安全性公告

下列安全性公告與 Google Cloud 產品有關。

使用這個 XML 動態饋給訂閱本頁面的安全性公告。 訂閱

GCP-2026-074

發布日期：2026 年 10 月 28 日

說明

說明 嚴重性 附註

在 2026 年 9 月 11 日之前的 Application Integration 版本中，SubWorkflow 工作發現「反序列化不受信任的資料」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這個安全漏洞已於 2026 年 9 月 11 日修補。

解決哪些安全漏洞？

通過驗證的使用者可使用惡意序列化物件執行任意程式碼。

 重大 CVE-2026-93327

GCP-2026-073

發布日期：2026 年 10 月 26 日

說明

說明 嚴重性 附註

在 2026 年 8 月 31 日前，Compute Engine 發現授權不正確的安全漏洞。

該怎麼辦？

您無須採取任何行動。這項安全漏洞已於 2026 年 8 月 31 日修補完畢。

解決哪些安全漏洞？

2026 年 8 月 31 日前的 Compute Engine 版本存在授權不正確的安全漏洞，使用者可在沒有必要 IAM 權限的情況下竊取磁碟資料。

 高 CVE-2026-85299

GCP-2026-072

發布日期：2026 年 10 月 24 日

說明

說明 嚴重性 附註

PHP 核心有兩個安全漏洞，分別是 CVE-2026-109618 和 CVE-2026-109619 (「PHP2Shell」)，未經驗證的攻擊者可利用這些漏洞，在執行有漏洞 PHP 版本的伺服器上遠端執行程式碼。PHP 8.2.35、8.3.36、8.4.27 和 8.5.12 已修正這些問題。PHP 8.1 以下版本沒有修正版本。

對 Apigee 的影響僅限於客戶部署及運作的 Drupal 型 Apigee 開發人員入口網站。其他 Apigee 產品不使用 PHP，因此不受影響。

如需操作說明和詳細資訊，請參閱 Apigee 安全性公告。

 重大 CVE-2026-109618
CVE-2026-109619

GCP-2026-071

發布日期：2026 年 10 月 23 日

更新日期：2026 年 10 月 28 日

說明

說明 嚴重性 附註

2026 年 10 月 28 日更新：將 Managed Service for Apache Spark 和 Cloud Profiler 新增至受影響產品清單。

我們會持續更新受影響產品清單，並在產品專屬指南推出後提供連結。

2026 年 10 月 17 日星期六，Google 收到資安研究人員的報告，指出與八個 eMudhra 下屬憑證授權單位 (CA) 憑證相關聯的私密金鑰遭到入侵，包括由 AAA Certificate Services 交叉簽署的憑證。因此，這些 CA 憑證不再受到信任，且會遭到撤銷。

雖然 Google Cloud 基礎架構並未遭到入侵，但下列 Google Cloud 和 Firebase 產品、基本映像檔和用戶端 SDK 仍受到影響：

  • Google Cloud CLI
  • Cloud Shell
  • Container-Optimized OS
  • Compute Engine
  • Google Kubernetes Engine
  • Vertex AI
  • Colab Enterprise
  • App Engine
  • Cloud Run
  • Cloud Run functions
  • Cloud Functions for Firebase
  • Firebase App Hosting
  • Cloud SQL
  • AlloyDB for PostgreSQL
  • Firestore
  • Firebase 應用程式發布
  • Cloud Monitoring
  • Confidential Space
  • Google Distributed Cloud
  • Managed Service for Apache Spark
  • Cloud Profiler

該怎麼辦？

Google Cloud 正積極管理基礎架構和平台服務中的這個問題， Google Cloud 基礎架構並未遭到入侵。安全性遙測資料顯示，沒有證據指出 Google Cloud 工作負載遭到入侵，且 Google 代管環境已採取主動緩解措施，封鎖並撤銷受影響憑證授權單位憑證的信任。

對於您直接管理的環境和依附元件，請採取下列行動：

  • 作業系統和自行管理的環境：如果您在 Compute Engine、Google Kubernetes Engine (GKE) 或 Cloud Run 管理作業系統或自訂容器映像檔，請透過作業系統供應商更新信任存放區，撤銷對遭入侵的 eMudhra (emSign) 和 AAA Certificate Services 憑證的信任：
    • Red Hat Enterprise Linux (RHEL)：請按照 RHSB-2026-012 的指示操作。
    • Debian：更新至最新的 ca-certificates 套件 (錯誤 1151446)。
    • Ubuntu：請按照 USN-8944-1 的指示操作。
    • Windows：安裝最新的 Windows 更新。
    • Container-Optimized OS (COS)：升級或重新啟動節點，以採用目前的 COS 里程碑版本，或套用 cos_ca_cert_mitigation 工具。
  • Google Cloud CLI：更新至最新版 gcloud CLI，確保套裝依附元件包含更新後的憑證存放區。
  • 服務專屬指南：針對代管 Google Cloud和 Firebase 服務，例如 GKE、無伺服器執行階段、代管資料庫、Firestore、Firebase 應用程式發布和 Confidential Space， Google Cloud 正在代管機群中推出更新，並會在相關產品說明文件和官方支援管道中，發布服務專屬詳細資料、版本資訊和客戶通訊。請參閱個別服務說明文件，瞭解適用於您部署作業的操作說明。

