安全性公告

以下安全性公告與 Google Cloud 產品相關。

使用這個 XML 動態饋給訂閱此頁面的安全性公告。 訂閱

GCP-2026-068

發布日期：2026 年 10 月 14 日

說明

說明 嚴重性 附註

在 2026 年 8 月 27 日前推出的 Application Integration 版本中，AuthConfig 驗證和整合執行階段存在授權不正確的安全漏洞。

該怎麼辦？

顧客無須採取任何行動。這項安全漏洞已於 2026 年 8 月 27 日修補完畢。

解決哪些安全漏洞？

通過驗證的使用者可能會提升權限，並在 Google Cloud 專案中模擬服務帳戶。

 重大 CVE-2026-85298

GCP-2026-067

發布日期：2026 年 10 月 12 日

說明

說明 嚴重性 附註

在 Envoy Proxy 中發現阻斷服務 (DoS) 弱點，當 HTTP 篩選器 (例如 ext_proc 搭配 route_cache_action: RETAIN) 在設定 prefix_rewrite 的路徑上選取路徑後，會突變 :path 標頭。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 envoyproxy/envoy#47841

GCP-2026-066

發布日期：2026 年 9 月 28 日

說明

說明 嚴重性 附註

在 2026 年 6 月 30 日前推出的 Application Integration 版本中，Email Task 元件存在混淆代理人安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這個安全漏洞已於 2026 年 6 月 30 日修補。

解決哪些安全漏洞？

經過驗證的攻擊者可使用特製的附件路徑，讀取及竊取任意 Google 內部檔案。

 高 CVE-2026-81375

GCP-2026-065

發布日期：2026 年 9 月 28 日

說明

說明 嚴重性 附註

在 2026 年 6 月 28 日前推出的 Application Integration 版本中，JavaScript 工作存在「還原序列化不受信任的資料」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 28 日修補完畢。

解決哪些安全漏洞？

具備標準權限的已驗證使用者可能會利用特製指令碼，在共用的正式伺服器上執行任意程式碼。

 重大 CVE-2026-81867

GCP-2026-064

發布日期：2026 年 9 月 28 日

說明

說明 嚴重性 附註

在 2026 年 6 月 17 日前推出的 Application Integration 版本中，工作設定存在授權不正確的安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 17 日修補完畢。

要解決哪些安全漏洞？

通過驗證的使用者可使用僅限內部的任務類型，從 Google 內部正式環境網路，以特殊權限身分執行任意內部 RPC。

 重大 CVE-2026-19759

GCP-2026-063

發布日期：2026 年 9 月 16 日

說明

說明 嚴重性 附註

Google Security Operations SOAR 6.3.85 版已修正權限管理不當的安全性弱點，客戶無須採取任何行動。攻擊者可利用這項漏洞，透過精心設計的內部驗證標頭，將權限提升至系統層級的管理員權限。

我該怎麼做？

顧客無須採取任何行動。所有客戶都已自動升級至修正版本：6.3.85 以上版本。

 重大 CVE-2026-15587

GCP-2026-062

發布日期：2026 年 9 月 11 日

說明

說明 嚴重性 附註

Slurm 發現多個安全漏洞，會影響參照特定映像檔版本的 Cluster Toolkit 藍圖。這些安全漏洞會影響 slurmstepd 精靈、RPC 要求處理程序和會計資料庫。

該怎麼辦？

如需操作說明和詳細資訊，請參閱 Cluster Toolkit 安全性公告。

 高

GCP-2026-061

發布日期：2026 年 9 月 9 日

說明

說明 嚴重性 附註

containerd 的 CRI 實作項目存在安全漏洞 (GHSA-p7v4-vr35-mj6f，CVE 指派待處理)，可讓透過 CreateContainer API 從不受信任的檢查點還原的容器，略過目的地安全環境並以進階權限執行。

GKE 叢集預設不會受到安全漏洞影響。GKE 節點映像檔不含 criu 工具。

該怎麼辦？

客戶目前無須對預設叢集採取任何行動。如果您在節點上安裝自訂執行階段軟體或節點工具 (包括 criu 二進位檔)，請參閱安全性公告，瞭解應變措施建議。

要解決哪些安全漏洞？

詳情請參閱 GKE 安全性公告。

 中 GHSA-p7v4-vr35-mj6f

GCP-2026-060

發布日期：2026 年 9 月 4 日

更新日期：2026 年 9 月 8 日

說明

說明 嚴重性 附註

2026-09-08 更新：新增 Cluster Toolkit 安全性公告連結。

Slurm sbcast 工具的安全漏洞 (CVE-2026-65107) 會讓共用程式庫檔案略過安全檢查，並可能導致叢集中的節點當機。

該怎麼辦？

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-65107

GCP-2026-059

發布日期：2026 年 9 月 4 日

說明

說明 嚴重性 附註

在 2025 年 12 月 11 日之前的 Integration Connectors 版本中，我們發現 HTTP 連接器存在授權遺漏漏洞。

該怎麼辦？

顧客無須採取任何行動。這項安全漏洞已於 2025 年 12 月 11 日修補完畢。

要解決哪些安全漏洞？

通過驗證的攻擊者可能會使用未經授權的服務帳戶附件，提升權限並接管專案。 Google Cloud

高 CVE-2026-4644

GCP-2026-058

發布日期：2026 年 9 月 2 日

說明

說明 嚴重性 附註

GKE Multi-Cloud (CreateAttachedCluster, CreateAwsCluster, CreateAzureCluster) API 缺少專案權限檢查，導致攻擊者能將附加叢集註冊到任意目標專案的 Workload Identity Federation for GKE。這項註冊作業會導致未經授權建立 Workload Identity 權杖，並透過 Workload Identity Federation for GKE 設定，冒用在目標專案中具有繫結的 Kubernetes 服務帳戶。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

 重大

GCP-2026-057

發布日期：2026 年 8 月 26 日

說明

說明 嚴重性 附註

我們在 Envoy Proxy 中發現一系列安全漏洞。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高

GCP-2026-056

發布日期：2026 年 8 月 26 日

說明

說明 嚴重性 附註

在 2026 年 5 月 1 日前推出的 BigQuery 資料移轉服務版本中，JDBC 驅動程式存在輸入內容驗證不當的安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這個安全漏洞已於 2026 年 5 月 1 日修補。

要解決哪些安全漏洞？

通過驗證的攻擊者可使用經過精心設計的 JDBC 連線字串參數，在連接器容器中執行程式碼，並提高租戶專案中的權限。

 重大 CVE-2026-12717

GCP-2026-055

發布日期：2026 年 8 月 25 日

說明

說明 嚴重性 附註

Next.js 和 libheif 處理惡意圖片檔時，存在重大的未經驗證遠端程式碼執行 (RCE) 安全漏洞。 Google Cloud 基礎架構不會直接受到影響，但客戶在 Google Cloud (例如 Cloud Run、GKE、App Engine) 執行的 Next.js 工作負載可能會受到影響。

該怎麼辦？

Google Cloud 後端服務不會直接受到影響，您也不必採取任何行動來保護基礎架構安全。 Google Cloud 不過，在 Google Cloud 上託管 Next.js 應用程式的客戶，必須立即採取行動，保護自己的工作負載。建議您在 package.json 中，手動將 Next.js 部署項目升級至下列任一版本 (或更新版本)：

  • 16.3.3
  • 15.5.24
使用 libheif 的客戶應監控上游 OS 修補程式，並據此重建容器基礎映像檔。重新部署更新後的工作負載，確保執行中的容器使用修補版本。

解決哪些安全漏洞？

攻擊者可利用 GHSA-2xp9-vwfh-vxw4 和 GHSA-g89c-p67h-r497 漏洞，在 Next.js 圖片最佳化期間提供特製圖片檔案，在應用程式環境內執行任意程式碼。這個問題的發生原因，是底層 libheif 程式庫處理 HEIF/AVIF 圖片中的乾淨光圈方塊時發生錯誤。

 高 GHSA-2xp9-vwfh-vxw4 GHSA-g89c-p67h-r497

GCP-2026-054

發布日期：2026 年 8 月 11 日

說明

說明 嚴重性 附註

我們在 Trusted Computing Group 的 TPM 2.0 參考實作程式碼中發現安全漏洞 (CVE-2026-6726，也稱為 TCGVRT0010)，所有已發布的程式碼修訂版本 (v1.16、v1.38、v1.59、v1.83、v184) 都會受到影響。

該怎麼辦？

顧客無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。

解決哪些安全漏洞？

詳情請參閱「Compute Engine 安全性公告」。

 高 CVE-2026-6726

GCP-2026-053

發布日期：2026 年 8 月 11 日

說明

說明 嚴重性 附註

Google 發現多項安全漏洞會影響 Intel® Trust Domain Extensions (TDX) 韌體，可能導致機密客層完整性遭到破壞。攻擊者可利用這些安全漏洞，以具備特殊權限的主機身分規避認證檢查、存取受限制的暫存器，或解密通常受到保護的客體記憶體。

哪些 Google 產品會受到影響？

所有採用 Intel TDX 技術的 Confidential VM 執行個體。

我該怎麼做？

Google 已主動為伺服器機群套用這些韌體升級，以減輕這些安全漏洞的影響。如果客戶未收到要求升級的個別通知，則不需採取任何行動。

詳情請參閱 Intel PSIRT 技術諮詢： INTEL-TA-01404、 INTEL-TA-01428、 INTEL-TA-01419、 INTEL-TA-01439、 INTEL-TA-01442、 INTEL-TA-01436。

高

GCP-2026-052

發布日期：2026 年 8 月 7 日

說明

說明 嚴重性 附註

核心式虛擬機器 (KVM) x86 影子記憶體管理單元 (MMU) 發現安全漏洞，影響 Intel 和 AMD 平台。

該怎麼辦？

受管理的 Compute Engine 虛擬機器無須採取任何行動。由於安全漏洞位於主機管理程序中，Google 已透過即時修補，透明地緩解所有受影響的 Intel 和 AMD 主機基礎架構，無需客戶 VM 停機、重新啟動或手動升級。

如果您在標準受管理 Compute Engine 基礎架構以外，運作自行管理的虛擬化環境或自訂主機 Hypervisor，請務必在作業系統發行供應商提供上游修補程式後，立即更新主機 Linux 核心。

解決哪些安全漏洞？

這項 KVM 安全漏洞可能導致 VM 逃逸。目前尚未發現任何主動濫用行為，我們已主動修補漏洞。

 無 CVE-2026-64561

GCP-2026-051

發布日期：2026 年 7 月 31 日

說明

2026-08-04 更新：VMware 修補程式發布版本為 1.33.1200，而非初始公告所述的 1.33.1100。

說明 嚴重性

在 containerd (GDC 容器執行階段) 中發現下列安全漏洞。攻擊者只要具備建立 Pod 的權限，就能利用這些安全漏洞繞過 Kubernetes 安全邊界，並執行主機入侵、快取中毒和阻斷攻擊。雖然這些安全漏洞在 containerd 的環境中至關重要，但必須具備叢集權限才能建立 Pod 來利用這些漏洞，因此根據 GDC (僅限軟體) 安全漏洞分類，這些漏洞屬於「高」嚴重程度。

  • CVE-2026-50195 (重大)：containerd 的 CRI 檢查點匯入程序無法驗證映像檔參照。如果攻擊者有權建立 Pod，就能使用精心設計的檢查點映像檔，汙染節點的本機映像檔快取，導致其他 Pod 使用惡意映像檔。
  • CVE-2026-53488 (重大)：CRI 外掛程式會將映像檔設定中的標籤傳播至容器，但不會進行驗證。這可能會導致在主機上執行任意指令。
  • CVE-2026-53492 (重大)：CRI 實作會在還原容器期間，不當信任容器裝置介面 (CDI) 註解。攻擊者可藉此將任意 CDI 設定 (例如主機掛接和裝置節點) 插入還原的容器，規避資源分配和裝置外掛程式強制執行機制。
  • CVE-2026-53489 (高)：CRI 外掛程式還原 container.log 時，未驗證符號連結路徑，攻擊者可透過 kubectl logs 讀取任意主機檔案。
  • CVE-2026-47262 (中等)：containerd 的安全漏洞允許惡意製作的映像檔導致 containerd 程序耗盡記憶體 (DoS)。
凡是使用 Ubuntu 節點映像檔的 GDC (僅限軟體) 設定，都會受到這些安全漏洞影響。

該怎麼辦？

如果是僅限裸機的 GDC 軟體，下列修補程式會修正安全漏洞問題：

  • 1.34.800
  • 1.33.1100

如果是 VMware 適用的 GDC 軟體，下列修補程式將包含安全漏洞修正：

  • 1.34.800
  • 1.33.1200
 高

GCP-2026-050

發布日期：2026 年 7 月 29 日

說明

說明 嚴重性 附註

根據 VMSA-2026-0006 安全諮詢，Broadcom 接獲私下回報，指出 VMware ESXi 和 vCenter 存在多項安全漏洞。我們正在套用 Broadcom 提供的必要修補程式。目前沒有已知的解決方法。

修補後，VMware Engine 部署作業應會執行 vCenter 和 ESXi 8.0 U3k。

該怎麼辦？

Google 建議客戶監控 VMware Engine 上的工作負載，留意是否有任何異常活動。

 重大
  • VMSA-2026-0006
  • CVE-2026-59309
  • CVE-2026-59310
  • CVE-2026-47876
  • CVE-2026-41703
  • CVE-2026-41709

GCP-2026-049

發布日期：2026 年 7 月 22 日

說明

說明 嚴重性 附註

系統在 Google Cloud Looker 中發現反映型跨網站指令碼 (XSS) 安全漏洞。攻擊者可能會製作惡意網址，如果經過驗證的管理員開啟該網址，攻擊者就能代表管理員執行任意指令碼，並可能入侵管理員帳戶。

該怎麼辦？

如果是由 Looker 代管的執行個體，則無須採取任何行動。

如果是自行託管的 Looker 執行個體，請盡快更新。對於自架主機執行個體，所有支援的 Looker 版本都已修復這項安全漏洞。下列版本均已更新，可修正這個安全漏洞：

  • Looker 26.8.7 和所有後續版本
  • Looker 26.6.28 以上版本
  • Looker 26.4.36+
  • Looker 26.2.47 以上版本
  • Looker 26.0.66 以上版本
  • Looker 25.18.68+
  • Looker 25.12.65+
  • Looker 25.6.103 以上版本

要解決哪些安全漏洞？

詳情請參閱 CVE-2026-15810。

 高 CVE-2026-15810

GCP-2026-048

發布日期：2026 年 7 月 13 日

說明

說明 嚴重性 附註

Developer Connect 的提權漏洞已修正。先前，如果是 GitLab Enterprise 和 Bitbucket 資料中心連線，系統只會根據 Developer Connect 服務代理 (P4SA) 憑證檢查權限，然後擷取 Secret Manager 密鑰。Developer Connect 現在會驗證呼叫主體和 P4SA 是否都具備所參照密鑰的必要權限。

如需操作說明和詳細資訊，請參閱 Developer Connect 安全性公告。

 中

GCP-2026-047

發布日期：2026 年 7 月 13 日

說明

說明 嚴重性 附註

我們在 BigQuery、Dataform 和 Colab Enterprise 的存放區中，發現授權遺失的安全性弱點。

該怎麼辦？

客戶無須採取任何行動。Google 已對所有受影響的產品和服務採取緩解措施。

解決哪些安全漏洞？

建立存放區時，經過驗證的攻擊者可能會提高權限，並接管跨租戶存放區。

 重大 CVE-2026-14934

GCP-2026-046

發布日期：2026 年 7 月 6 日

說明

說明 嚴重性 附註

KVM x86 陰影分頁和巢狀虛擬化設定中發現虛擬化安全漏洞。攻擊者在操作具有巢狀虛擬化功能的虛擬機器時，可能會突破管理程序邊界隔離，入侵底層實體主機，因此任何託管於支援巢狀虛擬化 Intel 伺服器的 x86 虛擬機器 (無論是否為巢狀)，都可能暴露在風險中。

該怎麼辦？

Google 會在全球所有代管的 Compute Engine 主機伺服器上，部署即時管理程序熱修補程式。如果是代管的 Compute Engine 虛擬機器或 Google Kubernetes Engine 叢集，則不需要採取任何行動。由於修復作業是在實體主機管理程序層級以透明方式執行，因此客戶 VM 不需要停機、重新啟動或手動升級。

如果客戶在標準受管理 Compute Engine 基礎架構以外，自行管理虛擬化環境或自訂主機管理程序，應確保主機 Linux 核心在作業系統供應商提供上游修補程式後，立即更新。

要解決哪些安全漏洞？

這個安全漏洞 (CVE-2026-53359) 會利用 x86 影子分頁和巢狀分頁表轉譯常式中的釋放後可用錯誤。Google 尚未發現任何證據，顯示正式環境中有客戶遭到攻擊。我們已在全球實施即時修補和主機層級監控，以降低風險並偵測漏洞攻擊。

 高/S0 CVE-2026-53359
(Januscape)

GCP-2026-045

發布日期：2026 年 6 月 29 日

說明

說明 嚴重性 附註

系統在 Envoy Proxy 偵測到安全漏洞，遭封鎖的 QPACK 解碼作業可能會對 HTTP/3 堆疊發動阻斷服務攻擊。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 GHSA-p7c7-7c47-pwch

GCP-2026-044

發布日期：2026 年 6 月 25 日

說明

說明 嚴重性 附註

Application Integration 的 JavaScript 工作使用 Rhino JavaScript 引擎，但偵測到安全漏洞。這項異動只會影響 2025 年 1 月前發布的作業。

如需詳細資訊和操作說明，請參閱「Application Integration 安全性公告」。

 高 CVE-2025-0982

GCP-2026-043

發布日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

Firebase Studio 存在安全漏洞，GetSignedGcsUrl RPC 允許已驗證的使用者列出 bucket，並下載其他租戶的部署作業原始碼。

修正程式已部署至後端服務，因此您不必採取任何行動來緩解這個安全漏洞。

為防範未然，如果使用者在 Firebase Studio 工作區儲存了 API 金鑰 (例如 GEMINI_API_KEY) 等機密資訊，可以選擇輪替這些金鑰。如需操作說明，請參閱 Firebase Studio 疑難排解指南。

 高 CVE-2026-12715

GCP-2026-042

發布日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

Cloud Build 已解決提權安全漏洞。先前，如果是 GitLab Enterprise 和 Bitbucket 資料中心連線，系統擷取 Secret Manager 密鑰時，只會根據 Cloud Build 服務代理 (P4SA) 憑證檢查權限。Cloud Build 現在會驗證呼叫主體和 P4SA 是否具備參照密鑰的必要權限。

如需操作說明和詳細資訊，請參閱 Cloud Build 安全性公告。

 低

GCP-2026-041

發布日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

我們最近針對 Apigee Edge for Private Cloud 中回報的 log4j 安全漏洞 (CVE-2026-34480 和 CVE-2026-34477) 進行安全調查。Google 判定 Apigee Edge for Private Cloud 不會受到這些 CVE 的影響。客戶無須採取任何行動。

詳情請參閱 Apigee 安全性公告。

 高 CVE-2026-34480
CVE-2026-34477

GCP-2026-040

發布日期：2026 年 6 月 23 日

說明

說明 嚴重性 附註

我們在 Envoy Proxy 中發現一系列安全漏洞。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高 CVE-2026-47692
CVE-2026-47207
CVE-2026-47205
CVE-2026-47220
CVE-2026-47221
CVE-2026-48044
CVE-2026-48090
CVE-2026-47778
CVE-2026-47204
CVE-2026-48497
CVE-2026-48706
CVE-2026-48743
CVE-2026-47775
CVE-2026-48042

GCP-2026-039

發布日期 ：2026 年 6 月 22 日

說明

說明 嚴重性 附註

Cloud Logging 的安全漏洞可能讓攻擊者在自己控制的專案中，重新建立目標 Cloud Storage bucket，藉此劫持記錄檔接收器目的地。這項問題可能導致機密記錄持續轉送至未經授權的第三方。

詳情請參閱 Google Cloud Observability 安全性公告。

 中

GCP-2026-038

發布日期： 2026 年 6 月 22 日

說明

說明 嚴重性 附註

我們發現 App Engine 存在安全性漏洞，導致控制台中的 GetDashboardAppStats GraphQL 私人 API 作業洩漏了跨租戶要求記錄。 Google Cloud

您無須採取任何行動，這項安全漏洞已修正。

 高 CVE-2026-8934

GCP-2026-037

發布日期：2026 年 6 月 18 日

更新日期：2026 年 6 月 20 日

說明

說明 嚴重性 附註

2026 年 6 月 20 日更新：新增 GKE 修補程式版本，其中包含 Container-Optimized OS 節點映像檔子版本 1.35 和 1.36 的修正程式。Ubuntu 節點映像檔的修補程式仍在處理中。

2026 年 6 月 19 日更新：新增 GKE 修補程式版本，其中包含 1.30 至 1.34 子版本的 Container-Optimized OS 節點映像檔修正。Ubuntu 節點映像檔和 Container-Optimized OS 節點映像檔子版本 1.35 和 1.36 的修補程式正在開發中。

我們在 containerd (GKE 容器執行階段) 中發現多項安全漏洞。攻擊者只要有權建立 Pod，就能利用這些安全漏洞繞過 Kubernetes 安全界線，進而入侵主機、進行快取中毒攻擊，以及發動阻斷攻擊。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告

 重大 CVE-2026-50195
CVE-2026-53488
CVE-2026-53492
CVE-2026-53489
CVE-2026-47262

GCP-2026-036

發布日期 ：2026 年 6 月 9 日

說明

說明 嚴重性 附註

ARM 已發布 CVE-2025-10263，這項架構問題會影響部分 Arm 核心，讓攻擊者在特定條件下略過轉譯階段或 GPT 保護措施。攻擊者可利用這項漏洞，在較低的例外狀況層級寫入較高例外狀況層級擁有的記憶體，進而提高權限。這個問題不會影響記憶體讀取。

詳情請參閱下列公告：

 高 CVE-2025-10263

GCP-2026-035

發布日期：2026 年 6 月 8 日

說明

說明 嚴重性 附註

Envoy 存在一項安全漏洞，HTTP/2 下游要求處理程序會允許未經驗證的遠端用戶端觸發過度消耗記憶體，可能導致 Envoy 程序因記憶體不足而終止，以及阻斷攻擊。

如需操作說明和詳細資料，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2026-47774

GCP-2026-034

發布日期： 2026-05-20

說明

說明 嚴重性 附註

Apigee 存在安全漏洞，SetIntegrationRequest 政策中的 IntegrationRegion 參數缺乏驗證，可能導致伺服器端偽造要求 (SSRF) 和服務帳戶權杖外洩。如果攻擊者可以控管用於 IntegrationRegion 的流程變數，導致要求連同服務帳戶權杖傳送至攻擊者控管的主機，就會發生問題。

 高 CVE-2026-2264

GCP-2026-033

發布日期 ：2026 年 5 月 14 日

更新日期： 2026 年 7 月 16 日

說明

說明 嚴重性 附註

2026 年 7 月 16 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本以上：

  • 1.30.14-gke.2710000
  • 1.31.14-gke.2116000
  • 1.32.13-gke.1829000
  • 1.33.13-gke.1011000
  • 1.34.9-gke.1131000
  • 1.35.6-gke.1127000
  • 1.36.2-gke.1346000

Linux 核心中發現容器突破安全漏洞 CVE-2026-46300，又稱 Fragnesia。不具權限的本機攻擊者可藉此將權限升級至主機的根層級。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2026-46300

