioni downstream.
  • CVE-2021-43825: l'invio di una risposta generata localmente deve interrompere l'ulteriore elaborazione dei dati della richiesta o della risposta. Envoy tiene traccia della quantità di dati di richiesta e risposta memorizzati nel buffer e interrompe la richiesta se la quantità di dati memorizzati nel buffer supera il limite inviando risposte 413 o 500. Tuttavia, quando viene inviata una risposta generata localmente a causa dell'overflow del buffer interno mentre la risposta viene elaborata dalla catena di filtri, l'operazione potrebbe non essere interrotta correttamente e comportare l'accesso a un blocco di memoria liberato.
  • CVE-2021-43824: Envoy si arresta in modo anomalo quando utilizza il filtro JWT con una regola di corrispondenza "safe_regex" e una richiesta appositamente creata come "CONNECT host:port HTTP/1.1". Quando raggiunge il filtro JWT, una regola "safe_regex" dovrebbe valutare il percorso dell'URL ma qui non ce n'è e Envoy si arresta in modo anomalo con errori di segmentazione.
  • CVE-2022-21654: Envoy consentiva erroneamente la ripresa della sessione TLS dopo la riconfigurazione delle impostazioni di convalida mTLS. Se un certificato client era consentito con la configurazione precedente, ma non con quella nuova, il client potrebbe riprendere la sessione TLS precedente anche se la configurazione attuale non lo consente. Sono interessate le modifiche alle seguenti impostazioni:
    • match_subject_alt_names
    • Modifiche alla CRL
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657: Envoy non limita l'insieme di certificati che accetta dal peer, come client TLS o server TLS, solo a quelli che contengono l'extendedKeyUsage necessario (id-kp-serverAuth e id-kp-clientAuth, rispettivamente). Ciò significa che un peer può presentare un certificato email (ad es. id-kp-emailProtection), come certificato foglia o come CA nella catena, e verrà accettato per TLS. Questo è particolarmente grave se combinato con CVE-2022-21656 , in quanto consente a una CA PKI web destinata solo all'utilizzo con S/MIME, e quindi esentata da audit o supervisione, di emettere certificati TLS che verranno accettati da Envoy.
  • CVE-2022-21656: l'implementazione del programma di convalida utilizzata per implementare le routine di convalida dei certificati predefinite presenta un bug di "confusione dei tipi" durante l'elaborazione di subjectAltNames. Questo trattamento consente, ad esempio, di autenticare un rfc822Name o uniformResourceIndicator come nome di dominio. Questa confusione consente di bypassare nameConstraints, come elaborato dall'implementazione OpenSSL/BoringSSL sottostante, esponendo alla possibilità di furto d'identità di server arbitrari.
Per istruzioni dettagliate relative a prodotti specifici, consulta i seguenti bollettini sulla sicurezza:
Che cosa devo fare?
Gli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi di utilizzare la release 1.21.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i file binari da un'origine come GitHub ed eseguono il deployment.

Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i binari di Envoy), per i quali i prodotti Google Cloud passeranno alla versione 1.21.1, non devono intraprendere alcuna azione. 		Alta CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654
CVE-2022-21657
CVE-2022-21656

GCP-2022-007

Data di pubblicazione: 22 febbraio 2022

Descrizione

Descrizione Gravità Note

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2022-23635: Istiod si arresta in modo anomalo alla ricezione di richieste con un'intestazione authorization appositamente creata.
  • CVE-2021-43824: Potenziale dereferenziazione del puntatore nullo quando si utilizza il filtro JWT safe_regex match
  • CVE-2021-43825: Use-after-free quando i filtri di risposta aumentano i dati di risposta e i dati aumentati superano i limiti del buffer downstream.
  • CVE-2021-43826: Use-after-free durante il tunneling TCP su HTTP, se la connessione downstream si interrompe durante la creazione della connessione upstream.
  • CVE-2022-21654: la gestione errata della configurazione consente il riutilizzo della sessione mTLS senza riconvalida dopo la modifica delle impostazioni di convalida.
  • CVE-2022-21655: gestione errata dei reindirizzamenti interni alle route con una voce di risposta diretta.
  • CVE-2022-23606: esaurimento dello stack quando un cluster viene eliminato tramite il servizio di rilevamento dei cluster.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2022-006

Pubblicato: 14/02/2022
Aggiornato: 16/05/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/05/2022: è stata aggiunta la versione GKE 1.19.16-gke.7800 o successive all'elenco delle versioni con codice per correggere questa vulnerabilità. Per maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Aggiornamento del 12/05/2022: le versioni di GKE, GKE su VMware, GKE su AWS e GKE su Azure sono state aggiornate. Per istruzioni e maggiori dettagli, consulta:

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0492, nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi utente non privilegiati e, in determinate circostanze, questa vulnerabilità può essere sfruttata per il container breakout.