GCP-2026-032

發布日期： 2026-05-12

說明

說明 嚴重性 附註

AMD 在 Zen 2 微架構處理器 (包括 EPYC 和 Ryzen 系列) 中發現硬體層級的安全性漏洞，可能導致微運算 (OP) 快取損毀。在特定情況下，這個問題 (AMD-SN-7052 / CVE-2025-54518) 可能會導致安全邊界遭到略過，或未經授權存取資料。
我們已在 Google 基礎架構中部署修正程式，以緩解這些問題。

詳情請參閱 Compute Engine 安全性公告。

 高 CVE-2025-54518

GCP-2026-031

發布日期： 2026-05-12

說明

說明 嚴重性 附註

研究人員發現 AMD 韌體存在安全漏洞，由於缺少保護機制，惡意 Hypervisor 可以在 AMD 安全處理器 (ASP) 上執行任意程式碼。這會導致記憶體對應 I/O (MMIO) 讀取和寫入權限提高，進而破壞 SEV-SNP 訪客的機密性和完整性。

詳情請參閱 Compute Engine 安全性公告。

 中

GCP-2026-030

發布日期： 2026 年 5 月 11 日

更新日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

2026-06-24 更新：新增 GKE 修補程式版本。

2026-05-20 更新：新增 CVE-2026-43500，並在攻擊路徑中加入 CVE ID。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2026-43284
  • CVE-2026-43500

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-43284

GCP-2026-029

發布日期： 2026-05-07

說明

說明 嚴重性 附註

Microsoft 正在更新 2011 年發布的安全啟動憑證，確保 Windows 裝置能繼續驗證受信任的啟動軟體。這些舊憑證將於 2026 年 6 月開始陸續到期。未收到 2023 年新憑證的裝置仍可正常啟動及運作，並繼續安裝標準 Windows 更新。不過，這些裝置將無法再接收早期啟動程序的全新安全防護措施，包括 Windows 啟動管理員、安全啟動資料庫、撤銷清單的更新，或新發現啟動層級安全漏洞的緩解措施。此外，自 2026 年 6 月起，安全啟動憑證到期也會影響使用安全啟動的 Linux 系統。

該怎麼辦？

Google 建議客戶採取 Microsoft 建議的適當行動，更新 Windows VM。Ubuntu、Red Hat 和 Fedora 等發行版本已著手提供使用 2023 年新金鑰簽署的更新套件。此外，請參閱 Broadcom 說明文件，瞭解如何解決 VMware 虛擬機器中因安全啟動憑證即將到期而發生的錯誤和警告。2026 年 6 月後，如果系統未更新 2023 年的憑證，安裝新作業系統或更新現有開機載入程式韌體時，可能會發生錯誤。

 參考用 Broadcom KB 423893

GCP-2026-028

發布日期 ：2026-05-05

更新日期：2026 年 5 月 27 日

說明

說明 嚴重性 附註

CVE-2026-31431 (又稱「Copy Fail」) 是 Linux 核心中的高嚴重性本機提權 (LPE) 安全漏洞，可讓無權限的使用者取得根層級存取權。這個漏洞於 2026 年 4 月下旬揭露，源自 2017 年核心密碼編譯子系統 (algif_aead) 的邏輯缺陷。

該怎麼辦？

Google 建議客戶更新所有 Linux VM 的核心，保護 Linux 訪客 VM。主要發行版本已發布或正在推出修正程式。

 高 CVE-2026-31431

GCP-2026-027

發布日期 ：2026-05-01

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2026-23351

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23351

GCP-2026-026

發布日期 ：2026 年 4 月 30 日

更新日期：2026 年 5 月 4 日

說明

說明 嚴重性 附註

2026 年 5 月 4 日更新：新增 GKE 的修補程式版本。

Linux 核心中的安全漏洞 (CVE-2026-31431) 允許未具備權限的本機攻擊者寫入系統頁面快取，可能導致本機提權和容器跳脫。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-31431

GCP-2026-025

發布日期 ：2026 年 4 月 30 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2026-23274

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23274

GCP-2026-024

發布日期： 2026 年 4 月 28 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2025-38248

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38248

GCP-2026-023

發布日期： 2026 年 4 月 28 日

更新日期：2026 年 5 月 7 日

說明

說明 嚴重性 附註

2026-05-07 更新：新增 GKE Ubuntu 節點集區的修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2026-23074

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23074

GCP-2026-022

發布日期 ：2026 年 4 月 16 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2026-23209

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23209

GCP-2026-021

發布日期：2026 年 4 月 14 日

說明

說明 嚴重性 附註

AMD 報告了韌體中的一項漏洞，惡意 Hypervisor 可能會利用這個漏洞，指示 IOMMU 寫入啟用 AMD SEV-SNP 的執行個體客體記憶體，進而破壞客體資料完整性。Google 已針對啟用 AMD SEV-SNP 的易受攻擊機密 VM 執行個體，推出緩解措施。

該怎麼辦？

客戶無須採取任何行動。這項緩解措施已套用至啟用 AMD SEV-SNP 的 Confidential VM 執行個體。

詳情請參閱 AMD 諮詢文件「 AMD-SB-3016」。

 中

CVE-2023-20585

GCP-2026-020

發布日期 ：2026-04-14

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2026-23231

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23231

GCP-2026-019

發布日期： 2026 年 4 月 14 日

說明

說明 嚴重性 附註

研究人員發現 AMD 韌體存在安全漏洞，惡意管理程序可能藉此竄改 BIOS 設定和記憶體對應 I/O (MMIO) 轉送設定，破壞 AMD SEV-SNP 訪客 Confidential VM 的機密性和完整性。

詳情請參閱 Compute Engine 安全性公告。

 中 CVE-2025-54510

GCP-2026-018

發布日期 ：2026 年 4 月 7 日

更新日期：2026 年 4 月 15 日

說明

說明 嚴重性 附註

2026-04-15 更新：新增 GKE Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2026-23111

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23111

GCP-2026-017

發布日期 ：2026 年 4 月 2 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2026-23273

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23273

GCP-2026-016

發布日期： 2026-03-27

更新日期：2026 年 3 月 31 日

說明

說明 嚴重性 附註

2026-03-31 更新：新增 GKE Ubuntu 節點的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38616

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38616

GCP-2026-015

發布日期：2026 年 3 月 27 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：CVE-2026-23268。

詳情請參閱 Compute Engine 安全性公告：

 高 CVE-2026-23268

GCP-2026-014

發布日期： 2026 年 3 月 14 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026 年 3 月 25 日更新：新增適用於 GKE 的 Ubuntu 節點修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38678

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38678

GCP-2026-013

發布日期：2026 年 3 月 11 日

說明

說明 嚴重性 附註

Envoy Proxy 發現下列安全漏洞：

  • CVE-2026-26311
  • CVE-2026-26309
  • CVE-2026-26310
  • CVE-2026-26308
  • CVE-2026-26330

我們在 Istio 發現下列安全漏洞：

  • CVE-2026-31837
  • CVE-2026-31838

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高

GCP-2026-012

發布日期：2026 年 2 月 20 日

說明

說明 嚴重性 附註

在 Google Cloud Vertex AI 中，我們發現 Vertex AI Experiments 存在可預測的 bucket 命名方式，版本範圍從 1.21.0 到 1.133.0 (不含 1.133.0)。

我該怎麼做？

客戶無須採取任何行動，即可緩解問題。

CVE-2026-2473 允許未經驗證的遠端攻擊者，透過預先建立可預測名稱的 Cloud Storage bucket (bucket 搶註)，達成跨租戶執行程式碼、模型竊取和中毒。Vertex AI Experiments 1.21.0 版發現了這項安全漏洞。1.133.0 以上版本已套用緩解措施。

 高 CVE-2026-2473

GCP-2026-011

發布日期：2026 年 2 月 20 日

說明

說明 嚴重性 附註

在 Exclusively-Hosted-Service 上的 Google google-cloud-aiplatform (Vertex AI Python SDK Visualization) 中，我們發現 _genai/_evals_visualization 存在儲存的跨網站指令碼攻擊 (XSS) 安全漏洞。

我該怎麼做？

如要取得修正內容，客戶必須將 google-cloud-aiplatform Python SDK 更新至 1.131.0 以上版本 (於 2025 年 12 月 16 日發布)。

CVE-2026-2472 允許未經驗證的遠端攻擊者，將指令碼逸出序列插入模型評估結果或資料集 JSON 資料，在受害者的 Jupyter 或 Colab 環境中執行任意 JavaScript。這項安全漏洞是在 1.131.0 版之前的 Google google-cloud-aiplatform (Vertex AI Python SDK) 中發現。

 高 CVE-2026-2472

GCP-2026-010

發布日期：2026 年 2 月 13 日

說明

說明 嚴重性 附註

我們在 Apigee 平台中發現一項安全漏洞，如果惡意行為人在自己的 Apigee 環境中擁有管理員或開發人員層級的權限，就可能藉此提升進階權限，並存取跨租戶資料。

具體來說，Apigee 沙箱技術中的安全漏洞，允許使用連結本機端點存取客戶租戶專案中的服務帳戶權杖 (P4SA)。理論上，攻擊者可以利用這個身分，讀取其他 Apigee 機構 (租戶) 的分析中繼資料，或竄改內部監控記錄。

我該怎麼做？

請對每項受影響的產品採取下列行動：

Apigee

使用 Google Cloud 版 Apigee 的客戶無須採取任何行動。 安全漏洞修正已套用至 Apigee 1-16-0-apigee-31-16-0-apigee-3 版本。

Apigee Hybrid

如要解決這項安全漏洞，顧客必須啟用以 Pub/Sub 為基礎的資料分析管道，並升級至支援的混合式版本：

特徵設定 最低修復版本
標準 Apigee Hybrid 1.14.0 以上版本
啟用營利功能 (Mint) v1.14.3、v1.15.1 或 v1.16.0
高 CVE-2025-13292

GCP-2026-009

發布日期：2026 年 2 月 13 日

說明

說明 嚴重性 附註

2026 年 1 月前版本的 Observability Analytics 使用者介面可設定為自動執行 SQL 查詢。攻擊者可利用漏洞精心設計查詢網址，當具備憑證的使用者開啟網址時，攻擊者就能存取資料表內容或產生查詢費用。

詳情請參閱 Google Cloud Observability 安全性公告。

 高

GCP-2026-008

發布日期：2026 年 2 月 10 日

說明

說明 嚴重性 附註

Intel® TDX 韌體存在一組安全漏洞。這些安全漏洞涵蓋多種缺陷，包括競爭狀況 (CVE-2025-30513、CVE-2025-31944)、越界讀取 (CVE-2025-32007、CVE-2025-27940)、使用未初始化的變數 (CVE-2025-32467)，以及在暫時執行期間洩漏機密資訊 (CVE-2025-27572)。這些問題可能導致資訊揭露、權限提升或阻斷攻擊。利用這項弱點通常需要系統的特殊使用者存取權。

我該怎麼做？

客戶無須採取任何行動。所有相關修正都已套用至 Google 伺服器叢集。詳情請參閱 Intel PSIRT 技術諮詢 INTEL-TA-01397。

 高

GCP-2026-007

發布日期： 2026 年 2 月 9 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026 年 3 月 25 日更新：新增適用於 GKE 的 Ubuntu 節點修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-40297

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40297

GCP-2026-006

發布日期：2026-01-29

更新日期：2026-02-20

說明

說明 嚴重性 附註

2026 年 2 月 20 日更新：新增 GKE 的修補程式版本。

我們在 OpenSSL 程式庫中發現多項安全漏洞。其中最重大的發現是 CVE-2025-15467，這項重大安全漏洞可能允許透過網路型向量執行遠端程式碼 (RCE) 或發動阻斷服務 (DoS) 攻擊。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-15467

GCP-2026-005

發布日期：2026 年 1 月 28 日

說明

說明 嚴重性 附註

這個安全漏洞會影響 2026 年 1 月前的 Log Analytics 介面和 Cloud Monitoring 資訊主頁介面版本。

詳情請參閱 Google Cloud Observability 安全性公告。

 高

GCP-2026-004

發布日期：2026 年 1 月 14 日

說明

說明 嚴重性 附註

Compute Engine 發現特定 Arm 處理器存在安全漏洞，會影響 C4A 和 A4X VM：

  • CVE-2025-0647

如需操作說明和詳細資訊，請參閱 Compute Engine 安全性公告。

 中 CVE-2025-0647

GCP-2026-003

發布日期 ：2026-01-09

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026 年 3 月 25 日更新：新增適用於 GKE 的 Ubuntu 節點修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-39964

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39964

GCP-2026-002

發布日期： 2026 年 1 月 7 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026 年 3 月 25 日更新：新增適用於 GKE 的 Ubuntu 節點修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-40215

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40215

GCP-2026-001

發布日期： 2026 年 1 月 7 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-40214

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40214

GCP-2025-076

發布日期：2025-12-08

說明

說明 嚴重性 附註

Cloud Data Fusion 發現下列安全漏洞：

  • CVE-2025-9571

如需操作說明和詳細資訊，請參閱 Cloud Data Fusion 安全性公告。

 高 CVE-2025-9571

GCP-2025-075

發布日期：2025 年 12 月 7 日

說明

說明 嚴重性 附註

Google Security Operations SOAR 的自訂整合功能存在安全漏洞，可能讓具備 IDE 角色的已驗證使用者在伺服器上執行遠端程式碼 (RCE)。這項漏洞是因 Python 套件程式碼驗證不足所致，導致攻擊者可上傳含有惡意 setup.py 檔案的套件。這個檔案可能會在安裝期間執行，導致伺服器遭到入侵。

我該怎麼做？

客戶無須採取任何行動。所有客戶都已自動升級至修正版本：6.3.64 以上版本。

 高 CVE-2025-13428

GCP-2025-074

發布日期： 2025-12-05

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-39965

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39965

GCP-2025-073

Published:2025-12-03

說明

說明 嚴重性 附註

Envoy Proxy 發現下列安全漏洞：

  • CVE-2025-66220
  • CVE-2025-64527
  • CVE-2025-64763

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中

GCP-2025-072

發布日期： 2025-12-04

更新日期：2025 年 12 月 5 日

說明

說明 嚴重性 附註

2025 年 12 月 4 日更新：現已推出網頁應用程式防火牆規則。

開放原始碼的 React 和 Next.js 架構中發現遠端程式碼執行漏洞。雖然 Google Cloud 本身沒有安全漏洞，但 Google Cloud 上執行的這些架構可能存在安全漏洞。

下列架構版本會受到這項安全漏洞影響：

  • React 19.0、19.1.0、19.1.1 和 19.2.0
  • Next.js 15.x、Next.js 16.x，以及 Next.js 14.3.0-canary.77 和後續的初期測試版

下列架構版本修正了這個安全漏洞：

  • React 19.0.1、19.1.2 和 19.2.1
  • Next.js 15.0.5、15.1.9、15.2.6、15.3.6、15.4.8、15.5.7、15.6.0-canary.58 和 16.0.7

詳情請參閱 React 安全諮詢和 Vercel 安全諮詢。

客戶應立即採取行動，使用更新後的依附元件重新部署工作負載，以保護工作負載。

Google 能幫上什麼忙？

Cloud Armor 網頁應用程式防火牆 (WAF) 規則旨在偵測及封鎖相關攻擊，現已推出。這項新規則旨在協助保護使用全域或區域性應用程式負載平衡器、對外公開的應用程式和服務。建議您在更新工作負載時，暫時部署這項規則做為緩解措施。如需套用這項規則的操作說明，請參閱這篇網誌文章。

如果您使用 App Engine Standard、Cloud Functions、Cloud Run Functions、Cloud Run、Firebase 託管或 Firebase App Hosting，系統已強制執行規則，限制透過對自訂和預設網域提出要求進行濫用。

使用 Artifact Analysis 的客戶會收到新舊構件中這些安全漏洞的通知，協助他們找出有風險的工作負載。

我們會隨著新資訊發布，持續更新這份安全性公告。

 重大 CVE-2025-55182

GCP-2025-071

發布日期： 2025 年 12 月 2 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026 年 3 月 25 日更新： 新增適用於 GKE 的 Ubuntu 節點修補程式版本。

2025 年 12 月 11 日更新： 新增 GDC (VMware) 的修補程式版本和嚴重性評等。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-40019

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40019

GCP-2025-070

發布日期： 2025 年 12 月 2 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026 年 3 月 25 日更新： 新增適用於 GKE 的 Ubuntu 節點修補程式版本。

2025 年 12 月 11 日更新： 新增 GDC (VMware) 的修補程式版本和嚴重性評等。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-40018

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40018

GCP-2025-069

發布日期：2025 年 11 月 24 日

說明

說明 嚴重性 附註

我們在用於執行容器的開放原始碼軟體元件 runc 中發現多項安全性問題；這些安全漏洞 (CVE-2025-31133、CVE-2025-52565 和 CVE-2025-52881) 揭露的攻擊，可讓攻擊者在 Cloud Run 工作站集區和作業中執行完整的容器突破，導致容器外的根層級提權至沙箱執行個體。有權部署惡意容器映像檔的不肖分子，可以利用這些安全漏洞，存取 Cloud Run 沙箱執行個體中的其他容器。

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

Worker 集區、工作和少數尚未更新的服務容易受到攻擊。

我們正在準備更新，預計 1 月初推出。推出作業完成後，我們會更新這份公告。

如要回報與這個安全漏洞相關的問題，請前往 g.co/vrp 參與 Cloud 安全漏洞檢舉計畫。

 高

GCP-2025-068

發布日期：2025 年 11 月 21 日

說明

說明 嚴重性 附註

Looker 修正了一個安全漏洞，該漏洞可能允許具備 Looker 檢視者權限的攻擊者製作惡意網址，當 Looker 管理員開啟該網址時，就會執行攻擊者提供的指令碼。執行個體上至少須安裝一個 Looker 擴充功能，才能進行攻擊。

我們發現由 Looker 代管和自行託管的執行個體都有安全漏洞。

由 Looker 代管的 Looker 執行個體的問題已緩解。

我該怎麼做？

由 Looker 代管的執行個體：

客戶無須採取任何行動。

僅限自行代管的 Looker 執行個體：

如果 Looker 執行個體為自行託管，建議您盡快升級。對於自架主機執行個體，所有支援的 Looker 版本都已修復這項安全漏洞。下列版本均已更新，可防範這個安全漏洞：

  • 25.16.0 和所有後續版本
  • 25.12.7+
  • 25.6.66+
  • 25.0.79+
  • 24.18.201+

您可以在 Looker 下載頁面下載這些 Looker 版本：https://download.looker.com/

 高 CVE-2025-12739

GCP-2025-067

發布日期：2025 年 11 月 19 日

說明

說明 嚴重性 附註

Looker 修正了電子郵件地址字串正規化漏洞。在設定 OIDC 驗證的 Looker 執行個體中，攻擊者可能利用這個漏洞接管 Looker 帳戶。

我們發現由 Looker 代管和自行託管的執行個體都有安全漏洞。

由 Looker 代管的 Looker 執行個體的問題已緩解。

我該怎麼做？

由 Looker 代管的執行個體：

客戶無須採取任何行動。

僅限自行託管的 Looker 執行個體：

如果 Looker 執行個體是自行代管，建議盡快將 Looker 執行個體升級至下列其中一個版本：

  • 25.10.22+
  • 25.8.39+
  • 25.6.57+
  • 25.0.69+
  • 24.18.193+
  • 24.12.100+

您可以在 Looker 下載頁面下載這些 Looker 版本：https://download.looker.com/

注意：25.12 以上版本不受這個安全性問題影響。

 高 CVE-2025-12414

GCP-2025-066

發布日期： 2025-11-10

更新日期：2025 年 11 月 27 日

說明

說明 嚴重性 附註

2025 年 11 月 27 日更新：新增 GKE 和 GDC (Bare Metal) 的修補程式版本。

在 runc 中發現一組三個容器跳脫安全漏洞，這是 GKE 的預設低階容器執行階段。這些安全漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的提權：

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

如需操作說明和更多詳細資料，請參閱下列公告：

 高

GCP-2025-065

發布日期：2025 年 11 月 6 日

說明

說明 嚴重性 附註

研究人員在 AMD Milan 機器上發現 AMD SEV-SNP (Secure Nested Paging) 漏洞。

攻擊者可藉此操縱 RMP 初始化值，可能導致 AMD SEV-SNP 客戶端記憶體完整性遭到破壞。

Google 已推出緩解措施，防止這個問題發生。

該怎麼辦？

客戶無須採取任何行動即可緩解問題。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。

不過，採用 AMD SEV-SNP 的 Confidential VM 執行個體現在會使用第 4 版認證格式。使用 go-sev-guest 程式庫剖析認證報告的客戶，應更新至 go-sev-guest v0.14.0 以上版本。

如果客戶使用自己的剖析器，認證報告格式會由 SEV 安全巢狀分頁韌體 ABI 規格定義。

解決哪些安全漏洞？

詳情請參閱 AMD 諮詢 AMD-SB-3020。

 中 CVE-2025-0033

GCP-2025-064

發布日期： 2025 年 10 月 28 日

說明

說明 嚴重性 附註

Envoy Proxy 發現下列安全漏洞：

  • CVE-2025-62504
  • CVE-2025-62409

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中

GCP-2025-063

發布日期： 2025 年 10 月 28 日

更新時間：2025 年 11 月 17 日

說明

說明 嚴重性 附註

2025-11-17 更新： 新增 Ubuntu GKE 節點的修補程式版本。

2025 年 10 月 30 日更新：新增 VMware 適用的 GDC 軟體修補程式版本和嚴重性評等

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-39682

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39682

GCP-2025-062

發布日期 ：2025 年 10 月 22 日

更新日期：2025 年 10 月 30 日

說明

說明 嚴重性 附註

2025 年 10 月 30 日更新：新增 GKE Ubuntu 節點的修補程式版本，以及 VMware 適用的 GDC 軟體修補程式版本和嚴重程度評等

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2024-58240

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-58240

GCP-2025-061

發布日期：2025 年 10 月 21 日

說明

說明 嚴重性 附註

在開放原始碼 Valkey 和 Redis 中發現遠端程式碼執行安全漏洞。因此，Memorystore for Redis、Memorystore for Redis Cluster 和 Memorystore for Valkey 支援的所有版本都會受到影響。

根據預設，Google Cloud 的 Memorystore 資產不會公開至網際網路，因此對於遵循 Google Cloud 安全性最佳做法的 Memorystore 使用者來說，這項安全漏洞的風險為低。

這時該怎麼做？

Google 已開始自動套用修補程式，預計於 2025 年 11 月 6 日完成。您無須採取任何行動 ，即可套用這項修正。

如要在 2025 年 11 月 6 日前將這些修補程式套用至 Memorystore 叢集或執行個體，請使用自助式維護功能完成下列動作：

  1. 查看 Memorystore for Redis 執行個體、Memorystore for Redis Cluster 中的叢集或 Memorystore for Valkey 執行個體的目前維護版本。
  2. 確認版本是否為最新修補版本。
  3. 如果版本並非最新維護版本，請使用 Memorystore for Redis、Memorystore for Redis Cluster 和 Memorystore for Valkey 的自助維護功能，將執行個體或叢集更新至最新維護版本。
 重大 CVE-2025-49844

GCP-2025-060

發布日期：2025 年 10 月 21 日

說明

說明 嚴重性 附註

Oracle 發布安全警報，確認 Oracle E-Business Suite (EBS) 容易受到未經驗證的攻擊。

該怎麼辦？

Google 並未使用 Oracle EBS，因此 Google Cloud 不受這個安全漏洞影響。

 低 CVE-2025-61882

GCP-2025-059

發布日期：2025 年 10 月 21 日

更新日期：2025 年 10 月 22 日

說明

說明 嚴重性 附註

2025 年 10 月 22 日更新：新增 CVE 連結。

2025 年 9 月 23 日，我們發現 Vertex AI API 發生技術問題，導致使用串流要求時，特定第三方模型的少量回覆誤傳給其他收件者。這項問題現已解決。 Google 模型 (例如 Gemini) 並未受到影響。

部分內部 Proxy 未正確處理含有 Expect: 100-continue 標頭的 HTTP 要求，導致串流回應連線不同步，原本要傳送給某個要求的回應，卻傳送給後續要求。

我該怎麼做？

我們已採取修正措施，妥善處理 Expect: 100-continue 標頭的存在問題，並防止此問題再次發生。我們也新增了測試、監控和警示功能，以便快速偵測到這個問題，防止迴歸。目前客戶無法採取任何行動，避免發生非預期的行為。

我們已針對不同模型分批推出修正程式，Anthropic 模型已於太平洋夏令時間 9 月 26 日凌晨 12:45 修正，所有平台則於太平洋夏令時間 9 月 28 日晚上 7:10 修正。Vertex AI API 中受影響的模型和解決時間如下：

  • Anthropic 合作夥伴模型即服務模型 (Claude)

    • 這項問題已於太平洋夏令時間 2025 年 9 月 26 日凌晨 12:45 修正。

  • 所有開放模型即服務模型，包括：DeepSeek (R1-0528 和 V3.1)、OpenAI (gpt-oss-120b 和 gpt-oss-20b)、Qwen (Next Instruct 80B、Next Thinking 80B、Qwen 3 Coder 和 Qwen 3 235B)、Llama (Maverick、Scout、3.3、3.2、3.1 405b、3.1 70b 和 3.1 8b)

    • 這項問題已於太平洋夏令時間 2025 年 9 月 28 日凌晨 2 點 43 分修正。

  • Mistral 和 AI21 合作夥伴 模型即服務模型

    • 這項問題已於 2025 年 9 月 28 日太平洋夏令時間上午 11 點修正。

  • 自行部署的模型，透過公開端點呼叫「StreamRawPredict」、「ChatCompletions」、「GenerateContent」或「StreamGenerateContent」方法

    • 這項問題已於 2025 年 9 月 28 日太平洋夏令時間下午 7 點 10 分修正。

    • 專屬端點 (Model Garden 上的預設端點) 和私人端點都不受影響。

 中 CVE-2025-11915

GCP-2025-058

發布日期：2025 年 10 月 20 日

說明

說明 嚴重性 附註

AMD Zen 5 處理器 (Turin) 的 RDSEED 指令發現瑕疵。這項指令用於產生密碼編譯隨機號碼。在特定系統負載條件下，16 位元和 32 位元版本的 RDSEED 可能會失敗，但不會顯示任何訊息，這可能會影響依賴隨機號碼產生功能的應用程式。使用 64 位元版 RDSEED 的客戶則不受影響。

該怎麼辦？

AMD 正在調查這項安全漏洞。

請注意，64 位元 Linux 核心會使用安全的 64 位元版本 RDSEED 指令，並提供從 /dev/[u]random 取得的隨機號碼。這些隨機數字不受這項安全漏洞影響。

如果您有應用程式程式碼會使用 RDSEED 指令自行合成隨機號碼，請注意，該指令的 16 位元和 32 位元版本並不安全。64 位元版本的指令是安全的。

正在解決哪些安全漏洞？

攻擊者可利用這項安全漏洞，導致 RDSEED 無聲無息地失敗，進而可能危害應用程式中的隨機號碼產生作業。

 高 CVE-2025-62626

GCP-2025-057

發布日期： 2025 年 10 月 17 日

更新時間：2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025 年 10 月 27 日更新：新增 VMware 適用的 GDC 軟體修補程式版本和嚴重程度評估。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38618

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38618

GCP-2025-056

發布日期： 2025 年 10 月 16 日

更新日期：2026 年 3 月 24 日

說明

說明 嚴重性 附註

2026 年 3 月 24 日更新：新增了適用於 GKE 的 Ubuntu 節點修補程式版本。

2025-11-13 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-39946

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39946

GCP-2025-055

發布日期： 2025 年 10 月 15 日

更新時間：2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025 年 10 月 16 日更新：新增 VMware 適用的 GDC 軟體修補程式版本和嚴重程度評等

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38617

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38617

GCP-2025-054

發布日期：2025 年 10 月 14 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0015，有人私下向 Broadcom 回報 VMware Aria Operations 和 VMware Tools 存在多項安全漏洞。Broadcom 已提供修補程式，可修正受影響產品中的這些安全漏洞。

我該怎麼做？

建議您升級至 VMware Aria Automation 8.18.5 和 VMware Tools 13.0.5。

 重要事項

GCP-2025-053

發布日期：2025 年 9 月 30 日

說明

說明 嚴重性 附註

Looker Studio 修正了外部研究人員透過 Google 和 Alphabet 安全漏洞檢舉計畫 (VRP) 回報的安全漏洞，但未發現任何漏洞遭利用的證據。這些問題現已解決，使用者無須採取任何行動。

我該怎麼做？

客戶無須採取任何行動。

解決哪些安全漏洞？

這些安全漏洞會讓未經授權者透過共用報表、具有檢視者憑證的資料來源、Studio Linking API 和 Conversational Analytics 存取資料。

 高

GCP-2025-052

發布日期：2025 年 9 月 30 日

說明

說明 嚴重性 附註

Looker 已修正外部研究人員透過 Google 和 Alphabet 安全漏洞檢舉計畫 (VRP) 回報的安全漏洞，但未發現任何遭濫用的證據。這些問題現已解決，Looker (Google Cloud Core) 和 Looker (原始版) 的由 Looker 代管客戶無需採取任何行動。建議自行代管的 Looker 執行個體更新至最新支援版本。

我該怎麼做？

由 Looker 代管的執行個體：Looker (Google Cloud Core) 和 Looker (原始版本) 執行個體

客戶無須採取任何行動。

僅限自行託管的 Looker 執行個體

如果 Looker 執行個體為自行託管，建議您將 Looker 執行個體升級至下列其中一個版本：

  • 25.12.30+
  • 25.10.54+
  • 25.6.79+
  • 25.0.89+
  • 24.18.209+

注意：25.14 以上版本不受這些安全問題影響。

解決哪些安全漏洞？

這些漏洞讓 Looker 中具備開發人員權限的使用者，能夠存取 Looker 基礎系統和內部資料庫。

 高

GCP-2025-051

發布日期：2025 年 9 月 11 日

說明

說明 嚴重性 附註

研究人員發現一項安全漏洞，會影響 Intel CPU 和所有 AMD Zen CPU。攻擊者可利用已知的推測執行漏洞，讀取機密資料。

我該怎麼做？

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，在不中斷服務的情況下緩解整個機群的問題，因此您目前無須採取任何行動。

解決哪些安全漏洞？

詳情請參閱 COMSEC 網誌文章。

 高 CVE-2025-40300

GCP-2025-050

發布日期： 2025 年 9 月 10 日

更新時間： 2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025 年 10 月 15 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本和嚴重程度評估。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38500

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38500

GCP-2025-049

發布日期：2025 年 9 月 10 日

說明

說明 嚴重性 附註

Google Security Operations SOAR 6.3.54.0 和 6.3.53.2 版發現重大安全漏洞。具備 ZIP 檔案上傳權限 (例如匯入用途時) 的已驗證使用者，可以上傳 ZIP 封存檔，將檔案寫入伺服器檔案系統中的任意位置。

從 ZIP 封存檔擷取檔案的系統無法防止封存檔中的檔案寫入預定目的地資料夾以外的位置。這也稱為目錄遍歷或 Zip Slip 安全漏洞。

我該怎麼做？

客戶無須採取任何行動。所有客戶都已自動升級至修正版本或更高版本：6.3.54.1 或 6.3.53.3

解決了哪些安全漏洞？

攻擊者可能會利用這個安全漏洞覆寫應用程式檔案。攻擊者可以覆寫報表產生功能使用的 JavaScript 檔案，在 Google SecOps SOAR 執行個體上執行遠端程式碼 (RCE)。攻擊者可能會在伺服器上執行自己的程式碼。

詳情請參閱 Google SecOps GCP-2025-049 安全性公告。

 高 CVE-2025-9918

GCP-2025-048

發布日期： 2025 年 9 月 2 日

說明

說明 嚴重性 附註

我們在 Envoy Proxy 中發現下列安全漏洞：

  • CVE-2025-54588

如需操作說明和詳細資料，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2025-54588

GCP-2025-047

發布日期： 2025 年 8 月 27 日

更新日期：2025 年 9 月 25 日

說明

說明 嚴重性 附註

2025 年 9 月 25 日更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38350

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38350

GCP-2025-046

發布日期： 2025 年 8 月 23 日

更新時間： 2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025 年 10 月 15 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本和嚴重程度評估。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38477

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38477

GCP-2025-045

發布日期： 2025 年 8 月 21 日

說明

說明 嚴重性 附註

外部研究人員透過 Google 和 Alphabet 安全漏洞獎勵計畫 (VRP) 回報 Dataform API 的安全漏洞。這項安全漏洞可能讓未經授權的使用者存取客戶的程式碼存放區和資料。Google 迅速修正問題，並將修正程式發布至所有區域。目前尚未發現或向 Google 回報任何漏洞攻擊。

該怎麼辦？

客戶無須採取任何行動。Google 已對所有受影響的產品和服務採取緩解措施。

要解決哪些安全漏洞？

詳情請參閱 CVE-2025-9118。

 重大 CVE-2025-9118

GCP-2025-044

發布日期： 2025 年 8 月 12 日

說明

說明 嚴重性 附註

Intel 已通知 Google 兩個新的安全漏洞。

CVE-2025-21090：這項安全漏洞會影響下列 Intel 處理器：

  • Sapphire Rapids：C3、Z3、H3、A3、v5p VM 系列
  • Emerald Rapids：N4、C4、M4、A3 Ultra、A4 VM 系列
  • Granite Rapids：N4、C4 VM 系列

CVE-2025-22840：這項安全漏洞會影響下列 Intel 處理器：

  • Granite Rapids：N4、C4 VM 系列

該怎麼辦？

客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。目前沒有任何證據顯示有人利用此漏洞，Google 也未接獲相關回報。

解決哪些安全漏洞？

這項安全漏洞 (CVE-2025-21090) 允許無權限的行為人使用 AMX CPU 指令搭配 AVX CPU 指令，導致主機無法運作。

CVE-2025-22840 漏洞可讓未獲授權的攻擊者利用 prefetchit CPU 指令，載入原本無法存取的記憶體內容，可能導致遠端執行程式碼。

 中

GCP-2025-043

發布日期： 2025 年 8 月 12 日

說明

說明 嚴重性 附註

protobuf-python 的純 Python 實作中存在潛在的阻斷攻擊 (DoS) 漏洞。攻擊者可以傳送特製訊息，導致服務當機。

影響

如果您在專案中直接或間接匯入 protobuf-python，就可能受到影響。請注意，Python 適用的 Cloud 用戶端程式庫會使用 protobuf-python 做為依附元件。如果您使用這些程式庫，請務必使用下一節中提及的 protobuf-python 版本。

該怎麼辦？

請確認您使用的是下列軟體套件的最新版本：

  • protobuf-python (4.25.8、5.29.5、6.31.1)

這個修補程式修正了哪些安全漏洞？

這個修補程式可有效降低下列安全漏洞的風險：

當純 Python 後端剖析特定通訊協定緩衝區訊息時，會發生無限制遞迴，導致安全漏洞。未經驗證的攻擊者可以傳送含有深度巢狀遞迴群組、訊息或一系列 SGROUP 標記的訊息。這項輸入內容會導致 Python 解譯器超出遞迴深度上限，觸發 RecursionError 導致服務當機，進而造成阻斷攻擊。如果專案使用受影響的後端剖析不受信任的資料，就會有風險。

詳情請參閱 Protobuf 安全性公告。

高

CVSS v4.0

分數：8.2

 CVE-2025-4565

這個問題只會影響 python Protobuf 實作後端。

無論檢查 Protobuf 實作後端時傳回的值為何，建議您升級，因為環境變數 PROTOCOL_BUFFERS_PYTHON_IMPLEMENTATION 可能會在執行階段變更 Protobuf 實作後端。

GCP-2025-042

發布日期： 2025 年 8 月 11 日

說明

說明 嚴重性 附註

研究人員發現特定 Intel CPU 存在安全漏洞，包括以 Skylake、Broadwell 和 Haswell 微架構為基礎的 CPU。攻擊者可利用這項漏洞，直接從 CPU 的 L1 快取讀取未經授權存取的機密資料。

這項安全漏洞最初是在 2018 年的 CVE-2018-3646 中揭露。發現這個安全漏洞後，Google 立即採取緩解措施，解決已知風險。我們當時已發布有關安全漏洞和初步修正措施的通訊內容。自此，我們一直在研究剩餘風險，並與上游 Linux 社群合作，以解決這項風險。

我們最近與學術界的安全研究人員合作，評估 CPU 安全性緩解措施的最新技術，以及 2018 年未考慮到的潛在攻擊技術。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，以緩解問題。

該怎麼辦？

客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。

要解決哪些安全漏洞？

詳情請參閱 Intel 公告 INTEL-SA-00161 和 CVE-2018-3646。

 高 CVE-2018-3646

GCP-2025-041

發布日期： 2025 年 7 月 21 日

更新日期：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025-11-10 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Ubuntu 節點上的提權：

  • CVE-2025-37890

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37890

GCP-2025-040

發布日期： 2025-07-15

說明

說明 嚴重性 附註

根據 VMSA-2025-0013 安全公告，Broadcom 接獲多項 VMware ESXi 安全漏洞的私人通報。

我們已修補這些安全漏洞，或正在套用 Broadcom 提供的必要修補程式。目前沒有已知的解決方法。

修補後，VMware Engine 部署作業應執行 ESXi 7.0U3w 或 ESXi 8.0U3f 以上版本。

該怎麼辦？

Google 建議客戶監控 VMware Engine 上的工作負載，留意是否有任何異常活動。

 中度到重大

GCP-2025-039

發布日期： 2025 年 7 月 15 日

更新日期：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025 年 11 月 10 日更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

2025 年 8 月 28 日更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38083

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38083

GCP-2025-038

發布日期： 2025-07-09

更新日期：2025 年 9 月 25 日

說明

說明 嚴重性 附註

2025 年 9 月 25 日更新：新增 GKE Ubuntu 節點集區的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-37752

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37752

GCP-2025-037

發布日期： 2025-07-08

說明 嚴重性 附註

AMD 揭露了兩項安全漏洞，會影響 AMD EPYC 第 2 代 (Rome)、第 3 代 (Milan) 和第 4 代 (Genoa) CPU。攻擊者可利用這些漏洞，從先前的儲存區或 L1D 快取推斷資料，可能導致私密資訊外洩。

Google 已推出防護措施，可防止 VM 之間發生資訊洩漏。

單一 VM 中的程序仍有可能利用這些安全漏洞。

該怎麼辦？

2025 年 7 月 8 日後，下列 VM 將提供客體層級的緩解措施，防範客體內攻擊：

  • 首次啟動的 VM。
  • 完全停止並重新啟動的 VM。重新啟動作業系統不會啟用緩解措施，必須完全重新啟動 VM 本身，才能啟用緩解措施。客體作業系統核心必須支援這項緩解措施，才能發揮效用。

詳情請參閱 AMD 安全性公告 AMD-SB-7029。

 中

GCP-2025-036

發布日期： 2025-07-01

更新時間：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025 年 11 月 10 日更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

2025-07-21 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38001

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38001

GCP-2025-035

發布日期： 2025 年 6 月 17 日

更新日期：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025 年 11 月 10 日更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

2025-07-21 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-37997

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37997

GCP-2025-034

發布日期： 2025 年 6 月 17 日

更新日期：2025 年 7 月 21 日

說明

說明 嚴重性 附註

2025-07-21 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-38000

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38000

GCP-2025-033

發布日期：2025 年 6 月 6 日

說明

說明 嚴重性 附註

我們發現安全問題，攻擊者可能可以規避 GKE 叢集的工作負載隔離限制。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 不適用

GCP-2025-032

發布日期： 2025 年 6 月 3 日

更新日期：2025 年 7 月 21 日

說明

說明 嚴重性 附註

2025-07-21 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-37798

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37798

GCP-2025-031

發布日期： 2025-06-03

更新日期：2025 年 8 月 26 日

說明

說明 嚴重性 附註

2025 年 8 月 26 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-37797

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37797

GCP-2025-030

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0017，VMware Aria Automation 存在 SQL 注入安全漏洞，並已私下回報給 VMware。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation KB325790。

 重要事項

GCP-2025-029

發布日期： 2025 年 5 月 23 日

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0006，VMware Aria Operations 中的本機提權漏洞已向 VMware 負責地回報。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您升級至 VMware Aria Operations 8.18 HF5。

重要事項

GCP-2025-028

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2025-0003，VMware Aria Operations for Logs 和 VMware Aria Operations 存在多項安全漏洞，並已私下回報給 VMware。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您將 VMware Aria Operations for Logs 升級至 8.18.3，並將 VMware Aria Operations 升級至 8.18.3。

重要事項

GCP-2025-027

發布日期： 2025 年 5 月 16 日

說明

說明 嚴重性 附註

在 2025 年 4 月 26 日前，傳統版應用程式負載平衡器服務偵測到安全漏洞。

該怎麼辦？

客戶無須採取任何行動。傳統版應用程式負載平衡器服務的問題已於 2025 年 4 月 26 日解決。

要解決哪些安全漏洞？

CVE-2025-4600 允許攻擊者將要求夾帶至傳統版應用程式負載平衡器，這是因為系統錯誤剖析了過大的區塊主體。使用分塊傳輸編碼剖析 HTTP 要求的主體時，傳統版應用程式負載平衡器允許過大的分塊主體。因此，可以將位元組隱藏在遭忽略的尾端資料中，上游 HTTP 伺服器可能會誤將這些位元組解讀為行終止符。我們已於 2025 年 4 月 26 日，在傳統版應用程式負載平衡器服務中解決這項安全漏洞，方法是改善輸入驗證和剖析邏輯。

我們很樂意提供協助

如有任何疑問或需要協助，請與 Cloud Customer Care 團隊聯絡。

 高 CVE-2025-4600

GCP-2025-026

發布日期： 2025 年 5 月 15 日

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0008，VMware Aria Automation 中基於 DOM 的跨網站指令碼攻擊 (XSS) 安全漏洞已私下回報給 VMware。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation 8.18.1 修補程式 2。

重要事項

GCP-2025-025

發布日期： 2025 年 5 月 13 日

說明

說明 嚴重性 附註

Intel 已通知 Google，有新的側通道安全漏洞會影響下列 Intel 處理器：CascadeLake、Ice Lake XeonSP、Ice Lake XeonD、Sapphire Rapids 和 Emerald Rapids。

Google 已對受影響的資產 (包括 Google Cloud) 進行修正，確保客戶受到保護。目前 Google 尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。我們已對 Google 伺服器機群套用修正程式，以保護客戶。

解決哪些安全漏洞？

CVE-2024-45332。 詳情請參閱 Intel 諮詢 INTEL-SA-01247。

我們很樂意提供協助

如有任何疑問或需要協助，請與 Cloud 客戶服務聯絡，並註明問題編號 417536835。

 高 CVE-2024-45332

GCP-2025-024

發布日期： 2025 年 5 月 12 日

更新日期： 2025 年 5 月 13 日

說明

說明 嚴重性 附註

2025 年 5 月 13 日更新：如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417458390。

Intel 已通知 Google，有新的推測執行安全漏洞會影響 Intel Cascade Lake 處理器和 Intel Ice Lake 處理器。

Google 已對受影響的資產 (包括 Google Cloud) 進行修正，確保客戶受到保護。目前沒有任何證據顯示有人利用此漏洞，Google 也未接獲相關回報。

該怎麼辦？

客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。

Intel 原始設備製造商 (OEM) 和其他作業系統合作夥伴提供的進一步緩解措施，將在可用時立即部署，以緩解相同模式的間接目標選擇 (ITS) 漏洞。

套用作業系統緩解措施後，如果客戶的第 3 代或更新版本 VM 長時間執行，可能會發生非預期的效能降低

解決哪些安全漏洞？

CVE-2024-28956。詳情請參閱 Intel 安全性諮詢 INTEL-SA-01153。

 高 CVE-2024-28956

GCP-2025-023

發布日期：2025-05-05

說明

說明 嚴重性 附註

我們發現並解決了 JavaCallout 和 PythonScript 政策中可能出現的安全漏洞，這些漏洞若未解決，可能會遭到利用。

如需操作說明和詳細資訊，請參閱 Apigee 安全性公告。

 高 CVE-2023-44487

GCP-2025-022

發布日期： 2025-05-01

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025-05-22 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-21702

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21702

GCP-2025-021

發布日期： 2025 年 4 月 29 日

更新日期：2025 年 6 月 2 日

說明

說明 嚴重性 附註

2025-06-02 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-21971

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21971

GCP-2025-020

發布日期：2025 年 4 月 29 日

說明

說明 嚴重性 附註

Looker 存在安全漏洞，導致具備 Looker 管理員權限 (具體來說是 manage_project_connections_restricted) 的使用者，可讀取基礎主機檔案系統中的檔案，並查詢內部網路端點。這項問題現已解決，使用 Looker (Google Cloud Core) 和 Looker (原始版) 的由 Looker 代管客戶無須採取任何行動。建議自行代管的 Looker 執行個體更新至最新支援版本。

我們已在所有支援的客戶託管 Looker 版本中修補這項安全漏洞，您可以前往 Looker 下載頁面取得這些版本。

該怎麼辦？

  • 對於所有由 Looker 代管的執行個體 (包括 Looker (Google Cloud Core) 和 Looker (原始) 執行個體)，您不需要採取任何行動。
  • 如果是 Looker 客戶託管執行個體，請盡快更新至最新支援的 Looker 版本。下列版本均已更新，可防範這個安全漏洞。您可以在 Looker 下載頁面下載這些版本：
    • 25.4 -> 25.4.29+
    • 25.2 -> 25.2.34 以上版本
    • 25.0 -> 25.0.55 以上版本
    • 24.18 -> 24.18.185+
    • 24.12 -> 24.12.95+
    • 24.6 -> 24.6.107+
 高

GCP-2025-019

發布日期： 2025-04-25

更新日期：2025 年 6 月 26 日

說明

說明 嚴重性 附註

2025 年 6 月 26 日更新：新增 VMware 適用的 GDC 軟體修補程式版本。

2025 年 5 月 22 日更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2025-21701

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21701

GCP-2025-018

發布日期： 2025 年 4 月 23 日

更新日期：2025 年 10 月 9 日

說明

說明 嚴重性 附註

2025-10-09 更新：新增 GKE Ubuntu 節點的修補程式版本

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2025-40364

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40364

GCP-2025-017

發布日期： 2025 年 4 月 17 日

更新時間：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025 年 5 月 22 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025 年 5 月 5 日更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-21756

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21756

GCP-2025-016

發布日期： 2025 年 4 月 16 日

更新時間：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025-05-22 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2025-04-29 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2023-52927

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-52927

GCP-2025-015

發布日期： 2025-04-15

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025 年 5 月 22 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025-04-17 更新：新增 GDC (VMware) 的修補程式版本。將 GDC (VMware) 嚴重程度從「待處理」更新為「高」。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-21700