 Bassa

Per istruzioni e maggiori dettagli, consulta:

GCP-2022-005

Data di pubblicazione: 11/02/2022
Data di aggiornamento: 15/02/2022

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-43527, in qualsiasi binario che si collega alle versioni vulnerabili di libnss3 presenti in NSS (Network Security Services) precedenti alla versione 3.73 o 3.68.1. Le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL potrebbero essere interessate, a seconda di come viene utilizzato/configurato NSS.

Per istruzioni e ulteriori dettagli, consulta:

Media CVE-2021-43527

GCP-2022-004

Data di pubblicazione: 4 febbraio 2022

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di sicurezza, CVE-2021-4034, in pkexec, una parte del pacchetto del kit di policy Linux (polkit), che consente a un utente autenticato di eseguire un attacco di escalation dei privilegi. PolicyKit viene generalmente utilizzato solo sui sistemi desktop Linux per consentire agli utenti non root di eseguire azioni come il riavvio del sistema, l'installazione di pacchetti, il riavvio di servizi e così via, come regolato da una policy.

Per istruzioni e ulteriori dettagli, consulta:

Nessuno CVE-2021-4034

GCP-2022-002

Data di pubblicazione: 1° febbraio 2022
Ultimo aggiornamento: 25 febbraio 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/02/2022: le versioni di GKE sono state aggiornate. Per istruzioni e maggiori dettagli, consulta:

Aggiornamento del 23/02/2022: le versioni di GKE e GKE on VMware sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Aggiornamento del 4 febbraio 2022: la data di inizio dell'implementazione delle versioni patch di GKE era il 2 febbraio.

Nel kernel Linux sono state rilevate tre vulnerabilità della sicurezza, CVE-2021-4154, CVE-2021-22600 e CVE-2022-0185, ognuna delle quali può causare un container breakout, un'escalation dei privilegi sull'host o entrambi. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE on VMware, GKE on AWS (generazione attuale e precedente) e GKE on Azure. I pod che utilizzano GKE Sandbox non sono vulnerabili a queste vulnerabilità. Per saperne di più, consulta le note di rilascio di ChromeOS.

Per istruzioni e ulteriori dettagli, consulta:

Alta

GCP-2022-001

Data di pubblicazione: 2022-01-06

Descrizione

Descrizione Gravità Note

È stato rilevato un potenziale problema di Denial of Service in protobuf-java nella procedura di analisi dei dati binari.

Che cosa devo fare?

Assicurati di utilizzare le ultime versioni dei seguenti pacchetti software:

  • protobuf-java (3.16.1, 3.18.2, 3.19.2)
  • protobuf-kotlin (3.18.2, 3.19.2)
  • google-protobuf [gemma JRuby] (3.19.2)

Gli utenti di Protobuf "javalite" (in genere Android) non sono interessati.

Quali vulnerabilità vengono risolte da questa patch?

La patch attenua la seguente vulnerabilità:

Una debolezza di implementazione nel modo in cui i campi sconosciuti vengono analizzati in Java. Un payload dannoso di piccole dimensioni (~800 KB) può occupare l'analizzatore per diversi minuti creando un numero elevato di oggetti di breve durata che causano pause di garbage collection frequenti e ripetute.

 Alta CVE-2021-22569

GCP-2021-024

Data di pubblicazione: 21 ottobre 2021

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza nel controller ingress-nginx di Kubernetes, CVE-2021-25742. Gli snippet personalizzati di ingress-nginx consentono il recupero dei token e dei secret account di servizio ingress-nginx in tutti i namespace.

Per istruzioni e ulteriori dettagli, consulta:

Nessuno CVE-2021-25742

GCP-2021-019

Data di pubblicazione: 29 settembre 2021

Descrizione

Descrizione Gravità Note

Esiste un problema noto per cui l'aggiornamento di una risorsa BackendConfig utilizzando l'API v1beta1 rimuove una policy di sicurezza di Google Cloud Armor attiva dal relativo servizio.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

 Bassa

GCP-2021-022

Data di pubblicazione: 2021-09-22

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità nel modulo LDAP del servizio di identità GKE Enterprise (AIS) di GKE su VMware versioni 1.8 e 1.8.1 in cui una chiave seed utilizzata per generare le chiavi è prevedibile. Con questa vulnerabilità, un utente autenticato potrebbe aggiungere claim arbitrari ed eseguire l'escalation dei privilegi a tempo indeterminato.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE su VMware.

 Alta

GCP-2021-021

Data di pubblicazione: 22 settembre 2021

Descrizione

Descrizione Gravità Note

In Kubernetes è stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, in cui è possibile fare in modo che determinati webhook reindirizzino le richieste kube-apiserver alle reti private di quel server API.