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21700

GCP-2025-014

發布日期： 2025-04-10

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025 年 5 月 22 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025 年 5 月 5 日更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2025-21703

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21703

GCP-2025-013

發布日期：2025 年 3 月 24 日

說明

說明 嚴重性 附註

我們在 NGINX Ingress Controller (ingress-nginx) 中發現多項安全性問題。這個開放原始碼軟體元件會在 Kubernetes 叢集內執行，協助管理進入叢集的網路流量。其中最嚴重的是 CVE-2025-1974。如需完整詳細資料和完整清單，請參閱 Kubernetes CVE 動態饋給。

這些問題影響 ingress-nginx 項轉換，如果叢集未安裝 ingress-nginx，就不會受到影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2025-1974

GCP-2025-012

發布日期： 2025 年 3 月 19 日

更新日期：2025 年 4 月 10 日

說明

說明 嚴重性 附註

2025-04-10 更新： 新增 Ubuntu GKE 節點和 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2024-53164

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-53164

GCP-2025-011

發布日期： 2025 年 3 月 6 日

說明 嚴重性 附註

VMware 在 VMSA-2025-0004 中揭露多項安全漏洞，這些漏洞會影響部署在客戶環境中的 ESXi 元件。

VMware Engine 的影響

您的私有雲已修補完畢，或正在更新以解決安全漏洞。VMware Engine 服務會為所有客戶提供專屬裸機主機，並附帶與其他硬體實體隔離的本機連接磁碟。也就是說，這項安全漏洞只會影響特定私有雲中的客體 VM。

私有雲將更新至 7.0u3s，版本號碼為 24534642。這相當於 7.0U3s：版本號碼 24585291。

該怎麼辦？

請按照 Broadcom 和安全性供應商提供的指示，因應這項安全漏洞。

重大

GCP-2025-010

發布日期： 2025-03-05

更新日期：2025 年 6 月 2 日

說明

說明 嚴重性 附註

2025-06-02 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2025-04-10 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2024-56770

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-56770

GCP-2025-009

發布日期：2025-03-05

說明

說明 嚴重性 附註

Envoy 專案最近公布了幾項新的安全漏洞 (CVE-2024-53269、CVE-2024-53270 和 CVE-2024-53271)，攻擊者可能會利用這些漏洞導致 Envoy 停止運作。

如需操作說明和更多詳細資料，請參閱下列公告：

 高

GCP-2025-008

發布日期： 2025 年 2 月 19 日

更新日期：2025 年 4 月 10 日

說明

說明 嚴重性 附註

2025 年 4 月 10 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-53141

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-53141

GCP-2025-007

發布日期：2025 年 2 月 3 日

說明

說明 嚴重性 附註

Google 發現 AMD Zen 架構 CPU 存在安全漏洞，會影響已啟用 AMD SEV-SNP 的 Confidential VM 執行個體。攻擊者只要具備實體機器的根存取權，就能利用這項安全漏洞破壞 Confidential VM 執行個體的機密性和完整性。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前沒有任何證據顯示有人利用此漏洞，Google 也未接獲相關回報。

我該怎麼做？

顧客無須採取任何行動。如要驗證修正內容，客戶可以透過 AMD SEV-SNP，在 Confidential VM 執行個體的驗證報告中查看可信賴運算基礎 (TCB) 版本。可降低這項安全漏洞影響的最低版本如下：

SNP TCB SVN: 0x18 0d24
tcb_version {
  psp_bootloader_version: 4
  snp_firmware_version: 24 (0x18)
  microcode_version: 219
}

詳情請參閱 AMD 安全性公告「 AMD-SB-3019」。

 高

CVE-2024-56161

GCP-2025-006

發布日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

Google Secret Manager Provider for Secret Store CSI Driver 存在安全漏洞，攻擊者只要在命名空間中擁有 Pod 和密鑰建立權限，就能在 Pod 上掛接惡意磁碟區，從 CSI 驅動程式的 Kubernetes 服務帳戶權杖中竊取資料。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2025-005

發布日期：2025 年 1 月 22 日

說明

說明 嚴重性 附註

如果伺服器使用 Google 驗證程式庫和 Cloud 用戶端程式庫 ，透過攻擊者控制的 憑證設定 Google Cloud 進行驗證，就可能遭受伺服器端要求 偽造攻擊，並任意讀取檔案。

該怎麼辦？

如果您接受外部來源提供的憑證設定 (憑證 JSON、檔案或串流)，用於驗證 Google Cloud，則必須先驗證該設定，才能提供給 Google 驗證程式庫或 Cloud 用戶端程式庫。如果將未經驗證的憑證設定提供給 Google 程式庫，可能會導致系統和資料安全性受損。詳情請參閱「 驗證外部來源的憑證設定」。

解決哪些安全漏洞？

部分類型的憑證設定包含端點和檔案路徑，驗證程式庫會使用這些路徑取得權杖。如果服務或應用程式接受外部來源的憑證設定，並在未經驗證的情況下，將這些設定與 Google 驗證程式庫或 Cloud 用戶端程式庫搭配使用，攻擊者就能提供含有惡意端點或路徑的憑證設定。攻擊者可藉此從服務或服務執行的電腦中竊取資料或權杖。為避免這種情況，請按照「 驗證外部來源的憑證設定」一節所述，驗證外部來源的憑證設定。

為通知應用程式開發人員，我們已更新說明文件，說明接受從外部來源取得的憑證設定時，應執行的驗證。

 高

GCP-2025-004

發布日期： 2025-01-16

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2025-0001，VMware Aria Automation 存在伺服器端請求偽造 (SSRF) 漏洞，並已向 VMware 負責回報。VMware 已針對受影響的產品提供修補程式，可修復這項安全漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation 8.18.2 HF。

中

GCP-2025-003

發布日期： 2025-01-09

更新日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

2025 年 1 月 23 日更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2024-50264

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-50264

GCP-2025-002

發布日期： 2025-01-09

更新日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

2025 年 1 月 23 日更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025-01-22 更新：新增 GDC (VMware) 修補程式版本。GDC (VMware) 的嚴重程度更新為「中等」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2024-53057

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-53057

GCP-2025-001

發布日期：2025 年 1 月 8 日

更新日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

2025-01-23 更新：更新「GKE」GKE分頁中的「受影響的資源」部分。

2025 年 1 月 8 日更新：修正問題開始日期和時間。

某項安全性問題影響了虛擬私有雲中的資源，這些虛擬私有雲已設定 GKE 多叢集閘道 (MCG)。MCG 是選用功能，只有少數 GKE 客戶使用。我們已個別通知在該時間範圍啟用這項功能的客戶。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 無

GCP-2024-065

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-53269：Happy Eyeballs：驗證 additional_address 為 IP 位址，而非在排序時當機。
  • CVE-2024-53270：HTTP/1：如果事先重設要求，傳送過多資料會導致當機。
  • CVE-2024-53271：HTTP/1.1 envoy.reloadable_features.http1_balsa_delay_reset 存在多項問題。

如需操作說明和詳細資料，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2024-064

發布日期： 2024 年 12 月 10 日

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2024-0022，VMware Aria Operations 存在多項安全漏洞，並已由相關人員回報給 VMware。受影響的 VMware 產品已推出更新，可修復這些安全漏洞。

該怎麼辦？

建議您升級至 VMware Aria Operations 8.18.2。

重要事項

GCP-2024-063

發布日期： 2024-12-06

說明 嚴重性 附註

我們發現 Vertex AI API 存在安全漏洞，會影響多模態版 Gemini 要求，導致 VPC Service Controls 遭到略過。攻擊者可能會濫用 API 的 fileURI 參數來竊取資料。

我該怎麼做？

您無須採取任何行動。我們已實施修正，在 fileUri 參數中指定媒體檔案網址，且啟用 VPC Service Controls 時，系統會傳回錯誤訊息。其他用途則不受影響。

解決了哪些安全漏洞？

Cloud Support API 支援多模態版 Gemini 要求，您可以在 fileUri 參數中指定媒體檔案的網址，藉此加入媒體檔案。這項功能可用於略過 VPC Service Controls perimeter。服務範圍內的攻擊者可能會在 fileURI 參數中編碼機密資料，藉此規避服務範圍。

 中 CVE-2024-12236

GCP-2024-062

發布日期 ：2024-12-02

更新日期：2025 年 1 月 22 日

說明

說明 嚴重性 附註

2025-01-22 更新：新增 GDC (VMware) 修補程式版本。將 GDC (VMware) 嚴重程度從「待處理」更新為「高」。

2024 年 12 月 12 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-46800

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-46800

GCP-2024-061

發布日期：2024 年 11 月 25 日

說明

說明 嚴重性 附註

Kubernetes 叢集中發現的安全問題可能會導致使用gitRepo磁碟區執行遠端程式碼。如果 Git 存放區是惡意建構而成，有能力建立 Pod 並連結 gitRepo 磁碟區的使用者，就能在容器邊界外執行任意指令。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-10220

GCP-2024-060

發布日期： 2024 年 10 月 17 日

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0020，VMware NSX 中有多個安全漏洞已向 VMware 負責地回報。

VMware Engine 環境執行的 NSX-T 版本不會受到 CVE-2024-38815、CVE-2024-38818 或 CVE-2024-38817 影響。

該怎麼辦？

VMware Engine 叢集不受這個安全漏洞影響，因此您無須採取進一步行動。

 中

GCP-2024-059

發布日期 ：2024 年 10 月 16 日

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0021，VMware HCX 中存在已驗證的 SQL 注入漏洞，並已私下回報給 VMware。

我們已套用 VMware 核准的緩解措施，以解決這個安全漏洞。這項修正可解決 CVE-2024-38814 中所述的安全漏洞。VMware Engine 私有雲中執行的映像檔版本目前不會反映任何變更，以指出已套用變更。您已安裝適當的緩解措施，環境也已免於這個安全漏洞的影響。

該怎麼辦？

建議您升級至 VMware HCX 4.9.2 版。

 高

GCP-2024-058

發布日期：2024 年 10 月 16 日

說明

說明 嚴重性 附註

Migrate to Containers for Windows 1.1.0 至 1.2.2 版時，系統會建立具有管理員權限的本機 m2cuser。如果使用者中斷 analyze 或 generate 指令，或因內部錯誤導致系統略過刪除本機使用者 m2cuser 的動作，就會造成安全風險。

該怎麼辦？

下列 Migrate to Containers CLI for Windows 版本已更新程式碼，修正這項安全漏洞。建議您手動將 Migrate to Containers CLI 升級至下列版本或更高版本：

解決哪些安全漏洞？

攻擊者可利用 CVE-2024-9858 漏洞，透過 Migrate to Containers 軟體建立的本機管理員使用者，取得受影響 Windows 電腦的管理員存取權。

 中 CVE-2024-9858

GCP-2024-057

發布日期： 2024-10-03

更新日期：2024 年 11 月 19 日

說明

說明 嚴重性 附註

2024 年 11 月 19 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 10 月 15 日更新：新增 GDC (VMware) 的修補程式版本。更新 GKE 和 GDC (VMware) 嚴重性等級。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-45016

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2024-45016

GCP-2024-056

發布日期：2024 年 9 月 27 日

說明

說明 嚴重性 附註

部分 Linux 發行版本使用的 CUPS 列印系統中，發現可能導致遠端執行程式碼的安全漏洞鏈 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177)。如果 CUPS 服務監聽 UDP 通訊埠 631，且攻擊者可以連線至該通訊埠，就能利用這個漏洞。

如需操作說明和更多詳細資料，請參閱下列公告：

 無

GCP-2024-055

發布日期：2024 年 9 月 24 日

說明

說明 嚴重性 附註

Looker 存在 HTTP 要求走私漏洞，未經授權的攻擊者可藉此擷取傳送給合法使用者的 HTTP 回應。

Looker 代管的 Looker 版本有兩種：

  • 系統發現 Looker (Google Cloud Core) 存在安全漏洞。這個問題已獲得緩解，調查結果顯示沒有遭到濫用。
  • Looker (原始版) 不會受到這個問題影響。

我們發現客戶託管的 Looker 執行個體有安全漏洞，必須升級至下列其中一個版本。

我們已在所有支援的客戶託管 Looker 版本中修復這項安全漏洞，這些版本可從 Looker 下載頁面取得。

該怎麼辦？

  • 對於所有由 Looker 代管的執行個體 (包括 Looker (Google Cloud Core) 執行個體)，您不需採取任何行動。
  • 如果是 Looker 客戶託管執行個體，請盡快更新至最新支援的 Looker 版本。下列版本均已更新，可防範這個安全漏洞。您可以在 Looker 下載頁面下載這些版本：
    • 23.12 -> 23.12.123+
    • 23.18 -> 23.18.117+
    • 24.0 -> 24.0.92+
    • 24.6 -> 24.6.77 以上版本
    • 24.8 -> 24.8.66 以上版本
    • 24.10 -> 24.10.78+
    • 00:00:00,000 --> 00:00:00,000
    • 24.14 -> 24.14.37 以上版本

解決哪些安全漏洞？

攻擊者可利用 CVE-2024-8912 安全漏洞，將精心設計的 HTTP 要求標頭傳送至 Looker，進而攔截傳送給其他使用者的 HTTP 回應。

這些回覆可能含有私密資訊。

只有在特定設定下，攻擊者才能利用這個安全漏洞。

中 CVE-2024-8912

GCP-2024-054

發布日期：2024 年 9 月 23 日

說明

說明 嚴重性 附註

我們在具有 Windows 節點的 Kubernetes 叢集中發現一項安全性問題，BUILTIN\Users 可能可以讀取容器記錄，而 NT AUTHORITY\Authenticated 使用者則可能可以修改容器記錄。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2024-5321

GCP-2024-053

發布日期：2024 年 9 月 19 日

說明

說明 嚴重性 附註

在 Protobuf Java Full 和 Lite 程式庫中剖析不明欄位時，惡意訊息可能會導致 StackOverflow 錯誤，進而造成程式異常終止。

我該怎麼做？

我們已努力解決這個問題，並發布了緩解措施。建議您使用下列軟體套件的最新版本：

  • protobuf-java (3.25.5、4.27.5、4.28.2)
  • protobuf-javalite (3.25.5、4.27.5、4.28.2)
  • protobuf-kotlin (3.25.5、4.27.5、4.28.2)
  • protobuf-kotlin-lite (3.25.5、4.27.5、4.28.2)
  • com-protobuf [僅限 JRuby gem] (3.25.5、4.27.5、4.28.2)

這個修補程式修正了哪些安全漏洞？

這項安全漏洞可能會導致阻斷攻擊。

使用 DiscardUnknownFieldsParser 或 Java Protobuf Lite 剖析器，將巢狀群組剖析為不明欄位，或針對 Protobuf 對應欄位進行剖析，會建立無限遞迴，攻擊者可能會濫用這項功能。

CVSS4.0 分數 8.7

高

 CVE-2024-7254

GCP-2024-052

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-45807：oghttp2 在 OnBeginHeadersForStream 上發生當機
  • CVE-2024-45808：透過存取記錄插入惡意記錄
  • CVE-2024-45806：可能從外部來源操控「x-envoy」標頭
  • CVE-2024-45809：使用遠端 JWK 時，JWT 篩選器會在清除路由快取時當機
  • CVE-2024-45810：Envoy 在 HTTP 非同步用戶端中因 LocalReply 異常終止

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高

GCP-2024-051

發布日期： 2024 年 9 月 18 日

說明 嚴重性 附註

VMware 在 VMSA-2024-0019 中揭露多個安全漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

VMware Engine 影響

  • Google 已停用任何可能利用這項安全漏洞的行為。舉例來說，Google 已封鎖可能遭到這個安全漏洞入侵的通訊埠。
  • 此外，Google 也確保日後部署的所有 vCenter 都不會受到這個安全漏洞影響。

該怎麼辦？

目前您無須採取進一步行動。

重大

GCP-2024-050

發布日期：2024 年 9 月 4 日

說明

說明 嚴重性 附註

Windows 發現新的遠端程式碼執行安全漏洞 (CVE-2024-38063)。攻擊者可以傳送特製的 IPv6 封包給主機，從遠端利用這個漏洞。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2024-38063

GCP-2024-049

發布日期： 2024 年 8 月 21 日

更新日期：2024 年 11 月 1 日

說明

說明 嚴重性 附註

2024 年 11 月 1 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-36978

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-36978

GCP-2024-048

發布日期： 2024 年 8 月 20 日

更新日期：2024 年 10 月 30 日

說明

說明 嚴重性 附註

2024-10-30 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 10 月 25 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-41009

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-41009

GCP-2024-047

發布日期： 2024 年 8 月 19 日

更新日期：2024 年 10 月 30 日

說明

說明 嚴重性 附註

2024-10-30 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-39503

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-39503

GCP-2024-046

發布日期： 2024 年 8 月 5 日

說明

說明 嚴重性 附註

AMD 已通知 Google，有 3 個新的韌體安全漏洞 (2 個中度風險、1 個高度風險) 會影響 AMD EPYC 第 3 代 (Milan) 和第 4 代 (Genoa) CPU 中的 SEV-SNP。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前並未發現或接獲任何漏洞遭濫用的證據。

我該怎麼做？

客戶無須採取任何行動。Google 伺服器機群已套用修正程式。

詳情請參閱 AMD 安全性公告 AMD-SN-3011。

 中高

CVE-2023-31355

CVE-2024-21978

CVE-2024-21980

GCP-2024-045

發布日期： 2024-07-17

更新日期：2024 年 9 月 19 日

說明

說明 嚴重性 附註

2024 年 9 月 19 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-08-21 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-26925

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26925

GCP-2024-044

發布日期： 2024 年 7 月 16 日

更新日期：2024 年 10 月 30 日

說明

說明 嚴重性 附註

2024-10-30 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-36972

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-36972

GCP-2024-043

發布日期： 2024 年 7 月 16 日

更新日期：2024-10-02

說明

說明 嚴重性 附註

2024 年 10 月 2 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024-09-20 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-26921

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26921

GCP-2024-042

發布日期： 2024-07-15

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024-07-18 更新：說明預設設定的 Autopilot 叢集不受影響。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26809

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26809

GCP-2024-041

發布日期： 2024-07-08

更新日期：2024 年 9 月 16 日

說明

說明 嚴重性 附註

2024-09-16 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-07-19 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-52654
  • CVE-2023-52656

如需操作說明和更多詳細資料，請參閱下列公告：

 高

GCP-2024-040

發布日期：2024 年 7 月 1 日

更新日期：2024 年 7 月 16 日

說明

說明 嚴重性 附註

2024 年 7 月 16 日更新：

部分無伺服器 VPC 存取客戶可能受到 OpenSSH 安全漏洞 (CVE-2024-6387) 影響。如果攻擊得逞，未經身分驗證的遠端攻擊者就能在目標虛擬機器上以根層級身分執行任意程式碼。據信難以遭到入侵。舉例來說，客戶無法存取 VM，且 VM 沒有公開 IP。我們目前並未發現任何試圖利用這項漏洞的行為。

我該怎麼做？

Google 會盡可能自動更新無伺服器 VPC 存取部署作業。不過，您應確認 Google 代管的服務代理具備必要角色。否則，無伺服器 VPC 存取連接器可能仍有安全漏洞。建議您遷移至直連虛擬私有雲輸出，或部署新的連接器並刪除舊連接器，確保您已取得必要的更新和修正。

2024 年 7 月 11 日更新：新增 VMware 適用的 GDC 軟體、AWS 上的 GKE 和 Azure 上的 GKE 的修補程式版本。詳情請參閱 GKE 說明文件中的下列公告：

2024 年 7 月 10 日更新：

  • 新增 Migrate to Virtual Machines 的安全性公告。

2024 年 7 月 9 日更新：

部分 App Engine 彈性環境客戶可能會受到 OpenSSH 漏洞 (CVE-2024-6387) 的影響。如果攻擊得逞，未經身分驗證的遠端攻擊者就能在目標虛擬機器上以根層級身分執行任意程式碼。

我該怎麼做？

Google 已盡可能自動更新彈性環境部署作業。不過，部分客戶停用了 Google 代管服務代理，或變更了 Google Cloud API 或其他預設設定，因此無法更新，可能仍有安全漏洞。請部署新版應用程式，以便套用修正後的更新。

請注意，更新後的部署作業會回報 SSH 版本 OpenSSH_9.6p1。這個版本已修補 CVE-2024-6387。

解決哪些安全漏洞？

CVE-2024-6387 安全漏洞可讓未經驗證的遠端攻擊者，在目標機器上以 root 身分執行任意程式碼。

2024 年 7 月 8 日更新：

如果 Google Compute Engine 上的 Managed Service for Apache Spark 叢集，是採用 2.2 版 (所有作業系統) 和 2.1 版 (僅限 Debian) 映像檔，就會受到 OpenSSH 安全漏洞 (CVE-2024-6387) 影響。如果攻擊者成功利用這個安全漏洞，就能在目標機器上以 root 身分執行任意程式碼，而且不必經過驗證。

Google Compute Engine 映像檔版本 2.0 和 1.5 的 Managed Service for Apache Spark，以及未在 Debian 上執行的 Managed Service for Apache Spark 映像檔版本 2.1，都不會受到影響。啟用個人驗證的 Managed Service for Apache Spark 叢集不受影響。Managed Service for Apache Spark 無伺服器也不受影響。

我該怎麼做？

請將 Google Compute Engine 上的 Managed Service for Apache Spark 叢集更新為下列其中一個版本：

  • 2.2.24 以上版本
  • 2.1.58 以上版本

如果您無法將 Managed Service for Apache Spark 叢集更新至上述任一版本，建議您使用下列位置提供的初始化動作：gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

請按照這些指示指定 Managed Service for Apache Spark 的初始化動作。請注意，對於現有叢集，初始化動作必須在每個節點 (主要節點和工作站節點) 上執行。

2024 年 7 月 3 日更新：

  • 新增 GKE 修補程式版本。
  • 新增 GDC 連結網路方案的安全性公告。

2024 年 7 月 2 日更新：

  • 說明 Autopilot 叢集會受到影響，且需要使用者採取行動。
  • 新增 VMware 適用的 GDC 軟體、GKE on AWS 和 GKE on Azure 的影響評估和緩解步驟。
  • 修正了裸機適用的 GDC 軟體安全性公告，明確指出裸機適用的 GDC 軟體不會直接受到影響，且客戶應向 OS 供應商索取修補程式。

OpenSSH 最近發現遠端程式碼執行安全漏洞 CVE-2024-6387。這個安全漏洞會利用競爭狀況取得遠端殼層的存取權，讓攻擊者取得根存取權。截至本文發布時，我們認為攻擊者難以利用這個漏洞，且每部受攻擊的機器都需要數小時才能完成。我們並未發現任何濫用行為。

如需操作說明和更多詳細資料，請參閱下列公告：

 重大 CVE-2024-6387

GCP-2024-039

發布日期 ：2024-06-28

更新日期：2024 年 9 月 25 日

說明

說明 嚴重性 附註

2024-09-25 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-08-20 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26923

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26923

GCP-2024-038

發布日期： 2024-06-26

更新日期：2024 年 9 月 17 日

說明

說明 嚴重性 附註

2024-09-17 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-08-06 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26924

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26924

GCP-2024-037

發布日期： 2024 年 6 月 18 日

說明 嚴重性 附註

VMware 在 VMSA-2024-0012 中揭露多項安全漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

Google Cloud VMware Engine 的影響

  • 只要存取 vCenter Server 中的特定通訊埠，即可利用這項漏洞。Google 已封鎖 vCenter 伺服器上容易遭受攻擊的通訊埠，防止任何可能利用這項安全漏洞的行為。
  • 此外，Google 也確保日後部署的所有 vCenter 都不會受到這個安全漏洞影響。

該怎麼辦？

目前您無須採取進一步行動。

重大

GCP-2024-036

發布日期： 2024 年 6 月 18 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2024-26584

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26584

GCP-2024-035

發布日期： 2024 年 6 月 12 日

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024 年 7 月 18 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本，並新增 Container-Optimized OS 節點集區 1.27 版的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-26584

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26584

GCP-2024-034

發布日期： 2024-06-11

更新日期：2024 年 7 月 10 日

說明

說明 嚴重性 附註

2024-07-10 更新：新增 Container-Optimized OS 節點 (執行子版本 1.26 和 1.27) 的修補程式版本，以及 Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2024-26583

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26583

GCP-2024-033

發布日期： 2024-06-10

更新日期：2024 年 9 月 26 日

說明

說明 嚴重性 附註

2024 年 9 月 26 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點發生提權：

  • CVE-2022-23222

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2022-23222

GCP-2024-032

發布日期：2024-06-04

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-23326：Envoy 錯誤接受 HTTP 200 回應，進入升級模式。
  • CVE-2024-32974：EnvoyQuicServerStream::OnInitialHeadersComplete() 發生當機。
  • CVE-2024-32975：QuicheDataReader::PeekVarInt62Length() 發生當機。
  • CVE-2024-32976：解壓縮 Brotli 資料時，若有額外輸入內容，會導致無限迴圈。
  • CVE-2024-34362：EnvoyQuicServerStream 發生當機 (釋放後使用) 問題。
  • CVE-2024-34363：未擷取的 nlohmann JSON 例外狀況導致當機。
  • CVE-2024-34364：Envoy OOM 向量來自 HTTP 非同步用戶端，且鏡像回應的回應緩衝區無界限。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高

GCP-2024-031

發布日期：2024 年 5 月 24 日

說明

說明 嚴重性 附註

Fluent Bit 中發現新的安全漏洞 (CVE-2024-4323)，可能導致遠端執行程式碼。Fluent Bit 2.0.7 至 3.0.3 版會受到影響。

GKE、GKE on VMware、GKE on AWS、GKE on Azure 和 GKE on Bare Metal 並未使用含有安全漏洞的 Fluent Bit 版本，因此不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2024-4323

GCP-2024-030

發布日期： 2024-05-15

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024-07-18 更新： 新增 GKE Ubuntu 節點集區的修補程式版本

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-52620

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-52620

GCP-2024-029

發布日期： 2024-05-14

更新日期：2024 年 8 月 19 日

說明

說明 嚴重性 附註

2024-08-19 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-26642

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26642

GCP-2024-028

發布日期： 2024-05-13

更新日期：2024 年 5 月 22 日

說明

說明 嚴重性 附註

2024-05-22 更新：新增 Ubuntu 的修補程式版本

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26581

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26581

GCP-2024-027

發布日期： 2024 年 5 月 8 日

更新日期：2024 年 9 月 25 日

說明

說明 嚴重性 附註

2024-09-25 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-05-15 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

2024-05-09 更新：將嚴重程度從「中」修正為「高」，並說明預設設定的 GKE Autopilot 叢集不受影響。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26808

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26808

GCP-2024-026

發布日期： 2024-05-07

更新日期：2024 年 8 月 6 日

說明

說明 嚴重性 附註

2024-08-06 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

2024-05-09 更新：將嚴重程度從「中」修正為「高」。

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26643

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26643

GCP-2024-025

發布日期：2024 年 4 月 26 日

說明

說明 嚴重性 附註

Looker 已修正外部研究人員透過 Google 和 Alphabet 安全漏洞檢舉計畫 (VRP) 回報的安全漏洞，但未發現任何遭入侵的證據。這些問題現已解決，Looker (Google Cloud Core) 和 Looker (原始版) 的由 Looker 代管客戶不需採取任何行動。建議自行代管的 Looker 執行個體更新至最新支援版本。

我該怎麼做？

由 Looker 代管的執行個體：Looker (Google Cloud Core) 和 Looker (原始) 執行個體

顧客無須採取任何行動。

僅限自行代管的 Looker 執行個體

如果您的 Looker 執行個體是自行託管，建議將 Looker 執行個體升級至下列其中一個版本：

  • 24.6.12+
  • 24.4.27+
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105+
  • 23.6.163+

如何修正？

Google 停用了從 Looker 應用程式直接管理內部資料庫的權限、移除可跨租戶存取的進階權限，並輪替外洩的密鑰。此外，我們也修補了可能導致服務帳戶憑證外洩的路徑遍歷安全漏洞。我們也正在全面檢查程式碼和系統，找出並解決任何類似的潛在安全漏洞。

 重大

GCP-2024-024

發布日期： 2024-04-25

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024-07-18 更新： 新增 GKE Ubuntu 節點集區的修補程式版本

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26585

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26585

GCP-2024-023

發布日期：2024 年 4 月 24 日

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-27919：HTTP/2：CONTINUATION 框架氾濫導致記憶體耗盡。
  • CVE-2024-30255：HTTP/2：因 CONTINUATION 框架大量湧入而導致 CPU 耗盡
  • CVE-2024-32475：使用「auto_sni」時，如果「:authority」標頭長度超過 255 個字元，系統會異常終止。
  • CVE-2023-45288：HTTP/2 CONTINUATION 框架可用於發動 DoS 攻擊。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高

GCP-2024-022

發布日期：2024 年 4 月 3 日

更新日期：2024 年 7 月 17 日

說明

說明 嚴重性 附註

2024 年 7 月 17 日更新：新增 GKE on VMware 的修補程式版本

2024 年 7 月 9 日更新：新增 GKE on Bare Metal 的修補程式版本

2024-04-24 更新：新增 GKE 修補程式版本。

最近，我們在 HTTP/2 通訊協定的多個實作中發現阻斷服務 (DoS) 漏洞 (CVE-2023-45288)，包括 Kubernetes 使用的 golang HTTP 伺服器。這項安全漏洞可能導致 Google Kubernetes Engine (GKE) 控制層發生阻斷服務 (DoS) 攻擊。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-45288

GCP-2024-021

發布日期 ：2024 年 4 月 3 日

說明

說明 嚴重性 附註

Compute Engine 不受 CVE-2024-3094 影響，這個安全漏洞會影響 liblzma 程式庫中 xz-utils 套件的 5.6.0 和 5.6.1 版，可能導致 OpenSSH 公用程式遭到入侵。

詳情請參閱 Compute Engine 安全性公告。

 中 CVE-2024-3094

GCP-2024-020

發布日期： 2024-04-02

說明

說明 嚴重性 附註

研究人員在 Ray 中發現安全漏洞 (CVE-2023-48022)。Ray 是第三方開放原始碼工具，適用於 AI 工作負載。由於 Ray 不需要驗證，威脅發動者只要將工作提交至公開的執行個體，即可遠端執行程式碼。Ray 的開發人員 Anyscale 對這項安全漏洞提出爭議。Ray 認為這些功能是預期的核心產品功能，安全性應在 Ray 叢集外部實作，因為 Ray 叢集任何非預期的網路曝光都可能導致遭到入侵。

根據回覆，這項 CVE 存在爭議，可能不會顯示在安全漏洞掃描器中。無論如何，這個漏洞已在野外遭到積極利用，建議使用者按照下文說明設定使用方式。

我該怎麼做？

請遵循 Ray 最佳做法和指南，包括在受信任的網路中執行受信任的程式碼，確保 Ray 工作負載安全無虞。在客戶雲端執行個體中部署 ray.io 屬於共同責任模式。

Google Kubernetes Engine (GKE) 安全團隊發布了一篇網誌，說明如何在 GKE 上強化 Ray。

如要進一步瞭解如何為 Ray 服務新增驗證和授權，請參閱 Identity-Aware Proxy (IAP) 說明文件。GKE 使用者可以按照這份指南導入 IAP，或重新調整網誌中連結的 Terraform 模組。

 高 CVE-2023-48022

GCP-2024-018

發布日期 ：2024-03-12

更新日期：2024 年 4 月 4 日、2024 年 5 月 6 日

說明

說明 嚴重性 附註

2024 年 5 月 6 日更新：新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 4 月 4 日更新：修正 GKE Container-Optimized OS 節點集區的最低版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-1085

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-1085

GCP-2024-017

發布日期： 2024-03-06

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2023-3611

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3611

GCP-2024-016

發布日期： 2024 年 3 月 5 日

說明 嚴重性 附註

VMware 在 VMSA-2024-0006 中揭露多項安全漏洞，這些漏洞會影響部署在客戶環境中的 ESXi 元件。

Google Cloud VMware Engine 影響

您的私有雲已更新，可解決安全性漏洞。

該怎麼辦？

你無需採取任何行動。

重大

GCP-2024-014

發布日期： 2024 年 2 月 26 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2023-3776

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3776

GCP-2024-013

發布日期： 2024 年 2 月 27 日

說明

說明 嚴重性 附註

在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-3610

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3610

GCP-2024-012

發布日期： 2024 年 2 月 20 日

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2024-0193

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-0193

GCP-2024-011

發布日期： 2024-02-15

說明

說明 嚴重性 附註

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提權：

  • CVE-2023-6932

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6932

GCP-2024-010

發布日期： 2024-02-14

更新日期：2024 年 4 月 17 日

說明

說明 嚴重性 附註

2024-04-17 更新：新增 GKE on VMware 修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-6931

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6931

GCP-2024-009

發布日期：2024 年 2 月 13 日

說明

說明 嚴重性 附註

2024 年 2 月 13 日，AMD 揭露了兩個安全漏洞，會影響以第三代「Milan」和第四代「Genoa」Zen 核心為基礎的 EPYC CPU 上的 SEV-SNP。攻擊者可利用這些安全漏洞，存取訪客的過時資料，或導致訪客完整性喪失。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前沒有任何證據顯示有人利用此漏洞，Google 也未接獲相關回報。

我該怎麼做？

顧客無須採取任何行動。Google 伺服器機群 (包括 Compute Engine) 已套用 Google Cloud的修正程式。

詳情請參閱 AMD 安全性公告 AMD-SN-3007。

 中

GCP-2024-008

發布日期：2024 年 2 月 12 日

說明

說明 嚴重性 附註

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-5528

GCP-2024-007

發布日期：2024 年 2 月 8 日

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-23322：當 Envoy 處於閒置狀態，且每次嘗試的要求逾時發生在輪詢間隔內時，Envoy 會當機。
  • CVE-2024-23323：使用 regex 設定 URI 範本比對器時，CPU 使用率過高。
  • CVE-2024-23324：Proxy 通訊協定篩選器設定無效的 UTF-8 中繼資料時，可略過外部授權。
  • 使用作業系統不支援的位址類型時，Envoy 會當機。
  • CVE-2024-23327：指令類型為 LOCAL 時，Proxy 通訊協定會異常終止。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2024-006

發布日期：2024 年 2 月 5 日

說明

說明 嚴重性 附註

Apigee API 管理平台 Proxy 連線至目標端點或 目標伺服器時，預設不會驗證目標端點或目標伺服器提供的憑證主機名稱。如果未透過下列任一選項啟用主機名稱驗證，連線至目標端點或目標伺服器的 Apigee Proxy 可能會遭到授權使用者發動中間人攻擊。詳情請參閱「設定從 Edge 到後端的 TLS (Cloud 和 私有雲)」。

下列 Apigee 平台上的 Apigee Proxy 部署作業會受到影響：

  • Apigee Edge for Public Cloud
  • Apigee Edge for Private Cloud

如需操作說明和詳細資訊，請參閱 Apigee 安全性公告。

 高

GCP-2024-005

發布日期：2024 年 1 月 31 日
更新日期：2024 年 4 月 2 日、2024 年 5 月 6 日

說明

說明 嚴重性 附註

2024-05-06 更新：新增 GKE on AWS 和 GKE on Azure 的修補程式版本。

2024 年 4 月 2 日更新：新增 GKE on Bare Metal 的修補程式版本

2024-03-06 更新：新增 GKE on VMware 修補程式版本

2024-02-28 更新：新增 Ubuntu 修補程式版本

2024 年 2 月 15 日更新：2024 年 2 月 14 日更新中的 1.25 和 1.26 Ubuntu 修補程式版本可能會導致節點不正常。

2024 年 2 月 14 日更新：新增 Ubuntu 的修補程式版本

2024-02-06 更新： 新增 Container-Optimized OS 修補程式版本。

runc 發現 CVE-2024-21626 安全漏洞，使用者只要有權在 Container-Optimized OS 和 Ubuntu 節點上建立 Pod，就能取得節點檔案系統的完整存取權。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-21626

GCP-2024-004

發布日期：2024 年 1 月 24 日
更新日期：2024 年 2 月 7 日

說明

說明 嚴重性 附註

2024 年 2 月 7 日更新： 新增 Ubuntu 的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-6817

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6817

GCP-2024-003

發布日期：2024 年 1 月 19 日
更新日期：2024 年 1 月 26 日

說明

說明 嚴重性 附註

2024-01-26 更新：說明受影響的叢集數量，以及我們為減輕影響而採取的行動。詳情請參閱 GCP-2024-003 安全性公告。

我們發現多個叢集的使用者將 Kubernetes 權限授予 system:authenticated 群組，其中包含所有具備 Google 帳戶的使用者。不建議使用這類繫結，因為這會違反最小權限原則，並將存取權授予大量使用者。請參閱「該怎麼做」一節，瞭解如何找出這類繫結。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2024-002

發布日期： 2024-01-17

更新日期：2024 年 2 月 20 日

說明

說明 嚴重性 附註

2024-02-20 更新：新增 GKE on VMware 修補程式版本。

我們在 Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點的提權。

  • CVE-2023-6111

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6111

GCP-2024-001

發布日期：2024 年 1 月 9 日

說明

說明 嚴重性 附註

我們在 TianoCore EDK II UEFI 韌體中發現多項安全漏洞。這項韌體用於 Google Compute Engine VM。如果遭到濫用，這些安全漏洞可能會導致安全啟動程序遭到規避，進而提供錯誤的測量結果，包括在 Shielded VM 中使用時。

該怎麼辦？

您無須採取任何行動，Google 已在 Compute Engine 中修補這個安全漏洞，所有 VM 都不會受到這個安全漏洞影響。

這個修補程式修正了哪些安全漏洞？

這個修補程式緩解了下列安全漏洞：

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 中

GCP-2023-051

發布日期： 2023 年 12 月 28 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的提權。

  • CVE-2023-3609

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3609

GCP-2023-050

發布日期： 2023 年 12 月 27 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的提權。

  • CVE-2023-3389

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3389

GCP-2023-049

發布日期 ：2023 年 12 月 20 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-3090

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3090

GCP-2023-048

發布日期： 2023-12-15

更新日期：2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-3390

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3390

GCP-2023-047

發布日期：2023-12-14

說明

說明 嚴重性 附註

如果攻擊者入侵 Fluent Bit 記錄容器，就能結合該存取權和 Cloud Service Mesh (在已啟用該服務的叢集上) 所需的高權限，在叢集中提升權限。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2023-046

發布日期：2023 年 11 月 22 日
更新日期：2024 年 3 月 4 日

說明

說明 嚴重性 附註

2024-03-04 更新： 新增 GKE on VMware 的 GKE 版本。

2024 年 1 月 22 日更新：新增 Ubuntu 修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的提權。

  • CVE-2023-5717

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-5717

GCP-2023-045

發布日期： 2023 年 11 月 20 日

更新日期：2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-5197

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-5197

GCP-2023-044

發布日期：2023-11-15

說明

說明 嚴重性 附註

11 月 14 日，AMD 揭露多項會影響各種 AMD 伺服器 CPU 的安全漏洞。具體來說，這些安全漏洞會影響採用 Zen 核心第 2 代「Rome」、第 3 代「Milan」和第 4 代「Genoa」的 EPYC 伺服器 CPU。

Google 已對受影響的資產 (包括 Google Cloud) 進行修正，確保客戶受到保護。目前 Google 尚未發現或接獲任何漏洞遭濫用的證據。

我該怎麼做？

客戶無須採取任何行動。

Google 伺服器機群 (包括 Google Compute Engine) 已套用修正程式。

解決哪些安全漏洞？

這個修補程式緩解了下列安全漏洞：

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

詳情請參閱 AMD 的安全性公告 AMD-SN-3005：「AMD INVD 指令安全性通知」(也稱為 CacheWarp)，以及 AMD-SN-3002：「AMD 伺服器安全漏洞 - 2023 年 11 月」。

 中

GCP-2023-043

發布日期：2023 年 11 月 14 日

說明

說明 嚴重性 附註

Intel 揭露了特定處理器中的 CPU 漏洞。Google 已採取措施，降低伺服器機群 (包括 Google Cloud適用的 Google Compute Engine) 和 ChromeOS 裝置的風險，確保客戶受到保護。

安全漏洞詳情：

  • CVE-2023-23583

我該怎麼做？

客戶無須採取任何行動。

Intel 為受影響的處理器提供的緩解措施，已套用至 Google 伺服器叢集，包括 Google Compute Engine for Google Cloud。

目前，Google Distributed Cloud Edge 需要由原始設備製造商 (OEM) 進行更新。Google 會在更新推出後修復這項產品，並據此更新本公告。

搭載受影響處理器的 ChromeOS 裝置，已在 119、118 和 114 (LTS) 版本中自動收到修正程式。

解決了哪些安全漏洞？

CVE-2023-23583。詳情請參閱 Intel 安全性諮詢 INTEL-SA-00950。

 高 CVE-2023-23583

GCP-2023-042

發布日期：2023 年 11 月 13 日
更新日期：2023 年 11 月 15 日

說明

說明 嚴重性 附註

2023 年 11 月 15 日更新：明確指出只有列出的子版本需要升級至對應的修補版本，才能使用 GKE。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的提權。

  • CVE-2023-4147

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4147

GCP-2023-041

發布日期： 2023 年 11 月 8 日

更新日期：2023 年 11 月 21 日、2023 年 12 月 5 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

2023 年 12 月 5 日更新：新增 Container-Optimized OS 節點集區的 GKE 版本。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4004

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4004

GCP-2023-040

發布日期： 2023-11-06

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4921

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4921

GCP-2023-039

發布日期：2023 年 11 月 6 日

更新日期： 2023 年 11 月 21 日、2023 年 11 月 16 日

說明

說明 嚴重性 附註

2023 年 11 月 21 日更新：釐清只有列出的子版本需要升級至對應的修補版本，才能使用 GKE。

2023 年 11 月 16 日更新：與本安全性公告相關的安全漏洞為 CVE-2023-4622。在舊版安全公告中，CVE-2023-4623 誤列為安全漏洞。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4623

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4622

GCP-2023-038

發布日期： 2023-11-06

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4623

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4623

GCP-2023-037

發布日期：2023-11-06

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的提權。

  • CVE-2023-4015

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4015

GCP-2023-036

發布日期：2023 年 10 月 30 日

說明

說明 嚴重性 附註

深度學習 VM 映像檔是一組預先封裝的虛擬機器映像檔，內含深度學習架構，可直接執行。最近，我們在 `libwebp` 程式庫的 `ReadHuffmanCodes()` 函式中發現越界寫入安全漏洞。使用這個程式庫的映像檔可能會受到影響。

Google Cloud 會持續掃描公開發布的映像檔並更新套件，確保客戶可採用的最新版本包含已修補的發行版本。深度學習 VM 映像檔已更新，確保最新的 VM 映像檔包含已修補的發行版本。採用最新 VM 映像檔的客戶不會受到這個安全漏洞影響。

我該怎麼做？

Google Cloud 使用已發布 VM 映像檔的客戶，應確保採用最新映像檔，並根據共同責任模式更新環境。

攻擊者可能會利用 CVE-2023-4863 執行任意程式碼。這個安全漏洞是在 116.0.5845.187 之前的 Google Chrome 版本，以及 1.3.2 之前的 `libwebp` 中發現，並列於 CVE-2023-4863 下。

 高 CVE-2023-4863

GCP-2023-035

發布日期：2023 年 10 月 26 日

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4206CVE-2023-4207、CVE-2023-4208、CVE-2023-4128

GCP-2023-034

發布日期：2023 年 10 月 25 日

更新日期：2023 年 10 月 27 日

說明

說明 嚴重性 附註

VMware 揭露了 VMSA-2023-0023 中的多個安全漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

Cloud Customer Care 影響

  • 只要存取 vCenter Server 中的特定通訊埠，即可利用這項安全漏洞。這些通訊埠不會公開至網際網路。
  • 如果您的 vCenter 通訊埠 2012/tcp、2014/tcp 和 2020/tcp 無法由不受信任的系統存取，就不會受到這個安全漏洞影響。
  • Google 已封鎖 vCenter 伺服器上的易受攻擊通訊埠，防止有人利用這項安全漏洞。
  • 此外，Google 會確保日後部署的所有 vCenter 伺服器都不會受到這個安全漏洞影響。
  • 在發布公告時，VMware 並未發現任何「實際」濫用行為。 詳情請參閱 VMware 說明文件。

該怎麼辦？

目前無須採取進一步行動

 重大 CVE-2023-34048,CVE-2023-34056

GCP-2023-033

發布日期：2023 年 10 月 24 日

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響，GKE Sandbox 工作負載也不受影響。

2023 年 11 月 21 日更新：釐清只有列出的子版本需要升級至對應的修補版本，才能使用 GKE。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點的提權。

  • CVE-2023-3777

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3777

GCP-2023-032

發布日期：2023 年 10 月 13 日

更新日期：2023 年 11 月 3 日

說明

說明 嚴重性 附註

2023 年 11 月 3 日更新：新增 Apigee Edge for Private Cloud 的 已知問題。

最近在 HTTP/2 通訊協定的多項實作項目中，發現阻斷服務 (DoS) 漏洞 (CVE-2023-44487)，包括 Apigee Ingress (Cloud Service Mesh) 服務。Apigee X 和 Apigee Hybrid 都會使用這項服務。這項安全漏洞可能會導致 Apigee API 管理功能發生阻斷服務攻擊。

如需操作說明和詳細資訊，請參閱 Apigee 安全性公告。

 高 CVE-2023-44487

GCP-2023-031

發布日期：2023 年 10 月 10 日

說明

說明 嚴重性 附註

使用 HTTP/2 通訊協定時，阻斷服務攻擊可能會影響資料層。如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2023-44487

GCP-2023-030

發布日期：2023 年 10 月 10 日

更新日期：2024-03-20

說明

說明 嚴重性 附註

2024-03-20 更新：新增 AWS 適用的 GKE 和 Azure 適用的 GKE 修補程式版本，其中包含 CVE-2023-44487 的最新修補程式。

2024-02-14 更新：新增 GKE on VMware 的修補程式版本。

2023 年 11 月 9 日更新：新增 CVE-2023-39325。更新 GKE 版本，其中包含 CVE-2023-44487 和 CVE-2023-39325 的最新修補程式。

最近在 HTTP/2 通訊協定的多個實作中發現阻斷服務 (DoS) 漏洞 (CVE-2023-44487)，包括 Kubernetes 使用的 golang HTTP 伺服器。這項安全漏洞可能會導致 Google Kubernetes Engine (GKE) 控制層發生 DoS 攻擊。設定授權網路的 GKE 叢集會受到保護，網路存取權受到限制，但所有其他叢集都會受到影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-44487、CVE-2023-39325