Per istruzioni e ulteriori dettagli, consulta:

Media CVE-2020-8561

GCP-2021-023

Data di pubblicazione: 21 settembre 2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0020, VMware ha ricevuto segnalazioni di più vulnerabilità in vCenter. VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo già applicato le patch fornite da VMware per lo stack vSphere a Google Cloud VMware Engine in base al bollettino sulla sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità della sicurezza descritte in CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 e CVE-2021-22010. Altri problemi di sicurezza non critici verranno risolti nel prossimo upgrade dello stack VMware (come da preavviso inviato a luglio, a breve verranno forniti maggiori dettagli sulla tempistica specifica dell'upgrade).

Impatto di VMware Engine

In base alle nostre indagini, non sono stati rilevati clienti interessati.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-020

Data di pubblicazione: 2021-09-17

Descrizione

Descrizione Gravità Note

Alcuni bilanciatori del carico Google Cloud che indirizzano a un servizio di backend abilitato per Identity-Aware Proxy (IAP) potrebbero essere stati vulnerabili a una parte non attendibile in condizioni limitate. Questo aggiornamento risolve un problema segnalato tramite il nostro Vulnerability Reward Program.

Le condizioni erano che i server:
  • Were HTTP(S) load balancers and
  • Utilizzato un backend predefinito o un backend con una regola di mappatura host con caratteri jolly (ovvero host="*")

Inoltre, un utente della tua organizzazione deve aver fatto clic su un link appositamente creato inviato da una parte non attendibile.

Ora il problema è stato risolto. A partire dal 17 settembre 2021, IAP è stato aggiornato per emettere cookie solo per gli host autorizzati. Un host è considerato autorizzato se corrisponde ad almeno un nome alternativo del soggetto (SAN) in uno dei certificati installati sui bilanciatori del carico.

Cosa fare

Alcuni dei tuoi utenti potrebbero riscontrare una risposta HTTP 401 Non autorizzato con un codice di errore IAP 52 durante il tentativo di accedere ad app o servizi. Questo codice di errore indica che il client ha inviato un'intestazione Host che non corrisponde ad alcun nome alternativo del soggetto associato ai certificati SSL del bilanciatore del carico. L'amministratore del bilanciatore del carico deve aggiornare il certificato SSL per assicurarsi che l'elenco dei nomi alternativi del soggetto (SAN) contenga tutti i nomi host tramite i quali gli utenti accedono alle app o ai servizi protetti da IAP. Scopri di più sui codici di errore IAP.

Alta

GCP-2021-018

Data di pubblicazione: 15/09/2021
Ultimo aggiornamento: 20/09/2021

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza in Kubernetes, CVE-2021-25741, per cui un utente potrebbe essere in grado di creare un container con montaggi di volumi di sottopercorsi per accedere a file e directory all'esterno del volume, incluso il file system host.

Per istruzioni e maggiori dettagli, consulta:

Alta CVE-2021-25741

GCP-2021-017

Data di pubblicazione: 2021-09-01
Ultimo aggiornamento: 2021-09-23

Descrizione

Descrizione Gravità Note

Aggiornamento del 23/09/2021: i container in esecuzione all'interno di GKE Sandbox non sono interessati da questa vulnerabilità per gli attacchi provenienti dall'interno del container.

Nel kernel Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2021-33909 e CVE-2021-33910, che possono causare un arresto anomalo del sistema operativo o un'escalation a root da parte di un utente senza privilegi. Questa vulnerabilità interessa tutti i sistemi operativi dei nodi GKE (COS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-33909, CVE-2021-33910

GCP-2021-016

Published: 2021-08-24

Descrizione

Descrizione Gravità Note

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2021-39156: le richieste HTTP con un frammento (una sezione alla fine di un URI che inizia con un carattere #) nel percorso URI potrebbero bypassare i criteri di autorizzazione basati sul percorso URI di Istio.
  • CVE-2021-39155: le richieste HTTP potrebbero potenzialmente bypassare un criterio di autorizzazione Istio quando si utilizzano regole basate su hosts o notHosts.
  • CVE-2021-32781: interessa le estensioni decompressor, json-transcoder o grpc-web di Envoy o le estensioni proprietarie che modificano e aumentano le dimensioni dei corpi delle richieste o delle risposte. La modifica e l'aumento delle dimensioni del corpo in un'estensione di Envoy oltre le dimensioni del buffer interno potrebbero comportare l'accesso di Envoy alla memoria deallocata e la terminazione anomala.
  • CVE-2021-32780: un servizio upstream non attendibile potrebbe causare la chiusura anomala di Envoy inviando il frame GOAWAY seguito dal frame SETTINGS con il parametro SETTINGS_MAX_CONCURRENT_STREAMS impostato su 0. (Non applicabile a Istio su GKE)
  • CVE-2021-32778: un client Envoy che apre e poi reimposta un numero elevato di richieste HTTP/2 potrebbe comportare un consumo eccessivo di CPU. (Non applicabile a Istio su GKE)
  • CVE-2021-32777: le richieste HTTP con intestazioni di più valori potrebbero eseguire un controllo incompleto della policy di autorizzazione quando viene utilizzata l'estensione ext_authz.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2021-015