GCP-2023-029

發布日期：2023 年 10 月 3 日

說明

說明 嚴重性 附註

TorchServe 可用於託管 PyTorch 機器學習模型，以便進行線上預測。Vertex AI 提供預建的 PyTorch 模型服務容器，這些容器依附於 TorchServe。TorchServe 最近發現安全漏洞，如果模型管理 API 暴露在外，攻擊者就能控制 TorchServe 部署作業。如果客戶將 PyTorch 模型部署至 Vertex AI Online Prediction，則不會受到這些安全漏洞影響，因為 Vertex AI 不會公開 TorchServe 的模型管理 API。如果客戶在 Vertex AI 以外使用 TorchServe，應採取預防措施，確保部署作業安全無虞。

我該怎麼做？

Vertex AI 客戶如果使用 Vertex AI 的預建 PyTorch 服務容器部署模型，則不需採取任何行動來因應安全漏洞，因為 Vertex AI 的部署作業不會將 TorchServe 的管理伺服器公開至網際網路。

如果客戶在其他情境中使用預先建構的 PyTorch 容器，或使用自訂或第三方發布的 TorchServe，應採取下列行動：

  • 請確保 TorchServe 的模型管理 API 不會公開至網際網路。只要確保 management_address 繫結至 127.0.0.1，即可將模型管理 API 限制為僅限本機存取。
  • 使用 allowed_urls 設定，確保模型只能從預期來源載入。
  • 請盡快將 TorchServe 升級至 0.8.2 版，這個版本已針對這個問題提供緩解措施。為防範未然，Vertex AI 將在 2023 年 10 月 13 日前發布修正後的預建容器。

解決哪些安全漏洞？

在大多數 TorchServe Docker 映像檔 (包括 Vertex AI 發布的映像檔) 中，TorchServe 的管理 API 預設會繫結至 0.0.0.0，因此可供外部要求存取。TorchServe 0.8.2 將管理 API 的預設 IP 位址變更為 127.0.0.1，可緩解這個問題。

CVE-2023-43654 和 CVE-2022-1471 允許有權存取 Management API 的使用者從任意來源載入模型，並遠端執行程式碼。TorchServe 0.8.2 包含這兩項問題的緩解措施：移除遠端執行程式碼路徑，並在使用 allowed_urls 的預設值時發出警告。

 高 CVE-2023-43654、 CVE-2022-1471

GCP-2023-028

發布日期：2023 年 9 月 19 日

更新日期： 2024 年 5 月 29 日

說明

說明 嚴重性 附註
2024 年 5 月 29 日更新：新的新聞動態消息不再使用共用服務帳戶，但現有的新聞動態消息仍會使用，以免服務中斷。系統會禁止變更舊版動態饋給的來源，以免共用服務帳戶遭到濫用。只要不變更來源，客戶就能繼續正常使用舊動態饋給。

客戶可以設定 Google Security Operations，透過擷取動態饋給從客戶擁有的 Cloud Storage bucket 擷取資料。不久前，Google Security Operations 提供共用服務帳戶，讓客戶授予 bucket 權限。我們發現有機會將某位客戶的 Google Security Operations 執行個體設定為擷取另一位客戶 Cloud Storage bucket 中的資料。經過影響分析後，我們發現目前或先前並未有人利用這個安全漏洞。2023 年 9 月 19 日前，所有版本的 Google Security Operations 都存在這項安全漏洞。

我該怎麼做？

Google Security Operations 已於 2023 年 9 月 19 日更新，解決了這個安全漏洞。顧客無須採取任何行動。

解決了哪些安全漏洞？

Google Security Operations 先前提供共用服務帳戶，讓客戶授予 bucket 權限。由於不同客戶將相同的 Google Security Operations 服務帳戶權限授予自己的儲存空間，因此存在可供利用的向量，讓某位客戶的資訊提供存取另一位客戶的儲存空間 (建立或修改資訊提供時)。這項攻擊媒介需要知道 bucket URI。現在，在建立或修改資訊提供時，Google Security Operations 會為每位客戶使用專屬服務帳戶。

 高

GCP-2023-027

發布日期：2023 年 9 月 11 日
說明 嚴重性 附註

VMware vCenter Server 更新解決多個記憶體損毀安全漏洞 (CVE-2023-20892、CVE-2023-20893、CVE-2023-20894、CVE-2023-20895、CVE-2023-20896)

客戶服務影響

VMware vCenter Server (vCenter Server) 和 VMware Cloud Foundation (Cloud Foundation)。

該怎麼辦？

客戶不會受到影響，也不必採取任何行動。

 中

GCP-2023-026

發布日期：2023-09-06

說明

說明 嚴重性 附註

Kubernetes 發現三個安全漏洞 (CVE-2023-3676、CVE-2023-3955、CVE-2023-3893)，使用者只要能在 Windows 節點上建立 Pod，就有可能將權限提升至這些節點的管理員權限。這些安全漏洞會影響 Windows 版 Kubelet 和 Kubernetes CSI Proxy。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3676、CVE-2023-3955、 CVE-2023-3893

GCP-2023-025

發布日期：2023 年 8 月 8 日
說明 嚴重性 附註

Intel 最近發布了 Intel Security Advisory INTEL-SA-00828，指出部分處理器系列受到影響。建議您根據公告內容評估風險。

Google Cloud VMware Engine 的影響

我們的機群使用受影響的處理器系列。在我們的部署作業中，整個伺服器會專門用於一位客戶。因此，我們的部署模式不會增加您評估這項安全漏洞的風險。

我們正與合作夥伴合作取得必要修補程式，並會在接下來幾週內，使用標準升級程序，優先在整個機群中部署這些修補程式。

該怎麼辦？

您無須採取任何行動，我們正在升級所有受影響的系統。

 高

GCP-2023-024

發布日期：2023 年 8 月 8 日

更新時間：2023 年 8 月 10 日、2024 年 6 月 4 日

說明

說明 嚴重性 附註

2024 年 6 月 4 日更新：下列先前遺漏的產品已更新，修正了這個安全漏洞：

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

2023-08-10 更新：新增 ChromeOS LTS 版本號碼。

Intel 揭露了特定處理器中的安全漏洞 (CVE-2022-40982)。 Google 已採取措施，減輕伺服器機群 (包括 Google Cloud) 的影響，確保客戶受到保護。

安全漏洞詳情：

  • CVE-2022-40982 (Intel IPU 2023.3，「GDS」，又稱「Downfall」)

我該怎麼做？

顧客無須採取任何行動。

所有可用的修補程式都已套用至 Google Cloud 的 Google 伺服器機群，包括 Google Compute Engine。

目前，下列產品需要合作夥伴和供應商進行額外更新。

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Google Cloud Bare Metal 解決方案
  • 演進式封包核心

Google 會在這些修補程式推出後修正這些產品，並據此更新這份公告。

Google Chromebook 和 ChromeOS Flex 客戶已在穩定版 (115)、LTS 版 (108)、Beta 版 (116) 和 LTC 版 (114) 中，自動收到 Intel 提供的緩解措施。如果 Chromebook 和 ChromeOS Flex 客戶固定使用舊版，請考慮取消固定，改用穩定版或長期支援版，確保收到這項和其他安全漏洞修正。

解決了哪些安全漏洞？

CVE-2022-40982：詳情請參閱 Intel 安全性諮詢 INTEL-SA-00828。

 高 CVE-2022-40982

GCP-2023-023

發布日期：2023 年 8 月 8 日

說明

說明 嚴重性 附註

AMD 揭露了特定處理器中的安全漏洞 (CVE-2023-20569)。 Google 已採取措施，降低伺服器機群 (包括 Google Cloud) 的風險，確保客戶受到保護。

安全漏洞詳情：

  • CVE-2023-20569 (AMD SB-7005，又稱「Inception」)

我該怎麼做？

如果 Compute Engine VM 的使用者在執行個體內執行不受信任的程式碼，建議考慮採用作業系統提供的緩解措施。建議客戶與 OS 供應商聯絡，取得更具體的指引。

Google Cloud (包括 Google Compute Engine) 的 Google 伺服器機群已套用修正程式。

解決哪些安全漏洞？

CVE-2023-20569 - 詳情請參閱 AMD SB-7005。

 中 CVE-2023-20569

GCP-2023-022

發布日期： 2023 年 8 月 3 日

說明

說明 嚴重性 附註

Google 發現 1.57 版之前的 gRPC C++ 實作項目存在安全漏洞。這是 gRPC C++ 實作中的阻斷服務安全漏洞。這些問題已在 1.53.2、1.54.3、1.55.2、1.56.2 和 1.57 版本中修正。

我該怎麼做？

請確認您使用的是下列軟體套件的最新版本：

  • gRPC (C++、Python、Ruby) 1.53、1.54、1.55 和 1.56 版必須升級至下列修補程式版本：
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • gRPC (C++、Python、Ruby) 1.52 以下版本必須升級至核准的修補程式版本。例如 1.53.2、1.54.3、1.53.4 等。

解決哪些安全漏洞？

這些修補程式可緩解下列安全漏洞：

  • gRPC C++ 實作中的阻斷服務安全漏洞：特製要求可能會導致 Proxy 與後端之間的連線終止。
高 CVE-2023-33953

GCP-2023-021

Updated:2023-07-26

Published:2023-07-25

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2023-35941：在某些特定情況下，惡意用戶端可以建構永久有效的憑證。舉例來說，HMAC 酬載中的主機和到期時間組合，在 OAuth2 篩選器的 HMAC 檢查中可能一律有效。
  • CVE-2023-35942：使用接聽程式全域範圍的 gRPC 存取記錄器，可能會在接聽程式排空時導致釋放後使用當機。這可能是由 LDS 更新觸發，且具有相同的 gRPC 存取記錄設定。
  • CVE-2023-35943：如果 origin 標頭設定為使用 request_headers_to_remove: origin 移除，CORS 篩選器會 segfault 並導致 Envoy 損毀。
  • CVE-2023-35944：攻擊者可以傳送混合配置要求，略過 Envoy 中的配置檢查。舉例來說，如果將混合配置 HTTP 的要求傳送至 OAuth2 篩選器，則會無法通過 HTTP 的完全比對檢查，並通知遠端端點配置為 HTTPS，因此可能會略過 HTTP 要求專屬的 OAuth2 檢查。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2023-020

Updated:2023-07-26

發布日期： 2023 年 7 月 24 日

說明

說明 嚴重性 附註

AMD 已發布微碼更新，可解決硬體安全漏洞 (CVE-2023-20593)。Google 已為伺服器機群 (包括 Google Cloud Platform 的伺服器) 進行必要的修正，測試結果顯示，系統效能不會受到影響。

我該怎麼做？

客戶無須採取任何行動，因為 Google Cloud Platform 的 Google 伺服器機群已套用修正程式。

解決哪些安全漏洞？

CVE-2023-20593 解決了部分 AMD CPU 的安全漏洞。詳情請參閱這篇文章。

高 CVE-2023-20593

GCP-2023-019

Published:2023-07-18

說明

說明 嚴重性 附註

Envoy 中發現新的安全漏洞 (CVE-2023-35945)，如果來自不受信任的上游服務的回應經過特製，可能會導致記憶體耗盡，造成阻斷攻擊。這是 Envoy 的 HTTP/2 轉碼器所致，該轉碼器在收到 RST_STREAM 後，若立即收到來自上游伺服器的 GOAWAY 框架，可能會洩漏標頭對應和記錄結構。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高 CVE-2023-35945

GCP-2023-018

發布日期：2023 年 6 月 27 日

說明

說明 嚴重性 附註

Linux 核心中發現新的安全漏洞 (CVE-2023-2235)，可能導致節點提權。GKE Autopilot 節點一律使用 Container-Optimized OS 節點映像檔，因此 GKE Autopilot 叢集會受到影響。搭載 Container-Optimized OS 節點映像檔的 GKE Standard 叢集 (版本 1.25 以上) 會受到影響。

如果 GKE 叢集只執行 Ubuntu 節點映像檔、執行 1.25 之前的版本，或使用 GKE Sandbox，則不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-2235

GCP-2023-017

發布日期：2023 年 6 月 26 日

更新日期：2023 年 7 月 11 日

說明

說明 嚴重性 附註

2023 年 7 月 11 日更新：新版 GKE 已更新，納入最新版 Ubuntu，可修補 CVE-2023-31436。

Linux 核心中發現新的安全漏洞 (CVE-2023-31436)，可能導致節點提權。包括 Autopilot 叢集在內的 GKE 叢集都會受到影響。使用 GKE Sandbox 的 GKE 叢集不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-31436

GCP-2023-016

發布日期：2023 年 6 月 26 日

說明

說明 嚴重性 附註

Cloud Service Mesh 使用的 Envoy 發現多項安全漏洞，惡意攻擊者可利用這些漏洞造成阻斷服務或導致 Envoy 停止運作。這些問題已在 GCP-2023-002 中個別回報。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-27496、CVE-2023-27488、CVE-2023-27493、CVE-2023-27492、CVE-2023-27491、CVE-2023-27487

GCP-2023-015

發布日期：2023 年 6 月 20 日

說明

說明 嚴重性 附註

Linux 核心中發現新的安全漏洞 CVE-2023-0468，當 io_poll_get_ownership 持續增加每個 io_poll_wake 的 req->poll_refs，然後溢位至 0，導致 fput req->file 兩次並造成 struct file refcount 問題時，無權限的使用者可能會利用這個漏洞將權限提升至 root。GKE 叢集 (包括 Autopilot 叢集) 如果使用 Linux 核心 5.15 版的 Container-Optimized OS，就會受到影響。使用 Ubuntu 映像檔或 GKE Sandbox 的 GKE 叢集則不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-CVE-2023-0468

GCP-2023-014

更新日期：2023 年 8 月 11 日
發布日期：2023 年 6 月 15 日

說明

說明 嚴重性 附註

2023 年 8 月 11 日更新： 新增 GKE on VMware、GKE on AWS、GKE on Azure 和 Google Distributed Cloud Virtual for Bare Metal 的修補程式版本。

我們在 Kubernetes 中發現兩個新的安全性問題，使用者在使用暫時性容器和 ImagePolicyWebhook (CVE-2023-2727) 或 ServiceAccount 許可外掛程式 (CVE-2023-2728) 時，可能會啟動容器，進而規避政策限制。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2023-2727、CVE-2023-2728

GCP-2023-013

發布日期：2023 年 6 月 8 日

說明

說明 嚴重性 附註

在專案中啟用 Cloud Build API 時，Cloud Build 會自動建立預設服務帳戶，代表您執行建構作業。這個 Cloud Build 服務帳戶先前具備 logging.privateLogEntries.list IAM 權限，因此建構作業預設可列出私人記錄。為遵循最小權限原則安全原則，這項權限已從 Cloud Build 服務帳戶撤銷。

如需操作說明和詳細資訊，請參閱 Cloud Build 安全性公告。

 低

GCP-2023-010

發布日期：2023 年 6 月 7 日

說明

說明 嚴重性 附註

Google 在 gRPC C++ 實作中發現了三個新漏洞。這些安全漏洞很快就會公開發布，分別為 CVE-2023-1428、CVE-2023-32731 和 CVE-2023-32732。

我們在 4 月發現 1.53 和 1.54 版本有兩個安全漏洞。一個是 gRPC C++ 實作中的阻斷服務安全漏洞，另一個是遠端資料竊取安全漏洞。這些問題已在 1.53.1、1.54.2 和後續版本中修正。

今年 3 月，我們的內部團隊在執行例行模糊測試時，發現 gRPC 的 C++ 實作項目存在阻斷服務安全漏洞。這個問題是在 gRPC 1.52 版中發現，並已在 1.52.2 和 1.53 版中修正。

該怎麼辦？

請確認您使用的是下列軟體套件最新版本：

  • grpc (C++、Python、Ruby) 1.52、1.53 和 1.54 版必須升級至下列修補程式版本：
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • grpc (C++、Python、Ruby) 1.51 版和更早版本不受影響，因此使用這些版本的使用者不必採取任何行動

這些修補程式解決了哪些安全漏洞？

這些修補程式可緩解下列安全漏洞：

  • 1.53.1、1.54.2 和後續版本解決了下列問題：gRPC C++ 實作中的阻斷服務安全漏洞。精心設計的請求可能會導致 Proxy 與後端之間的連線終止。遠端資料竊取安全漏洞：由於標頭大小限制，HPACK 表格中的去同步化可能會導致 Proxy 後端從連線至 Proxy 的其他用戶端洩漏標頭資料。
  • 1.52.2、1.53 和後續版本解決了下列問題：gRPC C++ 實作中的阻斷服務安全漏洞。剖析特定格式的要求可能會導致伺服器當機。

建議您升級至上述軟體套件的最新版本。

 高 (CVE-2023-1428、CVE-2023-32731)。中 (CVE-2023-32732) CVE-2023-1428、 CVE-2023-32731、 CVE-023-32732

GCP-2023-009

發布日期：2023 年 6 月 6 日

說明

說明 嚴重性 附註

我們在 secrets-store-csi-driver 中發現新的安全漏洞 (CVE-2023-2878)，如果攻擊者有權存取驅動程式記錄，就能觀察服務帳戶權杖。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2023-2878

GCP-2023-008

發布日期：2023 年 6 月 5 日

說明

說明 嚴重性 附註

Linux 核心中發現新的安全漏洞 (CVE-2023-1872)，可能導致節點上的提權為根層級。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-1872

GCP-2023-007

發布日期：2023 年 6 月 2 日

說明

說明 嚴重性 附註

我們最近發現 SQL Server 適用的 Cloud SQL 存在安全漏洞，導致客戶管理員帳戶可以在 tempdb 資料庫中建立觸發程序，並藉此取得執行個體中的 sysadmin 權限。sysadmin 權限可讓攻擊者存取系統資料庫，並部分存取執行該 SQL Server 執行個體的機器。

Google Cloud 在 2023 年 3 月 1 日前修補安全性漏洞，解決問題。 Google Cloud 未發現任何遭入侵的客戶執行個體。

如需操作說明和詳細資訊，請參閱 Cloud SQL 安全性公告。

 高

GCP-2023-005

發布日期：2023 年 5 月 18 日

更新日期：2023 年 6 月 6 日

說明

說明 嚴重性 附註

2023 年 6 月 6 日更新：新版 GKE 已更新，納入最新 Ubuntu 版本，可修補 CVE-2023-1281 和 CVE-2023-1829。

Linux 核心中發現了兩個新安全漏洞 (CVE-2023-1281、CVE-2023-1829)，可能導致節點上的權限升級為根層級。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-1281 CVE-2023-1829

GCP-2023-004

發布日期：2023-04-26

說明

說明 嚴重性 附註

信任平台模組 (TPM) 2.0 發現兩個安全漏洞 (CVE-2023-1017 和 CVE-2023-1018)。

這些安全漏洞可能讓經驗豐富的攻擊者，在特定 Compute Engine VM 上利用 2 位元組的超出範圍讀取/寫入作業。

如需操作說明和詳細資訊，請參閱 Compute Engine 安全性公告。

 中

GCP-2023-003

發布日期：2023 年 4 月 11 日

更新日期：2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：說明預設設定中的 GKE Autopilot 叢集不受影響。

Linux 核心發現兩個新的安全漏洞 (CVE-2023-0240 和 CVE-2023-23586)，可能導致不具權限的使用者提高權限。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-0240、CVE-2023-23586

GCP-2023-002

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2023-27496：如果 Envoy 啟用 OAuth 篩選器並公開執行，惡意行為人可能會建構要求，導致 Envoy 崩潰，造成阻斷攻擊。
  • CVE-2023-27488：攻擊者可利用這項弱點，在使用 ext_authz 時略過驗證檢查。
  • CVE-2023-27493：Envoy 設定也必須包含新增要求標頭的選項，這些標頭是使用要求中的輸入內容 (例如對等互連憑證 SAN) 所產生。
  • CVE-2023-27492：攻擊者可針對已啟用 Lua 篩選器的路徑傳送大型要求主體，並觸發當機。
  • CVE-2023-27491：攻擊者可以傳送特別製作的 HTTP/2 或 HTTP/3 要求，在 HTTP/1 上游服務觸發剖析錯誤。
  • CVE-2023-27487：標頭「x-envoy-original-path」應為內部標頭，但 Envoy 在要求處理程序開始時，不會從不受信任用戶端傳送的要求中移除這個標頭。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告：

高

GCP-2023-001

發布日期：2023 年 3 月 1 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：說明預設設定中的 GKE Autopilot 叢集不受影響。

Linux 核心中發現新的安全漏洞 (CVE-2022-4696)，可能導致節點提權。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2022-4696

GCP-2022-026

發布日期：2023-01-11

說明

說明 嚴重性 附註

OpenSSL 3.0.6 版發現兩個新的安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)，可能導致當機。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2022-025

發布日期：2022 年 12 月 21 日
更新日期：2023 年 1 月 19 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：說明預設設定中的 GKE Autopilot 叢集不受影響。

2023 年 1 月 19 日更新：新增 GKE 1.21.14-gke.14100 版的相關資訊。

OpenSSL 3.0.6 版發現兩個新的安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)，可能導致當機。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2022-024

發布日期：2022-11-09

更新日期：2023 年 1 月 19 日

說明

說明 嚴重性 附註

2023 年 1 月 19 日更新：新增 GKE 1.21.14-gke.14100 版的相關資訊。

2022 年 12 月 16 日更新：新增 GKE 和 GKE on VMware 的修補程式版本。

Linux 核心中發現兩個新的安全漏洞 (CVE-2022-2585 和 CVE-2022-2588)，可能導致容器完全中斷，並在節點上取得根層級權限。

如需操作說明和詳細資訊，請參閱：

 高

GCP-2022-023

發布日期：2022 年 11 月 4 日

說明

說明 嚴重性 附註

我們在 Cloud Service Mesh 使用的 Istio 中發現安全漏洞 CVE-2022-39278，惡意攻擊者可藉此讓控制層當機。

如需操作說明和更多詳細資料，請參閱下列公告：

高 CVE-2022-39278

GCP-2022-022

發布日期：2022 年 10 月 28 日

更新日期：2022 年 12 月 14 日

說明

說明 嚴重性 附註

2022-12-14 更新：新增 GKE 和 GKE on VMware 的修補程式版本。

Linux 核心中發現新的安全漏洞 CVE-2022-20409，可能允許無權限的使用者將權限提升至系統執行權限。

如需操作說明和更多詳細資料，請參閱下列公告：

高 CVE-2022-20409

GCP-2022-021

發布日期：2022 年 10 月 27 日

更新日期：2023 年 1 月 19 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：說明預設設定中的 GKE Autopilot 叢集不受影響。

2023 年 1 月 19 日更新：新增 GKE 1.21.14-gke.14100 版的相關資訊。

2022 年 12 月 15 日更新：更新資訊，指出 Google Kubernetes Engine 1.21.14-gke.9400 版尚未推出，且可能由更高版本取代。

2022 年 11 月 22 日更新：新增 GKE on VMware、GKE on AWS 和 GKE on Azure 的修補程式版本。

Linux 核心中發現新的安全漏洞 CVE-2022-3176，可能導致本機提權。這項安全漏洞可讓未經授權的使用者完全突破容器，取得節點的根權限。

如需操作說明和更多詳細資料，請參閱下列公告：

高 CVE-2022-3176

GCP-2022-020

發布日期：2022 年 10 月 5 日

更新時間：2022 年 10 月 12 日

說明

說明 嚴重性 附註

Istio 控制層istiod容易發生要求處理錯誤，因此當叢集的驗證用 Webhook 公開時，惡意攻擊者可傳送特製訊息，導致控制層當機。這個端點是透過 TLS 通訊埠 15017 提供，但不需要攻擊者進行任何驗證。