Data di pubblicazione: 13 luglio 2021
Data di aggiornamento: 15 luglio 2021

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità di sicurezza, CVE-2021-22555, in cui un malintenzionato con privilegi CAP_NET_ADMIN può potenzialmente causare un'container breakout per ottenere l'accesso root all'host. Questa vulnerabilità interessa tutti i cluster GKE e GKE su VMware che eseguono Linux versione 2.6.19 o successive.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-22555

GCP-2021-014

Data di pubblicazione: 5 luglio 2021

Descrizione

Descrizione Gravità Note

Microsoft ha pubblicato un bollettino sulla sicurezza relativo a una vulnerabilità di esecuzione di codice remoto (RCE), CVE-2021-34527, che interessa lo spooler di stampa nei server Windows. Il CERT Coordination Center (CERT/CC) ha pubblicato una nota di aggiornamento su una vulnerabilità correlata, denominata "PrintNightmare", che interessa anche gli spooler di stampa di Windows: PrintNightmare, Critical Windows Print Spooler Vulnerability

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Alta CVE-2021-34527

GCP-2021-012

Data di pubblicazione: 24 giugno 2021
Data di aggiornamento: 9 luglio 2021

Descrizione

Descrizione Gravità Note

Il progetto Istio ha recentemente annunciato una vulnerabilità di sicurezza in cui è possibile accedere alle credenziali specificate nel campo credentialName di Gateway e DestinationRule da spazi dei nomi diversi.

Per istruzioni specifiche per prodotto e maggiori dettagli, consulta:

 Alta CVE-2021-34824

GCP-2021-011

Data di pubblicazione: 2021-06-04
Ultimo aggiornamento: 2021-10-19

Descrizione

Descrizione Gravità Note

Aggiornamento del 19 ottobre 2021:

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

La community della sicurezza ha recentemente divulgato una nuova vulnerabilità della sicurezza (CVE-2021-30465) rilevata in runc che potrebbe consentire l'accesso completo a un file system del nodo.

Per GKE, poiché lo sfruttamento di questa vulnerabilità richiede la capacità di creare pod, abbiamo valutato la gravità di questa vulnerabilità come MEDIA.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Media CVE-2021-30465

GCP-2021-010

Data di pubblicazione: 25 maggio 2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0010, l'esecuzione di codice remoto e le vulnerabilità di bypass dell'autenticazione in vSphere Client (HTML5) sono state segnalate privatamente a VMware. VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le patch fornite da VMware per lo stack vSphere in base al bollettino sulla sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità di sicurezza descritte in CVE-2021-21985 e CVE-2021-21986. Le versioni immagine in esecuzione nel tuo cloud privato VMware Engine non riflettono alcuna modifica al momento per indicare le patch applicate. Ti assicuriamo che sono state installate le patch appropriate e che il tuo ambiente è protetto da queste vulnerabilità.

Impatto di VMware Engine

In base alle nostre indagini, non è stato riscontrato alcun impatto sui clienti.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-008

Data di pubblicazione: 2021-05-17

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto in cui un client esterno può accedere a servizi imprevisti nel cluster, bypassando i controlli di autorizzazione, quando un gateway è configurato con la configurazione di routing AUTO_PASSTHROUGH.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31921

GCP-2021-007

Data di pubblicazione: 17 maggio 2021

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto in cui un percorso di richiesta HTTP con più barre o caratteri di barra con escape (%2F o %5C) potrebbe potenzialmente bypassare una policy di autorizzazione Istio quando vengono utilizzate regole di autorizzazione basate sul percorso.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31920

GCP-2021-006

Data di pubblicazione: 11 maggio 2021

Descrizione

Descrizione Gravità Note

Il progetto Istio ha recentemente divulgato una nuova vulnerabilità della sicurezza (CVE-2021-31920) che interessa Istio.

Istio contiene una vulnerabilità sfruttabile da remoto in cui una richiesta HTTP con più barre o caratteri di barra con escape può bypassare la policy di autorizzazione di Istio quando vengono utilizzate regole di autorizzazione basate sul percorso.

Per istruzioni e maggiori dettagli, consulta:

Alta

 CVE-2021-31920

GCP-2021-005

Data di pubblicazione: 2021-05-11

Descrizione

Descrizione Gravità Note

Una vulnerabilità segnalata ha dimostrato che Envoy non decodifica le sequenze di barre con escape %2F e %5C nei percorsi degli URL HTTP nelle versioni di Envoy 1.18.2 e precedenti. Inoltre, alcuni prodotti basati su Envoy non attivano i controlli di normalizzazione del percorso. Un utente malintenzionato remoto potrebbe creare un percorso con barre di escape (ad esempio, /something%2F..%2Fadmin,) per bypassare controllo dell'accesso (ad esempio, un blocco su /admin). Un server di backend potrebbe quindi decodificare le sequenze di barre e normalizzare il percorso per fornire a un utente malintenzionato l'accesso oltre l'ambito previsto dalla policy di controllo dell'accesso.

Che cosa devo fare?

Se i server di backend trattano / e %2F o \ e %5C in modo intercambiabile ed è configurata una corrispondenza basata sul percorso dell'URL, ti consigliamo di riconfigurare il server di backend in modo che non tratti \ e %2F o \ e %5C in modo intercambiabile, se possibile.

Quali modifiche comportamentali sono state introdotte?

Le opzioni normalize_path e merge adjacent slashes di Envoy sono state attivate per risolvere altre vulnerabilità comuni di confusione dei percorsi nei prodotti basati su Envoy.

Alta

 CVE-2021-29492

GCP-2021-004

Data di pubblicazione: 6 maggio 2021

Descrizione

Descrizione Gravità Note

I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258), che potrebbero consentire a un malintenzionato di arrestare in modo anomalo Envoy.

I cluster Google Kubernetes Engine non eseguono Istio per impostazione predefinita e non sono vulnerabili. Se Istio è stato installato in un cluster e configurato per esporre servizi a internet, questi servizi potrebbero essere vulnerabili ad attacchi DoS.

Google Distributed Cloud Virtual per Bare Metal e GKE su VMware utilizzano Envoy per impostazione predefinita per Ingress, pertanto i servizi Ingress potrebbero essere vulnerabili ad attacchi denial of service.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media

GCP-2021-003

Data di pubblicazione: 19 aprile 2021

Descrizione

Descrizione Gravità Note

Il progetto Kubernetes ha recentemente annunciato una nuova vulnerabilità della sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di ammissione di convalida.

In uno scenario in cui un utente malintenzionato dispone di privilegi sufficienti e in cui è implementato un webhook di ammissione di convalida che utilizza le vecchie proprietà dell'oggetto Node (ad esempio i campi in Node.NodeSpec), l'utente malintenzionato potrebbe aggiornare le proprietà di un nodo che potrebbe portare alla compromissione del cluster. Nessuna delle policy applicate dai controller di ammissione integrati di GKE e Kubernetes è interessata, ma consigliamo ai clienti di controllare eventuali webhook di ammissione aggiuntivi installati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media

CVE-2021-25735

GCP-2021-002

Data di pubblicazione: 5 marzo 2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0002, VMware ha ricevuto segnalazioni di più vulnerabilità in VMware ESXi e vSphere Client (HTML5). VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le soluzioni alternative documentate ufficialmente per lo stack vSphere in base all'avviso di sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità della sicurezza descritte in CVE-2021-21972, CVE-2021-21973 e CVE-2021-21974.

Impatto di VMware Engine

In base alle nostre indagini, non è stato riscontrato alcun impatto sui clienti.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-001

Data di pubblicazione: 2021-01-28

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nell'utilità Linux sudo, descritta in CVE-2021-3156, che potrebbe consentire a un malintenzionato con accesso alla shell locale senza privilegi su un sistema con sudo installato di elevare i propri privilegi a root sul sistema.

L'infrastruttura sottostante che esegue Compute Engine non è interessata da questa vulnerabilità.

Tutti i cluster Google Kubernetes Engine (GKE), GKE on VMware, GKE on AWS e Google Distributed Cloud Virtual for Bare Metal non sono interessati da questa vulnerabilità.

Per istruzioni e maggiori dettagli, consulta i seguenti bollettini sulla sicurezza:

Nessuno CVE-2021-3156

GCP-2020-015

Data di pubblicazione: 2020-12-07
Ultimo aggiornamento: 2020-12-22

Descrizione

Descrizione Gravità Note

Aggiornato: 22/12/2021 Il comando per GKE nella sezione seguente deve utilizzare gcloud beta anziché il comando gcloud. 

gcloud container clusters update –no-enable-service-externalips
Aggiornamento: 15/12/2021 Per GKE, è ora disponibile la seguente mitigazione:
  1. A partire dalla versione 1.21 di GKE, i servizi con ExternalIP sono bloccati da un controller di ammissione DenyServiceExternalIPs abilitato per impostazione predefinita per i nuovi cluster.
  2. I clienti che eseguono l'upgrade a GKE versione 1.21 possono bloccare i servizi con ExternalIP utilizzando il seguente comando: 
    gcloud container clusters update –no-enable-service-externalips

Per saperne di più, consulta Rafforzamento della sicurezza del cluster.

Il progetto Kubernetes ha scoperto di recente una nuova vulnerabilità di sicurezza, CVE-2020-8554, che potrebbe consentire a un malintenzionato che ha ottenuto le autorizzazioni per creare un servizio Kubernetes di tipo LoadBalancer o ClusterIP di intercettare il traffico di rete proveniente da altri pod nel cluster. Questa vulnerabilità di per sé non concede a un malintenzionato le autorizzazioni per creare un servizio Kubernetes.

Tutti i cluster Google Kubernetes Engine (GKE), GKE on VMware e GKE on AWS sono interessati da questa vulnerabilità.

Che cosa devo fare?