如需操作說明和詳細資料，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2022-39278

GCP-2022-019

發布日期：2022 年 9 月 22 日

說明

說明 嚴重性 附註

ProtocolBuffer 的 C++ 和 Python 實作項目存在訊息剖析和記憶體管理安全漏洞，在處理特製訊息時可能會觸發記憶體不足 (OOM) 錯誤。這可能會導致使用程式庫的服務發生阻斷攻擊 (DoS)。

該怎麼辦？

請確認您使用的是下列軟體套件的最新版本：

  • protobuf-cpp (3.18.3、3.19.5、3.20.2、3.21.6)
  • protobuf-python (3.18.3、3.19.5、3.20.2、4.21.6)

這個修補程式修正了哪些安全漏洞？

這個修補程式可有效降低下列安全漏洞的風險：

這類訊息經過特別建構，會導致執行中的服務分配大量 RAM。由於要求的大小很小，因此很容易利用安全漏洞並耗盡資源。如果 C++ 和 Python 系統使用的不受信任 protobuf 在 RPC 要求中包含 MessageSet 物件，就可能遭受阻斷服務攻擊。

 中 CVE-2022-1941

GCP-2022-018

發布日期：2022-08-01

更新日期：2022 年 9 月 14 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023 年 12 月 21 日更新：釐清預設設定的 GKE Autopilot 叢集不受影響。

2022-09-14 更新：新增 GKE on VMware、GKE on AWS 和 GKE on Azure 的修補程式版本。

Linux 核心中發現新的安全漏洞 (CVE-2022-2327)，可能導致本機權限提升。這項安全漏洞可讓不具權限的使用者完全突破容器，取得節點的根層級權限。

如需操作說明和更多詳細資料，請參閱下列公告：

高 CVE-2022-2327

GCP-2022-017

發布日期：2022 年 6 月 29 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：使用 GKE Sandbox 的工作負載不會受到這些安全漏洞影響。

2022 年 7 月 21 日更新：新增 GKE on VMware 的相關資訊。

Linux 核心版本 5.10 和 5.11 版發現新的安全漏洞 (CVE-2022-1786)。這項安全漏洞可讓具備叢集本機存取權的非特殊權限使用者，在節點上取得完整的容器突破至根層級。只有執行 Container-Optimized OS 的叢集會受到影響。GKE Ubuntu 版本使用 5.4 或 5.15 版核心，因此不受影響。

如需操作說明和詳細資訊，請參閱：

 高 CVE-2022-1786

GCP-2022-016

發布日期：2022 年 6 月 23 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：Autopilot 叢集不受 CVE-2022-29581 影響，但容易受到 CVE-2022-29582 和 CVE-2022-1116 影響。

Linux 核心中發現了三項新的記憶體損毀漏洞 (CVE-2022-29581、CVE-2022-29582、CVE-2022-1116)。這些漏洞會讓沒有權限的使用者在本機存取叢集，進而完全突破容器限制，取得節點的根層級存取權。所有 Linux 叢集 (Container-Optimized OS 和 Ubuntu) 都會受到影響。

如需操作說明和詳細資訊，請參閱下列公告：

 高

GCP-2022-015

發布日期：2022 年 6 月 9 日
更新日期：2022 年 6 月 10 日

說明

說明 嚴重性 附註

2022 年 6 月 10 日更新：Cloud Service Mesh 版本已更新。如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

下列 Envoy 和 Istio CVE 會讓 GKE 上的 Cloud Service Mesh 和 Istio 暴露於可從遠端利用的安全漏洞：

  • CVE-2022-31045：啟用中繼資料交換和統計資料擴充功能時，Istio 資料平面可能會以不安全的方式存取記憶體。
  • CVE-2022-29225：如果惡意攻擊者傳遞小型高壓縮比的酬載 (ZIP 炸彈攻擊)，資料可能會超過中繼緩衝區限制。
  • CVE-2021-29224：GrpcHealthCheckerImpl 中可能存在空指標參照。
  • CVE-2021-29226：OAuth 篩選器允許簡單的繞過行為。
  • CVE-2022-29228：OAuth 篩選器可能會損毀記憶體 (舊版) 或觸發 ASSERT() (新版)。
  • CVE-2022-29227：如果要求含有主體或尾部，內部重新導向會導致當機。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 重大

GCP-2022-014

發布日期：2022 年 4 月 26 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：在 GKE Sandbox 中執行的 GKE Autopilot 叢集和工作負載不受影響。

2022-05-12 更新：GKE on AWS 和 GKE on Azure 版本已更新。如需操作說明和詳細資訊，請參閱：

Linux 核心中發現了兩個安全漏洞，分別是 CVE-2022-1055 和 CVE-2022-27666。每項漏洞都可能讓本機攻擊者突破容器、在主機上提權，或兩者兼具。這些安全漏洞會影響所有 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu)。 如需操作說明和詳細資訊，請參閱下列安全性公告：

高 CVE-2022-1055
CVE-2022-27666

GCP-2022-013

發布日期：2022 年 4 月 11 日
更新日期：2022 年 4 月 22 日

說明

說明 嚴重性 附註

我們發現 containerd 在處理 OCI 映像檔磁碟區規格中的路徑遍歷時，存在安全漏洞 CVE-2022-23648。如果容器是透過 containerd 的 CRI 實作項目啟動，且映像檔設定經過特別設計，則可取得主機上任意檔案和目錄的完整讀取權限。這項安全漏洞可能會略過容器設定中任何以政策為基礎的強制執行措施 (包括 Kubernetes Pod 安全性政策)。

如需操作說明和更多詳細資料，請參閱下列安全性公告：

中 CVE-2022-23648

GCP-2022-012

發布日期：2022 年 4 月 7 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：無論是 Standard 還是 Autopilot 模式，使用 GKE Sandbox 的工作負載都不會受到影響。

Linux 核心版本 5.8 以上版本發現安全漏洞 CVE-2022-0847，可能導致容器權限提升至 root。這個安全漏洞會影響下列產品：

  • 使用 Container-Optimized OS 映像檔 (Container-Optimized OS 93 以上版本) 的 GKE 節點集區 1.22 以上版本
  • 適用於 Container-Optimized OS 映像檔的 VMware 中 GKE 1.10 版
  • GKE on AWS 1.21 版和 GKE on AWS (上一代) 1.19、1.20、1.21 版，使用 Ubuntu
  • 使用 Ubuntu 的 Azure 中 GKE v1.21 受管理叢集

如需操作說明和更多詳細資料，請參閱下列安全性公告：

高 CVE-2022-0847

GCP-2022-011

發布日期：2022 年 3 月 22 日
更新日期：2022 年 8 月 11 日

說明

說明 嚴重性

2022 年 8 月 11 日更新：新增多執行緒並行 (SMT) 設定的詳細資訊。SMT 原本應停用，但在列出的版本中啟用。

如果您手動為沙箱節點集區啟用 SMT，即使發生這個問題，SMT 仍會保持手動啟用狀態。

GKE Sandbox 映像檔的多執行緒並行 (SMT，又稱超執行緒) 設定有誤。設定錯誤可能會導致節點暴露於旁路攻擊，例如微架構資料取樣 (MDS) (詳情請參閱 GKE Sandbox 說明文件)。不建議使用下列受影響的版本：

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

如需操作說明和更多詳細資料，請參閱 GKE 安全性公告。

 中

GCP-2022-010

說明

說明 嚴重性 附註

下列 Istio CVE 會使 Cloud Service Mesh 暴露於可遠端利用的安全漏洞：

  • CVE-2022-24726：Istio 控制層「istiod」容易發生要求處理錯誤，如果叢集的驗證用 Webhook 公開，惡意攻擊者就能傳送特製訊息，導致控制層當機。這個端點是透過 TLS 埠 15017 提供服務，但不需要攻擊者進行任何驗證。

如需操作說明和詳細資訊，請參閱下列安全性公告：

高

GCP-2022-009

發布日期：2022-03-01

說明

說明 嚴重性

在 GKE Autopilot 叢集上，部分非預期的節點 VM 存取路徑可能遭到濫用，導致叢集中的權限遭到提升。這些問題現已修正，您無須採取進一步行動。這些修正項目可解決透過安全漏洞檢舉計畫回報的問題。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告

 低

GCP-2022-008

發布日期：2022 年 2 月 23 日
更新日期：2022 年 4 月 28 日

說明

說明 嚴重性 附註

2022-04-28 更新： 新增已修正這些安全漏洞的 GKE on VMware 版本。詳情請參閱 GKE on VMware 安全性公告。

Envoy 專案最近發現了一組安全漏洞。下列所有問題均已在 Envoy 1.21.1 版中修正。
  • CVE-2022-23606：透過叢集探索服務 (CDS) 刪除叢集時，系統會中斷與該叢集端點建立的所有閒置連線。Envoy 1.19 版在斷開閒置連線的程序中誤引入遞迴，當叢集有大量閒置連線時，可能會導致堆疊耗盡和程序異常終止。
  • CVE-2022-21655： Envoy 的內部重新導向程式碼會假設有路由項目存在。如果內部重新導向至具有直接回應項目且沒有路徑項目的路徑，就會導致取消參照空值指標並當機。
  • CVE-2021-43826：如果 Envoy 設為使用 tcp_proxy (採用上游通道 (透過 HTTP) 和下游 TLS 終止)，當下游用戶端在上游 HTTP 串流建立期間，於 TLS 握手時中斷連線，Envoy 就會停止運作。下游中斷連線可由用戶端或伺服器啟動。用戶端可能因任何原因中斷連線。舉例來說，如果伺服器沒有與用戶端相容的 TLS 加密套件或 TLS 通訊協定版本，就可能中斷連線。在其他下游設定中，也可能觸發這項當機問題。
  • CVE-2021-43825：傳送本機產生的回應時，必須停止進一步處理要求或回應資料。Envoy 會追蹤緩衝處理的要求和回應資料量，如果緩衝處理的資料量超過限制，就會傳送 413 或 500 回應，並取消要求。不過，如果因為回應由篩選器鏈處理時發生內部緩衝區溢位，而傳送本機產生的回應，作業可能無法正確中止，導致存取已釋放的記憶體區塊。
  • CVE-2021-43824：使用 JWT 篩選器搭配「safe_regex」比對規則和特別設計的要求 (例如「CONNECT host:port HTTP/1.1」) 時，Envoy 會當機。到達 JWT 篩選器時，「safe_regex」規則應評估網址路徑，但這裡沒有，Envoy 發生區段錯誤而當機。
  • CVE-2022-21654：Envoy 會在 mTLS 驗證設定重新設定後，錯誤地允許 TLS 工作階段繼續。如果舊設定允許使用用戶端憑證，但新設定不允許，即使目前的設定應禁止使用，用戶端仍可繼續先前的 TLS 工作階段。以下設定的變更會受到影響：
    • match_subject_alt_names
    • CRL 變更
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657： 無論是 TLS 用戶端或 TLS 伺服器，Envoy 都不會限制從對等互連接受的憑證集，只接受包含必要 extendedKeyUsage (分別為 id-kp-serverAuth 和 id-kp-clientAuth) 的憑證。這表示對等互連可能會提供電子郵件憑證 (例如 id-kp-emailProtection)，無論是分葉憑證或鏈結中的 CA，TLS 都會接受。如果與 CVE-2022-21656 結合，情況會特別糟糕，因為這會允許僅用於 S/MIME 的 Web PKI CA (因此免於稽核或監督) 核發 Envoy 接受的 TLS 憑證。
  • CVE-2022-21656： 用於實作預設憑證驗證常式的驗證器實作項目，在處理 subjectAltNames 時有「型別混淆」錯誤。舉例來說，這項處理程序可讓 rfc822Name 或 uniformResourceIndicator 驗證為網域名稱。這種混淆情況會導致系統略過 nameConstraints，因為基礎的 OpenSSL/BoringSSL 實作會處理這些項目，進而可能冒用任意伺服器。
如需特定產品的詳細操作說明，請參閱下列安全性公告：
我該怎麼做？
如果 Envoy 使用者管理自己的 Envoy，請務必使用 Envoy 1.21.1 版。管理自有 Envoy 的使用者會從 GitHub 等來源建構二進位檔，然後部署這些檔案。

如果使用者執行的是代管 Envoy (Google Cloud 提供 Envoy 二進位檔)，則不需採取任何行動， Google Cloud 產品會切換至 1.21.1。 		高 CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654
CVE-2022-21657
CVE-2022-21656

GCP-2022-007

發布日期：2022 年 2 月 22 日

說明

說明 嚴重性 附註

下列 Envoy 和 Istio CVE 會讓 Cloud Service Mesh 和 GKE 上的 Istio 暴露於可遠端利用的安全漏洞：

  • CVE-2022-23635：Istiod 收到含有特別設計的 authorization 標頭要求時會當機。
  • CVE-2021-43824：使用 JWT 篩選器 safe_regex 比對時，可能發生空指標取消參照
  • CVE-2021-43825：當回應篩選器增加回應資料，且增加的資料超出下游緩衝區限制時，會發生釋放後使用 (use-after-free) 的情況。
  • CVE-2021-43826：透過 HTTP 建立 TCP 通道時，如果上游連線建立期間下游中斷連線，就會發生釋放後使用 (use-after-free) 的情況。
  • CVE-2022-21654：設定處理不正確，導致 mTLS 工作階段在驗證設定變更後，不需重新驗證即可重複使用。
  • CVE-2022-21655：不正確處理內部重新導向至具有直接回應項目的路徑。
  • CVE-2022-23606：透過叢集探索服務刪除叢集時，堆疊耗盡。

如需操作說明和更多詳細資料，請參閱下列安全性公告：

 高

GCP-2022-006

發布日期：2022 年 2 月 14 日
更新日期：2022 年 5 月 16 日

說明

說明 嚴重性 附註

2022-05-16 更新：GKE 1.19.16-gke.7800 以上版本已新增至含有程式碼的版本清單，可修正這項安全漏洞。詳情請參閱 GKE 安全性公告。

2022-05-12 更新：GKE、GKE on VMware、GKE on AWS 和 GKE on Azure 版本已更新。如需操作說明和詳細資訊，請參閱：

Linux 核心的 cgroup_release_agent_write 函式中發現安全漏洞 CVE-2022-0492。這項攻擊會使用無權限的使用者命名空間，在特定情況下，這項安全漏洞可能會遭到利用，導致容器中斷。

 低

如需操作說明和詳細資訊，請參閱：

GCP-2022-005

發布日期：2022 年 2 月 11 日
更新日期：2022 年 2 月 15 日

說明

說明 嚴重性 附註

我們發現，如果二進位檔連結至 NSS (網路安全服務) 3.73 或 3.68.1 之前的版本，就會出現安全漏洞 (CVE-2021-43527)。如果應用程式使用 NSS 驗證憑證，或使用其他 TLS、X.509、OCSP 或 CRL 功能，可能會受到影響，具體取決於 NSS 的使用/設定方式。

如需操作說明和詳細資訊，請參閱：

 中 CVE-2021-43527

GCP-2022-004

發布日期：2022 年 2 月 4 日

說明

說明 嚴重性 附註

pkexec (Linux 政策套件 (polkit) 的一部分) 發現安全漏洞 CVE-2021-4034，可讓通過驗證的使用者執行提權攻擊。PolicyKit 通常只用於 Linux 桌面系統，可讓非超級使用者根據政策執行重新啟動系統、安裝套件、重新啟動服務等動作。

如需操作說明和詳細資訊，請參閱：

 無 CVE-2021-4034

GCP-2022-002

發布日期：2022 年 2 月 1 日
更新日期：2022 年 2 月 25 日

說明

說明 嚴重性 附註

2022-02-25 更新：GKE 版本已更新。如需操作說明和詳細資訊，請參閱：

2022-02-23 更新： GKE 和 GKE on VMware 版本已更新。如需操作說明和詳細資訊，請參閱：

2022-02-04 更新：GKE 修補程式版本的推出開始日期為 2 月 2 日。

Linux 核心中發現三個安全漏洞：CVE-2021-4154、CVE-2021-22600 和 CVE-2022-0185，每個漏洞都可能導致容器突破、主機提權，或兩者兼有。這些安全漏洞會影響 GKE、GKE on VMware、GKE on AWS (目前和上一代) 和 GKE on Azure 上的所有節點作業系統 (COS 和 Ubuntu)。使用 GKE Sandbox 的 Pod 不會受到這些安全漏洞影響。詳情請參閱 COS 版本資訊。

如需操作說明和更多詳細資料，請參閱：

 高

GCP-2022-001

發布日期：2022 年 1 月 6 日

說明

說明 嚴重性 附註

在二進位資料的剖析程序中，發現 protobuf-java 可能有阻斷攻擊問題。

我該怎麼做？

請確認您使用的是下列軟體套件的最新版本：

  • protobuf-java (3.16.1、3.18.2、3.19.2)
  • protobuf-kotlin (3.18.2、3.19.2)
  • google-protobuf [JRuby gem] (3.19.2)

Protobuf「javalite」使用者 (通常是 Android) 不受影響。

這個修補程式修正了哪些安全漏洞？

這個修補程式可有效降低下列安全漏洞的風險：

Java 剖析不明欄位的方式存在實作弱點。惡意酬載 (約 800 KB) 會建立大量存留時間短暫的物件，導致頻繁重複的垃圾收集暫停，使剖析器佔用數分鐘。

 高 CVE-2021-22569

GCP-2021-024

發布日期：2021 年 10 月 21 日

說明

說明 嚴重性 附註

Kubernetes ingress-nginx 控制器中發現安全性問題 CVE-2021-25742。Ingress-nginx 自訂程式碼片段可讓您在所有命名空間中，擷取 ingress-nginx 服務帳戶權杖和密鑰。

如需操作說明和詳細資訊，請參閱：

無 CVE-2021-25742

GCP-2021-019

發布日期：2021 年 9 月 29 日

說明

說明 嚴重性 附註

目前已知，使用 v1beta1 API 更新 BackendConfig 資源時，會從服務中移除有效的 Google Cloud Armor 安全性政策。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

 低

GCP-2021-022

發布日期：2021 年 9 月 22 日

說明

說明 嚴重性 附註

我們發現 GKE Enterprise Identity Service (AIS) LDAP 模組存在安全漏洞，在 GKE on VMware 1.8 和 1.8.1 版中，用於產生金鑰的種子金鑰可預測。這項安全漏洞可讓通過驗證的使用者新增任意要求，並無限期提高權限。

如需操作說明和更多詳細資料，請參閱 GKE on VMware 安全性公告。

 高

GCP-2021-021

發布日期：2021 年 9 月 22 日

說明

說明 嚴重性 附註

Kubernetes 發現安全漏洞 CVE-2020-8561，特定 Webhook 可能會將 kube-apiserver 要求重新導向至該 API 伺服器的私人網路。

如需操作說明和詳細資訊，請參閱：

 中 CVE-2020-8561

GCP-2021-023

發布日期：2021 年 9 月 21 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0020，VMware 已收到 vCenter 中多個安全漏洞的報告。VMware 已提供更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性諮詢，將 VMware 提供的 vSphere 堆疊修補程式套用至 Google Cloud VMware Engine。本次更新修正了 CVE-2021-22005、CVE-2021-22006、CVE-2021-22007、CVE-2021-22008 和 CVE-2021-22010 中所述的安全漏洞。其他非重大安全性問題將在即將進行的 VMware 堆疊升級中解決 (如 7 月發送的預先通知所述，我們將盡快提供升級的具體時間表)。

VMware Engine 的影響

根據我們的調查結果，沒有任何客戶受到影響。

該怎麼辦？

VMware Engine 叢集不受這個安全漏洞影響，因此您不必採取進一步行動。

 重大

GCP-2021-020

發布日期：2021 年 9 月 17 日

說明

說明 嚴重性 附註

在特定情況下，某些 Google Cloud 負載平衡器在轉送至已啟用 Identity-Aware Proxy (IAP) 的後端服務時，可能會受到不受信任的第三方攻擊。這項更新解決了透過安全漏洞檢舉計畫回報的問題。

條件是伺服器：
  • HTTP(S) 負載平衡器和
  • 使用預設後端或具有萬用字元主機對應規則 (即 host="*") 的後端

此外，貴機構使用者必須點選不受信任方傳送的特製連結。

這項問題現已解決。自 2021 年 9 月 17 日起，IAP 已更新為僅向授權主機核發 Cookie。如果主機符合負載平衡器上安裝的其中一個憑證中，至少一個主體別名 (SAN)，即視為已授權。

建議行動

部分使用者在嘗試存取應用程式或服務時，可能會收到 HTTP 401 未授權回應，並顯示 IAP 錯誤代碼 52。這個錯誤代碼表示用戶端傳送的 Host 標頭，與負載平衡器 SSL 憑證相關聯的任何主體別名都不相符。負載平衡器管理員必須更新 SSL 憑證，確保主體別名 (SAN) 清單包含使用者存取 IAP 保護應用程式或服務時，所用的所有主機名稱。進一步瞭解 IAP 錯誤代碼。

高

GCP-2021-018

發布日期：2021 年 9 月 15 日
更新日期：2021 年 9 月 20 日

說明

說明 嚴重性 附註

Kubernetes 發現一項安全性問題 (CVE-2021-25741)，使用者可能可以建立具有子路徑磁碟區掛接的容器，藉此存取磁碟區以外的檔案和目錄，包括主機檔案系統上的檔案和目錄。

如需操作說明和詳細資訊，請參閱：

 高 CVE-2021-25741

GCP-2021-017

發布日期：2021-09-01
更新日期：2021-09-23

說明

說明 嚴重性 附註

2021 年 9 月 23 日更新： 在 GKE Sandbox 中執行的容器不會受到此安全漏洞影響，因此不會遭到容器內部發起的攻擊。

Linux 核心中發現兩個安全漏洞 (CVE-2021-33909 和 CVE-2021-33910)，可能導致 OS 停止運作，或讓不具權限的使用者將權限提升至 root。這個安全漏洞會影響所有 GKE 節點作業系統 (COS 和 Ubuntu)。

如需操作說明和詳細資訊，請參閱下列安全性公告：

高 CVE-2021-33909、 CVE-2021-33910

GCP-2021-016

發布日期：2021-08-24

說明

說明 嚴重性 附註

下列 Envoy 和 Istio CVE 會讓 GKE 上的 Cloud Service Mesh 和 Istio 暴露於可從遠端利用的安全漏洞：

  • CVE-2021-39156：如果 HTTP 要求的 URI 路徑含有片段 (URI 結尾以 # 字元開頭的部分)，可能會略過 Istio 的 URI 路徑授權政策。
  • CVE-2021-39155：使用以 hosts 或 notHosts 為基礎的規則時，HTTP 要求可能會略過 Istio 授權政策。
  • CVE-2021-32781：影響 Envoy 的 decompressor、json-transcoder 或 grpc-web 擴充功能，或修改及增加要求或回應主體大小的專有擴充功能。如果修改 Envoy 擴充功能中的主體，並將大小增加到超過內部緩衝區空間，Envoy 可能會存取已取消分配的記憶體，並異常終止。
  • CVE-2021-32780：不受信任的上游服務可能會傳送 GOAWAY 框架，接著傳送 SETTINGS 框架，並將 SETTINGS_MAX_CONCURRENT_STREAMS 參數設為 0，導致 Envoy 異常終止。(不適用於 Istio on GKE)
  • CVE-2021-32778：Envoy 用戶端開啟並重設大量 HTTP/2 要求，可能導致 CPU 消耗過多。(不適用於 Istio on GKE)
  • CVE-2021-32777：使用 ext_authz 擴充功能時，具有多個值標頭的 HTTP 要求可能會執行不完整的授權政策檢查。