Per istruzioni e maggiori dettagli, consulta:

Media

 CVE-2020-8554

GCP-2020-014

Data di pubblicazione: 20/10/2020
Data di aggiornamento: 20/10/2020

Descrizione

Descrizione Gravità Note

Il progetto Kubernetes ha recentemente scoperto diversi problemi che consentono l'esposizione di dati sensibili quando sono abilitate le opzioni di logging dettagliato. I problemi sono:

  • CVE-2020-8563: fughe di secret nei log per kube-controller-manager del provider vSphere
  • CVE-2020-8564: divulgazione dei secret di configurazione Docker quando il file non è valido e loglevel >= 4
  • CVE-2020-8565: correzione incompleta di CVE-2019-11250 in Kubernetes che consente la perdita di token nei log quando logLevel >= 9. Rilevato da GKE Security.
  • CVE-2020-8566: Ceph RBD adminSecrets exposed in logs when loglevel >= 4

Che cosa devo fare?

Non sono necessarie ulteriori azioni grazie ai livelli di logging di Preferenze di lettura predefiniti di GKE.

Nessuno

ImpattoGoogle Cloud

I dettagli del prodotto sono elencati di seguito.

Prodotto

Impatto

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) non è interessato.

GKE On-Prem

GKE On-Prem non è interessato.

GKE su AWS

GKE su AWS non è interessato.

GCP-2020-013

Data di pubblicazione: 2020-09-29

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1472 — Una vulnerabilità in Windows Server consente agli aggressori di utilizzare il protocollo remoto Netlogon per eseguire un'applicazione appositamente creata su un dispositivo della rete.

Punteggio di base NVD: 10 (critico)

CVE-2020-1472

Per saperne di più, consulta l'informativa di Microsoft.

ImpattoGoogle Cloud

L'infrastruttura che ospita i prodotti Google Cloud e Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1472

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

I clienti che utilizzano macchine virtuali Compute Engine con Windows Server devono assicurarsi che le loro istanze siano state aggiornate con l'ultima patch di Windows o utilizzare immagini Windows Server pubblicate dopo il 17/08/2020 (v20200813 o successive).

Google Kubernetes Engine

CVE-2020-1472

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

Tutti i clienti che ospitano domain controller nei propri nodi GKE Windows Server devono assicurarsi che sia i nodi sia i workload containerizzati eseguiti su questi nodi abbiano l'immagine del nodo Windows più recente, quando è disponibile. Una nuova versione dell'immagine nodo verrà annunciata nelle note di rilascio di GKE a ottobre.

Managed Service for Microsoft Active Directory

CVE-2020-1472

Per la maggior parte dei clienti, non è necessaria alcuna azione aggiuntiva.

La patch di agosto rilasciata da Microsoft che include correzioni al protocollo NetLogon è stata applicata a tutti i domain controller di Managed Microsoft AD. Questa patch fornisce funzionalità per proteggere da potenziali exploit. L'applicazione tempestiva delle patch è uno dei principali vantaggi dell'utilizzo di Managed Service for Microsoft Active Directory. I clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano il servizio gestito di Google Cloud) devono assicurarsi che le loro istanze abbiano l'ultima patch di Windows o utilizzare immagini di Windows Server.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

ambiente standard App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run Functions

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Airflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Spark

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-012

Data di pubblicazione: 14 settembre 2020
Data di aggiornamento: 17 settembre 2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-14386, che potrebbe consentire l'attacco container escape per ottenere i privilegi di root sul nodo host.

Sono interessati tutti i nodi GKE. I pod in esecuzione in GKE Sandbox non sono in grado di sfruttare questa vulnerabilità.

Per istruzioni e ulteriori dettagli, consulta:


Quale vulnerabilità viene risolta da questa patch?

La patch mitiga la seguente vulnerabilità:

La vulnerabilità CVE-2020-14386, che consente ai container con CAP_NET_RAW
di scrivere da 1 a 10 byte di memoria del kernel e possibilmente uscire dal container e ottenere i privilegi di root sul nodo host. Questa vulnerabilità è classificata come di gravità elevata.

Alta

CVE-2020-14386

GCP-2020-011

Data di pubblicazione: 2020-07-24

Descrizione

Descrizione Gravità Note

Di recente è stata rilevata una vulnerabilità di networking, CVE-2020-8558, in Kubernetes. A volte i servizi comunicano con altre applicazioni in esecuzione all'interno dello stesso pod utilizzando l'interfaccia di loopback locale (127.0.0.1). Questa vulnerabilità consente a un utente malintenzionato con accesso alla rete del cluster di inviare traffico all'interfaccia di loopback di pod e nodi adiacenti. I servizi che si basano sull'interfaccia di loopback non accessibile all'esterno del pod potrebbero essere sfruttati.

Per istruzioni e maggiori dettagli, consulta:

Basso (GKE e GKE su AWS),
Medio (GKE su VMware)

CVE-2020-8558

GCP-2020-010

Data di pubblicazione: 27 luglio 2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1350: i server Windows che fungono da server DNS possono essere sfruttati per eseguire codice non attendibile dall'account di sistema locale.