如需操作說明和更多詳細資料，請參閱下列安全性公告：

高

GCP-2021-015

發布日期：2021 年 7 月 13 日
更新日期：2021 年 7 月 15 日

說明

說明 嚴重性 附註

我們發現了新的安全漏洞 CVE-2021-22555，具有 CAP_NET_ADMIN 權限的惡意行為人可能會導致容器突破至主機上的根層級。這個安全漏洞會影響所有 GKE 叢集，以及執行 Linux 2.6.19 以上版本的 GKE on VMware。

如需操作說明和更多詳細資料，請參閱下列安全性公告：

高 CVE-2021-22555

GCP-2021-014

發布日期：2021-07-05

說明

說明 嚴重性 附註

Microsoft 發布了安全公告，說明 Windows 伺服器列印多工緩衝區中存在遠端程式碼執行 (RCE) 安全漏洞 (CVE-2021-34527)。CERT 協調中心 (CERT/CC) 發布了相關安全漏洞的更新附註，稱為「PrintNightmare」，這也會影響 Windows 列印多工緩衝處理器 - PrintNightmare，重大 Windows 列印多工緩衝處理器安全漏洞

如需操作說明和更多詳細資料，請參閱 GKE 安全性公告。

高 CVE-2021-34527

GCP-2021-012

發布日期：2021 年 6 月 24 日
更新日期：2021 年 7 月 9 日

說明

說明 嚴重性 附註

Istio 專案最近宣布一項安全漏洞，指出在 Gateway 和 DestinationRule credentialName 欄位中指定的憑證可從不同的命名空間存取。

如需產品專屬的操作說明和詳細資料，請參閱：

 高 CVE-2021-34824

GCP-2021-011

發布日期：2021-06-04
更新日期：2021-10-19

說明

說明 嚴重性 附註

2021 年 10 月 19 日更新：

如需操作說明和更多詳細資料，請參閱下列安全性公告：

資安社群最近揭露了在 runc 中發現的新安全漏洞 (CVE-2021-30465)，這個漏洞可能會讓攻擊者取得節點檔案系統的完整存取權。

在 GKE 中，攻擊者必須具備建立 Pod 的能力，才能利用這個安全漏洞，因此我們將這個安全漏洞的嚴重程度評定為「中等」。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

 中 CVE-2021-30465

GCP-2021-010

發布日期：2021 年 5 月 25 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0010，vSphere Client (HTML5) 中的遠端程式碼執行和驗證略過安全漏洞，已私下回報給 VMware。VMware 已提供更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性公告，為 vSphere 堆疊套用 VMware 提供的修補程式。本次更新修正了 CVE-2021-21985 和 CVE-2021-21986 中所述的安全漏洞。目前，VMware Engine 私有雲中執行的映像檔版本不會反映任何變更，因此無法指出已套用的修補程式。請放心，我們已安裝適當的修補程式，您的環境不會受到這些安全漏洞影響。

VMware Engine 的影響

根據調查結果，沒有任何客戶受到影響。

該怎麼辦？

由於 VMware Engine 叢集不會受到這項安全漏洞影響，因此您不必採取進一步行動。

 重大

GCP-2021-008

發布日期：2021 年 5 月 17 日

說明

說明 嚴重性 附註

Istio 含有可從遠端入侵的漏洞。如果閘道採用 AUTO_PASSTHROUGH 轉送設定，外部用戶端就能略過授權檢查，存取叢集中的非預期服務。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高

 CVE-2021-31921

GCP-2021-007

發布日期：2021 年 5 月 17 日

說明

說明 嚴重性 附註

Istio 含有可從遠端入侵的漏洞，如果 HTTP 要求路徑含有多個斜線或逸出斜線字元 (%2F 或 %5C)，則在使用路徑型授權規則時，可能會略過 Istio 授權政策。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高

 CVE-2021-31920

GCP-2021-006

發布日期：2021-05-11

說明

說明 嚴重性 附註

Istio 專案最近揭露了影響 Istio 的新安全漏洞 (CVE-2021-31920)。

Istio 含有可遠端利用的安全漏洞，當使用以路徑為準的授權規則時，含有多個斜線或逸出斜線字元的 HTTP 要求可能會略過 Istio 授權政策。

如需操作說明和更多詳細資料，請參閱：

高

 CVE-2021-31920

GCP-2021-005

發布日期：2021-05-11

說明

說明 嚴重性 附註

根據回報的安全性弱點，在 Envoy 1.18.2 版和更早版本中，Envoy 不會解碼 HTTP 網址路徑中的逸出斜線序列 %2F 和 %5C。此外，部分以 Envoy 為基礎的產品不會啟用路徑正規化控制項。遠端攻擊者可能會使用逸出斜線 (例如 /something%2F..%2Fadmin,) 建立路徑，藉此規避存取控管 (例如封鎖 /admin)。後端伺服器可能會解碼斜線序列並正規化路徑，讓攻擊者取得存取控管政策範圍以外的存取權。

該怎麼辦？

如果後端伺服器會交替使用 / 和 %2F，或 \ 和 %5C，且您已設定以網址路徑為依據的比對，建議您重新設定後端伺服器，不要交替使用 \ 和 %2F，或 \ 和 %5C (如果可行)。

導入了哪些行為變更？

啟用 Envoy 的 normalize_path 和合併相鄰斜線選項，解決 Envoy 產品中其他常見的路徑混淆安全漏洞。

高

 CVE-2021-29492

GCP-2021-004

發布日期：2021-05-06

說明

說明 嚴重性 附註

Envoy 和 Istio 專案最近宣布發現多個新的安全漏洞 (CVE-2021-28683、CVE-2021-28682 和 CVE-2021-29258)，攻擊者可能利用這些漏洞導致 Envoy 停止運作。

Google Kubernetes Engine 叢集預設不會執行 Istio，因此不會受到影響。 如果叢集已安裝 Istio，並設定將服務公開至網際網路，這些服務可能會受到阻斷服務攻擊。

Google Distributed Cloud Virtual for Bare Metal 和 GKE on VMware 預設會使用 Envoy 處理 Ingress，因此 Ingress 服務可能容易受到阻斷服務攻擊。

如需操作說明和更多詳細資料，請參閱下列安全性公告：

中

GCP-2021-003

發布日期：2021 年 4 月 19 日

說明

說明 嚴重性 附註

Kubernetes 專案最近 宣布了一項新的安全性漏洞 ( CVE-2021-25735)，可能導致節點更新略過驗證 Admission Webhook。

如果攻擊者擁有足夠的權限，且實作的驗證許可控制器使用舊版 Node 物件屬性 (例如 Node.NodeSpec 中的欄位)，攻擊者就能更新節點的屬性，進而導致叢集遭到入侵。GKE 和 Kubernetes 內建許可控制器強制執行的政策都不會受到影響，但建議客戶檢查已安裝的其他許可 Webhook。

如需操作說明和詳細資訊，請參閱下列安全性公告：

中

CVE-2021-25735

GCP-2021-002

發布日期：2021 年 3 月 5 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0002，VMware 接獲多份報告，指出 VMware ESXi 和 vSphere Client (HTML5) 存在多個安全漏洞。VMware 已發布更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性諮詢，為 vSphere 堆疊套用官方記錄的解決方法。這項更新解決了 CVE-2021-21972、CVE-2021-21973 和 CVE-2021-21974 中所述的安全漏洞。

VMware Engine 影響

根據調查結果，沒有任何客戶受到影響。

該怎麼辦？

由於 VMware Engine 叢集不受這項安全漏洞影響，因此您不必採取進一步行動。

 重大

GCP-2021-001

發布日期：2021 年 1 月 28 日

說明

說明 嚴重性 附註

最近我們在 Linux 公用程式 sudo 中發現一個漏洞 (如 CVE-2021-3156 所述)，如果系統已安裝 sudo，攻擊者可能就能透過未授權的本機殼層存取權，將自己的權限提升為系統的根層級。

執行 Compute Engine 的基礎架構不受這個安全漏洞影響。

所有 Google Kubernetes Engine (GKE)、GKE on VMware、GKE on AWS 和 Google Distributed Cloud Virtual for Bare Metal 叢集都不會受到這項安全漏洞影響。

如需操作說明和詳細資訊，請參閱下列安全性公告：

 無 CVE-2021-3156

GCP-2020-015

發布日期：2020-12-07
更新日期：2020-12-22

說明

說明 嚴重性 附註

更新日期：2021-12-22 下一節中的 GKE 指令應使用 gcloud beta，而非 gcloud 指令。

gcloud container clusters update –no-enable-service-externalips
更新日期：2021 年 12 月 15 日 GKE 現已提供下列緩解措施：
  1. 從 GKE 1.21 版開始，系統會預設為新叢集啟用DenyServiceExternalIPs准入控制器，禁止服務使用 ExternalIP。
  2. 升級至 GKE 1.21 版的客戶可以使用下列指令，封鎖含有 ExternalIP 的服務：
    gcloud container clusters update –no-enable-service-externalips

詳情請參閱「 強化叢集安全性」。

Kubernetes 專案最近發現新的安全性漏洞 CVE-2020-8554，攻擊者可能藉此取得權限，建立 LoadBalancer 或 ClusterIP 類型的 Kubernetes 服務，攔截叢集中其他 Pod 的網路流量。這項安全漏洞本身不會授予攻擊者建立 Kubernetes Service 的權限。

所有 Google Kubernetes Engine (GKE)、GKE on VMware 和 GKE on AWS 叢集都會受到這項安全漏洞影響。

該怎麼辦？

如需操作說明和詳細資訊，請參閱：

中

 CVE-2020-8554

GCP-2020-014

發布日期：2020 年 10 月 20 日
更新日期：2020 年 10 月 20 日

說明

說明 嚴重性 附註

Kubernetes 專案最近發現多個問題，可能會在啟用詳細記錄選項時，導致機密資料外洩。問題如下：

  • CVE-2020-8563：vSphere Provider kube-controller-manager 的記錄檔中出現 Secret 外洩問題
  • CVE-2020-8564：檔案格式不正確且 loglevel >= 4 時，Docker 設定密鑰會外洩
  • CVE-2020-8565：Kubernetes 中 CVE-2019-11250 的修正不完整，導致當 logLevel >= 9 時，記錄檔中會出現權杖外洩問題。由 GKE 安全防護機制發現。
  • CVE-2020-8566：當記錄層級 >= 4 時，記錄中會顯示 Ceph RBD adminSecrets

該怎麼辦？

由於 GKE 預設的詳細程度記錄層級，您不需要採取進一步行動。

無

Google Cloud 影響

各項產品的詳細資訊如下。

產品

影響

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) 不受影響。

GKE On-Prem

GKE On-Prem 不受影響。

GKE on AWS

GKE on AWS 不受影響。

GCP-2020-013

發布日期：2020-09-29

說明

Microsoft 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-1472：Windows Server 中的安全漏洞，可讓攻擊者使用 Netlogon 遠端通訊協定，在網路上的裝置執行特製應用程式。

NVD 基礎分數：10 分 (重大)

CVE-2020-1472

詳情請參閱「Microsoft 揭露事項」。

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構不受這個安全漏洞影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2020-1472

大多數客戶不需採取進一步行動。

如果客戶使用的 Compute Engine 虛擬機器執行 Windows Server，應確保執行個體已更新至最新的 Windows 修補程式，或使用 2020 年 8 月 17 日後發布的 Windows Server 映像檔 (v20200813 以上版本)。

Google Kubernetes Engine

CVE-2020-1472

大多數客戶不需採取進一步行動。

如果客戶在 GKE Windows Server 節點中託管網域控制器，應確保節點和在這些節點上執行的容器化工作負載，都使用最新的 Windows 節點映像檔 (如有)。我們將在 10 月的 GKE 版本資訊中，宣布新的節點映像檔版本。

Managed Service for Microsoft Active Directory

CVE-2020-1472

大多數客戶不需採取進一步行動。

Microsoft 於 8 月發布的修補程式包含 NetLogon 通訊協定的修正程式，已套用至所有 Managed Microsoft AD 網域控制器。這個修補程式提供的功能可防範潛在漏洞。及時套用修補程式是使用 Managed Service for Microsoft Active Directory 的主要優勢之一。凡是手動執行 Microsoft Active Directory (且未使用 Google Cloud 代管服務) 的客戶，都應確保執行個體已安裝最新 Windows 修補程式，或使用 Windows Server 映像檔。

Google Workspace

客戶無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

App Engine 標準環境

顧客無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 彈性環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run functions

客戶無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Managed Service for Apache Airflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Dataflow

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Managed Service for Apache Spark

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Cloud SQL

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

GCP-2020-012

發布日期：2020-09-14
更新日期：2020-09-17

說明

說明 嚴重性 附註

最近在 Linux 核心中發現安全漏洞 (如 CVE-2020-14386 所述)，可能導致容器跳脫，進而取得主機節點的根層級權限。

所有 GKE 節點都會受到影響。在 GKE Sandbox 中執行的 Pod 無法利用這項安全漏洞。

如需操作說明和詳細資訊，請參閱：


這個修補程式解決了哪些安全漏洞？

這個修補程式可減輕下列安全漏洞的影響：

安全漏洞 CVE-2020-14386，允許具有 CAP_NET_RAW
的容器寫入 1 到 10 個位元組的核心記憶體，並可能逸出容器，在主機節點上取得根權限。這個安全漏洞的嚴重程度為「高」。

高

CVE-2020-14386

GCP-2020-011

發布日期：2020-07-24

說明

說明 嚴重性 附註

Kubernetes 最近發現網路安全漏洞 CVE-2020-8558。有時，服務會使用本機迴路介面 (127.0.0.1)，與在相同 Pod 中執行的其他應用程式通訊。攻擊者只要能存取叢集網路，就能利用這項安全漏洞，將流量傳送至相鄰 Pod 和節點的回送介面。如果服務仰賴無法從 Pod 外部存取的回送介面，可能會遭到入侵。

如需操作說明和更多詳細資料，請參閱：

低 (GKE 和 GKE on AWS)、
中 (GKE on VMware)

CVE-2020-8558

GCP-2020-010

發布日期：2020-07-27

說明

Microsoft 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-1350：本機系統帳戶可利用做為 DNS 伺服器的 Windows Server 執行不受信任的程式碼。

NVD 基本分數：10.0 (重大)

CVE-2020-1350

詳情請參閱「Microsoft 揭露事項」。

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構不受這個安全漏洞影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2020-1350

大多數客戶不需採取進一步行動。

如果客戶使用 Compute Engine 虛擬機器，並以 DNS 伺服器身分執行 Windows Server，應確保執行個體已安裝最新 Windows 修補程式，或使用 2020 年 7 月 14 日後提供的 Windows Server 映像檔。

Google Kubernetes Engine

CVE-2020-1350

大多數客戶不需採取進一步行動。

如果客戶使用 GKE 搭配 Windows Server 節點做為 DNS 伺服器，則必須手動更新節點和在這些節點上執行的容器化工作負載，改用包含修正程式的 Windows Server 版本。

Managed Service for Microsoft Active Directory

CVE-2020-1350

大多數客戶無須採取進一步行動。

所有 Managed Microsoft AD 網域都已自動更新為修補後的映像檔。任何手動執行 Microsoft Active Directory (且未使用 Managed Microsoft AD) 的客戶，都應確保執行個體已安裝最新 Windows 修補程式，或使用 2020 年 7 月 14 日後提供的 Windows Server 映像檔。

Google Workspace

客戶無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

App Engine 標準環境

顧客無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 彈性環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run functions

客戶無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Managed Service for Apache Airflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Dataflow

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Managed Service for Apache Spark

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Cloud SQL

顧客無須採取任何行動。

這項服務不受這個安全漏洞影響。

GCP-2020-009

發布日期：2020 年 7 月 15 日

說明

說明 嚴重性 附註

最近在 Kubernetes 中發現提權漏洞 (CVE-2020-8559)。攻擊者只要入侵節點，就能利用這項安全漏洞，在叢集中的任何 Pod 執行指令。攻擊者因此可利用已遭入侵的節點，入侵其他節點，並可能讀取資訊或造成破壞性行為。

請注意，攻擊者必須先入侵叢集中的節點，才能利用這個安全漏洞。這項安全漏洞本身不會危害叢集中的任何節點。

如需操作說明和詳細資訊，請參閱：

中

CVE-2020-8559

GCP-2020-008

發布日期：2020-06-19

說明

說明 嚴重性 附註

說明

啟用 OS 登入功能的 VM 可能容易受到權限提升漏洞的影響。這些安全漏洞會讓獲得 OS 登入權限 (但未獲得管理員存取權) 的使用者，能夠將權限提升至 VM 中的根層級存取權。

如需操作說明和詳細資訊，請參閱 Compute Engine 安全性公告。

 高

GCP-2020-007

發布日期：2020-06-01

說明

說明 嚴重性 附註

最近在 Kubernetes 中發現伺服器端偽造要求 (SSRF) 安全漏洞 CVE-2020-8555。這項漏洞會讓某些授權使用者將機密資訊 (最多 500 個位元組) 從控制層主機網路外流出去。由於 Google Kubernetes Engine (GKE) 控制層使用 Kubernetes 中的控制器，因此會受到這個安全漏洞影響。建議您將控制層升級至最新修補程式版本。不需要升級節點。

如需操作說明和詳細資訊，請參閱：

中

CVE-2020-8555

GCP-2020-006

發布日期：2020 年 6 月 1 日

說明

說明 嚴重性 附註

Kubernetes 已揭露一項安全漏洞。這項漏洞會讓有權限的容器將節點流量重新導向至另一個容器。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。所有 Google Kubernetes Engine (GKE) 節點都會受到這項安全漏洞影響，建議您升級至最新修補程式版本。

如需操作說明和詳細資訊，請參閱：

中

Kubernetes 問題 91507

GCP-2020-005

發布日期：2020-05-07

說明

安全漏洞

嚴重性

CVE

Linux 核心最近發現了 CVE-2020-8835 中所述的安全漏洞，可讓容器跳脫，取得主機節點的根權限。

執行 GKE 1.16 或 1.17 的 Google Kubernetes Engine (GKE) Ubuntu 節點會受到這項安全漏洞影響，建議您盡快升級至最新修補程式版本。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

高

CVE-2020-8835

GCP-2020-004

發布日期：2020-03-31
更新日期：2020-03-31

說明

Kubernetes 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2019-11254：這項阻斷攻擊 (DoS) 安全漏洞會影響 API 伺服器。

中

CVE-2019-11254

如需操作說明和詳細資訊，請參閱 GKE on VMware 安全性公告。

GCP-2020-003

發布日期：2020-03-31
更新日期：2020-03-31

說明

Kubernetes 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2019-11254：這項阻斷攻擊 (DoS) 安全漏洞會影響 API 伺服器。

中

CVE-2019-11254

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

GCP-2020-002

發布日期：2020-03-23
更新日期：2020-03-23

說明

Kubernetes 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-8551： 這是會影響 kubelet 的阻斷攻擊 (DoS) 安全漏洞。

中

CVE-2020-8551

CVE-2020-8552：這項阻斷攻擊 (DoS) 安全漏洞會影響 API 伺服器。

中

CVE-2020-8552

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

GCP-2020-001

發布日期：2020-01-21
更新日期：2020-01-21

說明

Microsoft 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-0601：這項安全漏洞也稱為 Windows Crypto API 假冒漏洞。攻擊者可能會利用這項漏洞，讓惡意執行檔看起來值得信任，或發動中間人攻擊，並在使用者連線至受影響軟體時解密機密資訊。

NVD 基礎分數：8.1 (高)

CVE-2020-0601

詳情請參閱「Microsoft 揭露事項」。

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構不受這個安全漏洞影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2020-0601

大多數客戶不需採取進一步行動。

使用執行 Windows Server 的 Compute Engine 虛擬機器的客戶，應確保執行個體已安裝最新的 Windows 修補程式，或使用 2020 年 1 月 15 日後提供的 Windows Server 映像檔。詳情請參閱 Compute Engine 安全性公告。

Google Kubernetes Engine

CVE-2020-0601

大多數客戶不需採取進一步行動。

如果客戶使用 GKE 搭配 Windows Server 節點，就必須將節點和在這些節點上執行的容器化工作負載更新至修補版本，才能減輕這項安全漏洞的影響。 如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

Managed Service for Microsoft Active Directory

CVE-2020-0601

大多數客戶不需採取進一步行動。

所有 Managed Microsoft AD 網域都已自動更新為修補後的映像檔。任何手動執行 Microsoft Active Directory (且未使用 Managed Microsoft AD) 的客戶，都應確保執行個體已安裝最新 Windows 修補程式，或使用 2020 年 1 月 15 日後提供的 Windows Server 映像檔。

Google Workspace

客戶無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

App Engine 標準環境

顧客無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 彈性環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run functions

客戶無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Managed Service for Apache Airflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Dataflow

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Managed Service for Apache Spark

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

Cloud SQL

顧客無須採取任何行動。

這項服務不會受到這個安全漏洞影響。

GCP-2019-001

發布日期：2019 年 11 月 12 日
更新日期：2019 年 11 月 12 日

說明

Intel 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2019-11135：此安全漏洞稱為 TSX 非同步取消 (TAA)，可用於在 TSX 交易中濫用推測性執行功能。此安全漏洞可能會透過微架構資料取樣 (MDS) 曝露的相同微架構資料結構，使資料曝光。

中

CVE-2019-11135

CVE-2018-12207：這項阻斷攻擊 (DoS) 漏洞會影響虛擬機器主機 (而非訪客)。此問題稱為「變更頁面大小時發生機器檢查錯誤」(Machine Check Error on Page Size Change)。

中

CVE-2018-12207

詳情請參閱 Intel 揭露說明：

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構，不會受到這些安全漏洞的影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2019-11135

大部分的客戶無須採取其他動作。

在 Compute Engine 虛擬機器中，於自己的多用戶群服務內執行不受信任程式碼的 N2、C2 或 M2 客戶應先停止再啟動 VM，以確保 VM 具有最新的安全性緩解措施。

CVE-2018-12207

所有客戶均無須採取其他動作。

Google Kubernetes Engine

CVE-2019-11135

大部分的客戶無須採取其他動作。

如果您使用具有 N2、M2 或 C2 節點的節點集區，且這些節點在您自己的多用戶群 GKE 叢集中執行不受信任的程式碼，則應重新啟動節點。如要重新啟動節點集區中的所有節點，請升級受影響的集區。

CVE-2018-12207

所有客戶均無須採取其他動作。

App Engine 標準環境

無須採取其他動作。

App Engine 彈性環境

CVE-2019-11135

無須採取其他動作。

客戶應檢閱 Intel 最佳做法中對應用程式層級分享的說明，因為 Flex VM 中的超執行緒之間可能會發生此類分享。

CVE-2018-12207

無須採取其他動作。

Cloud Run

無須採取其他動作。

Cloud Run functions

無須採取其他動作。

Managed Service for Apache Airflow

無須採取其他動作。

Dataflow

CVE-2019-11135

大部分的客戶無須採取其他動作。

Dataflow 客戶如在 Dataflow 代管之 N2、C2 或 M2 Compute Engine VM 上執行多個不受信任的工作負載，且擔心發生客體內攻擊，則應考慮重新啟動任何目前正在執行的串流管道。您也可以取消並重新執行批次管道。如果是今天之後啟動的管道，則無須採取任何動作。

CVE-2018-12207

所有客戶均無須採取其他動作。

Managed Service for Apache Spark

CVE-2019-11135

大部分的客戶無須採取其他動作。

Cloud Dataproc 客戶如在 Compute Engine N2、C2 或 M2 VM 上的同一個 Cloud Dataproc 叢集執行多個不受信任的工作負載，且擔心發生客體內攻擊，則應重新部署叢集。

CVE-2018-12207

所有客戶均無須採取其他動作。

Cloud SQL

無須採取其他動作。