Punteggio di base NVD: 10.0 (critico)

CVE-2020-1350

Per ulteriori informazioni, consulta l'informativa di Microsoft.

ImpattoGoogle Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1350

Per la maggior parte dei clienti, non sono necessarie ulteriori azioni.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server con capacità di server DNS devono assicurarsi che le loro istanze abbiano l'ultima patch di Windows o utilizzare immagini Windows Server fornite a partire dal 14/07/2020.

Google Kubernetes Engine

CVE-2020-1350

Per la maggior parte dei clienti, non sono richieste ulteriori azioni.

I clienti che utilizzano GKE con un nodo Windows Server in qualità di server DNS devono aggiornare manualmente i nodi e i workload containerizzati eseguiti su questi nodi a una versione di Windows Server contenente la correzione.

Managed Service for Microsoft Active Directory

CVE-2020-1350

Per la maggior parte dei clienti, non sono necessarie ulteriori azioni.

Tutti i domini Managed Microsoft AD sono stati aggiornati automaticamente con l'immagine corretta. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano Managed Microsoft AD) devono assicurarsi che le proprie istanze dispongano della patch Windows più recente o utilizzare le immagini Windows Server fornite dal 14/07/2020.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

ambiente standard App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run Functions

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Airflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Spark

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-009

Data di pubblicazione: 2020-07-15

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta in Kubernetes una vulnerabilità di escalation dei privilegi, CVE-2020-8559. Questa vulnerabilità consente a un malintenzionato che ha già compromesso un nodo di eseguire un comando in qualsiasi pod del cluster. In questo modo, l'aggressore può utilizzare il nodo già compromesso per compromettere altri nodi e potenzialmente leggere informazioni o causare azioni distruttive.

Tieni presente che, affinché un utente malintenzionato possa sfruttare questa vulnerabilità, un nodo nel tuo cluster deve essere già stato compromesso. Questa vulnerabilità, di per sé, non comprometterà alcun nodo del cluster.

Per istruzioni e maggiori dettagli, consulta:

Media

CVE-2020-8559

GCP-2020-008

Data di pubblicazione: 19 giugno 2020

Descrizione

Descrizione Gravità Note

Descrizione

Le VM in cui è abilitato OS Login potrebbero essere soggette a vulnerabilità di escalation dei privilegi. Queste vulnerabilità consentono agli utenti a cui sono state concesse autorizzazioni OS Login (ma non l'accesso amministrativo) di ottenere l'accesso root nella VM.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Alta

GCP-2020-007

Data di pubblicazione: 1° giugno 2020

Descrizione

Descrizione Gravità Note

La vulnerabilità Falsificazione richiesta lato server (SSRF), CVE-2020-8555, è stata scoperta di recente in Kubernetes e consente a determinati utenti autorizzati di divulgare fino a 500 byte di informazioni sensibili dalla rete host del control plane. Il piano di controllo di Google Kubernetes Engine (GKE) utilizza i controller di Kubernetes ed è quindi interessato da questa vulnerabilità. Ti consigliamo di eseguire l'upgrade del control plane alla versione patch più recente. Non è necessario eseguire l'upgrade di un nodo.

Per istruzioni e ulteriori dettagli, consulta:

Media

CVE-2020-8555

GCP-2020-006

Data di pubblicazione: 1° giugno 2020

Descrizione

Descrizione Gravità Note

Kubernetes ha divulgato una vulnerabilità che consente a un container con privilegi di reindirizzare il traffico del nodo a un altro container. Il traffico TLS/SSH reciproco, ad esempio tra kubelet e il server API o il traffico delle applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco. Tutti i nodi di Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade all'ultima versione della patch.

Per istruzioni e ulteriori dettagli, consulta:

Media

Problema di Kubernetes 91507

GCP-2020-005

Data di pubblicazione: 2020-05-07

Descrizione

Vulnerabilità

Gravità

CVE

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-8835, che consente il container escape per ottenere i privilegi di root sul nodo host.

I nodi Ubuntu di Google Kubernetes Engine (GKE) che eseguono GKE 1.16 o 1.17 sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade all'ultima versione della patch il prima possibile.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Alta

CVE-2020-8835

GCP-2020-004

Data di pubblicazione: 31/03/2020
Data di aggiornamento: 31/03/2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254: si tratta di una vulnerabilità Denial of Service (DoS) che interessa il server API.

Media

CVE-2019-11254

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE on VMware.

GCP-2020-003

Data di pubblicazione: 31 marzo 2020
Data di aggiornamento: 31 marzo 2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254: si tratta di una vulnerabilità Denial of Service (DoS) che interessa il server API.

Media

CVE-2019-11254

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

GCP-2020-002

Data di pubblicazione: 23 marzo 2020
Data di aggiornamento: 23 marzo 2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-8551: si tratta di una vulnerabilità di tipo Denial of Service (DoS) che interessa kubelet.

Media

CVE-2020-8551

CVE-2020-8552: si tratta di una vulnerabilità di tipo Denial of Service (DoS) che interessa il server API.

Media

CVE-2020-8552

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

GCP-2020-001

Data di pubblicazione: 2020-01-21
Data di aggiornamento: 2020-01-21

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-0601: questa vulnerabilità è nota anche come vulnerabilità di spoofing dell'API Windows Crypto. Potrebbe essere sfruttato per far apparire attendibili eseguibili dannosi o consentire all'aggressore di condurre attacchi man-in-the-middle e decriptare informazioni riservate sulle connessioni degli utenti al software interessato.

Punteggio base NVD: 8,1 (Alta)

CVE-2020-0601

Per ulteriori informazioni, consulta l'informativa di Microsoft.

ImpattoGoogle Cloud

L'infrastruttura che ospita i prodotti Google Cloud e Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-0601

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server devono assicurarsi che le loro istanze abbiano l'ultima patch di Windows o utilizzare le immagini Windows Server fornite dal 15/01/2020. Per maggiori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

Google Kubernetes Engine

CVE-2020-0601

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

Per i clienti che utilizzano GKE con nodi Windows Server, sia i nodi sia i workload containerizzati eseguiti su questi nodi devono essere aggiornati alle versioni con patch per mitigare questa vulnerabilità. Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE.

Managed Service for Microsoft Active Directory

CVE-2020-0601

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

Tutti i domini Managed Microsoft AD sono stati aggiornati automaticamente con l'immagine corretta. I clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano Managed Microsoft AD) devono assicurarsi che le loro istanze abbiano l'ultima patch di Windows o utilizzare le immagini di Windows Server fornite a partire dal 15/01/2020.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

ambiente standard App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run Functions

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Airflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Spark

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2019-001

Data di pubblicazione: 12/11/2019
Data di aggiornamento: 12/11/2019

Descrizione

Intel ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11135 — Questa vulnerabilità, indicata come TSX Async Abort (TAA) può essere utilizzata per sfruttare l'esecuzione speculativa in una transazione TSX. Questa vulnerabilità può determinare un'esposizione dei dati attraverso le stesse strutture di dati della microarchitettura esposte dal Microarchitectural Data Sampling (MDS).

Media

CVE-2019-11135

CVE-2018-12207 — Questa è una vulnerabilità di tipo Denial of Service (DoS) che interessa le macchine virtuali host (non ospiti). Questo problema è noto come "Machine Check Error on Page Size Change".

Media

CVE-2018-12207

Per ulteriori informazioni, consulta le divulgazioni di Intel:

Google Cloud impatto

L'infrastruttura che ospita i prodotti Google Cloud e Google è protetta da queste vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti N2, C2 o M2 che eseguono codice non attendibile nei propri servizi multi-tenant all'interno delle macchine virtuali Compute Engine devono arrestare e avviare le loro VM per assicurarsi che dispongano delle più recenti misure di mitigazione per la sicurezza.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Google Kubernetes Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

Se utilizzi pool di nodi con nodi N2, M2 o C2, e questi nodi eseguono codice non attendibile nei propri cluster GKE multi-tenant, devi riavviare i nodi. Se vuoi riavviare tutti i nodi del tuo pool di nodi, esegui l'upgrade del pool di nodi interessato.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

ambiente standard App Engine

Non è necessario alcun intervento aggiuntivo.

Ambiente flessibile di App Engine

CVE-2019-11135

Non è necessario alcun intervento aggiuntivo.

I clienti devono rivedere le best practice di Intel relative alla condivisione a livello di applicazione che può avvenire fra gli hyperthread all'interno di una VM flessibile.

CVE-2018-12207

Non è necessario alcun intervento aggiuntivo.

Cloud Run

Non è necessario alcun intervento aggiuntivo.

Cloud Run Functions

Non è necessario alcun intervento aggiuntivo.

Managed Service for Apache Airflow

Non è necessario alcun intervento aggiuntivo.

Dataflow

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Dataflow che eseguono numerosi carichi di lavoro non attendibili su VM N2, C2 o M2 di Compute Engine gestite da Dataflow, e che sono preoccupati di attacchi fra i guest, devono prendere in considerazione il riavvio di tutte le pipeline di gestione dei flussi attualmente in esecuzione. Facoltativamente, le pipeline batch possono essere annullate e rieseguite. Non è necessario alcun intervento sulle pipeline avviate dopo la data odierna.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Managed Service for Apache Spark

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Cloud Dataproc che eseguono più carichi di lavoro non attendibili sullo stesso cluster Cloud Dataproc eseguito su VM N2, C2 o M2 di Compute Engine, e che sono preoccupati di attacchi fra i guest, devono rieseguire il deployment dei cluster.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Cloud SQL

Non è necessario alcun intervento aggiuntivo.