如有任何疑問或需要協助，請與 Cloud Customer Care 團隊聯絡，並提供問題編號 576444463。

解決哪些安全漏洞？

八個 eMudhra (emSign) 從屬憑證授權單位 (CA) 憑證的私密金鑰，是使用不夠隨機的密碼編譯方式 (弱熵) 產生。

這項弱點可讓具備網路存取權的遠端攻擊者重建私密金鑰、偽造信任的 TLS 憑證，並對尚未移除這些從屬 CA 信任的 TLS 用戶端、容器或 SDK 執行中間人 (MitM) 攔截。

 中

GCP-2026-070

發布日期：2026 年 10 月 21 日

更新日期：2026 年 10 月 28 日

說明

說明 嚴重性 附註

2026-10-28 更新：針對 Cloud Run、Cloud Run functions 和 Google App Engine 標準環境，所有支援的 PHP 8.2 以上版本均已修補。請立即採取保護措施，使用更新後的依附元件重新部署資源。

在開放原始碼 PHP 語言中發現兩個遠端執行程式碼安全漏洞。雖然 Google Cloud 本身沒有安全漏洞，但在 Google Cloud 上執行這個語言的使用者可能會有安全漏洞。

下列語言版本會受到這個安全漏洞影響：

  • 5.4 至 8.5 之間的所有 PHP 版本

下列架構版本已修正這項安全漏洞：

  • PHP 8.5.12、8.4.27、8.3.36 和 8.2.35

該怎麼辦？

客戶應立即採取行動，使用更新後的依附元件重新部署工作負載，以保護工作負載。如果某些工作負載位於 Google App Engine 標準環境，或位於 Cloud Run、Cloud Run functions，且已啟用自動更新，則可能會自動修補並更新至最新 PHP 版本。詳情請參閱網誌文章。

Google 能幫上什麼忙？

使用 Artifact Analysis 的客戶會收到新舊構件中這些安全漏洞的通知，協助他們找出有風險的工作負載。

 重大

GCP-2026-069

發布日期：2026 年 10 月 19 日

說明

說明 嚴重性 附註

Istio 和 Envoy Proxy 發現安全漏洞 (ISTIO-SECURITY-2026-007)。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高

GCP-2026-068

發布日期：2026 年 10 月 14 日

更新日期：2026 年 10 月 24 日

說明

說明 嚴重性 附註

在 2026 年 8 月 27 日前推出的 Application Integration 版本中，AuthConfig 驗證和整合執行階段存在授權不正確的安全漏洞。

該怎麼辦？

客戶無須採取任何行動來解決這個安全漏洞。 這項安全漏洞已於 2026 年 8 月 27 日修補完畢。

為提升安全性，防範授權漏洞，自 2026 年 10 月 15 日起，Application Integration 會要求新的整合項目必須具備執行身分服務帳戶的 iam.serviceAccounts.actAs 權限。現有的整合項目和新版本不受影響。詳情請參閱「為即將推出的授權異動做好準備」。

解決哪些安全漏洞？

通過驗證的使用者可以提高權限，並模擬 Google Cloud 專案中的服務帳戶。

 高 CVE-2026-85298

GCP-2026-067

發布日期：2026 年 10 月 12 日

說明

說明 嚴重性 附註

Envoy Proxy 發現阻斷服務 (DoS) 漏洞，當 HTTP 篩選器 (例如 ext_proc 搭配 route_cache_action: RETAIN) 在設定 prefix_rewrite 的路徑上選取路徑後，會變更 :path 標頭。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 envoyproxy/envoy#47841

GCP-2026-066

發布日期：2026 年 9 月 28 日

說明

說明 嚴重性 附註

在 2026 年 6 月 30 日前推出的 Application Integration 版本中，Email Task 元件發現混淆代理人安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這個安全漏洞已於 2026 年 6 月 30 日修補。

解決哪些安全漏洞？

經過驗證的攻擊者可使用經過精心設計的附件路徑，讀取及竊取任意 Google 內部檔案。

 高 CVE-2026-81375

GCP-2026-065

發布日期：2026 年 9 月 28 日

說明

說明 嚴重性 附註

在 2026 年 6 月 28 日前推出的 Application Integration 版本中，JavaScript 工作有「還原序列化不受信任的資料」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 28 日修補完畢。

解決哪些安全漏洞？

具備標準權限的已驗證使用者，可利用特製指令碼在共用正式環境伺服器上執行任意程式碼。

 重大 CVE-2026-81867

GCP-2026-064

發布日期：2026 年 9 月 28 日

說明

說明 嚴重性 附註

在 2026 年 6 月 17 日前推出的 Application Integration 版本中，工作設定存在授權不正確的安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 17 日修補完畢。

解決哪些安全漏洞？

通過驗證的使用者可使用僅限內部的任務類型，從 Google 內部實際工作環境網路，以特殊權限身分執行任意內部 RPC。

 重大 CVE-2026-19759

GCP-2026-063

發布日期：2026 年 9 月 16 日

說明

說明 嚴重性 附註

Google Security Operations SOAR 的不當權限管理安全漏洞已在 6.3.85 版中修補，客戶不需採取任何行動。攻擊者可利用這項漏洞，透過精心設計的內部驗證標頭，將權限提升至系統層級的管理員權限。

我該怎麼做？

客戶無須採取任何行動。所有客戶都已自動升級至修正版本：6.3.85 以上版本。

 重大 CVE-2026-15587

GCP-2026-062

發布日期：2026 年 9 月 11 日

說明

說明 嚴重性 附註

Slurm 發現多個安全漏洞，會影響參照特定映像檔版本的 Cluster Toolkit 藍圖。這些安全漏洞會影響 slurmstepd 守護程序、RPC 要求處理和帳戶資料庫。

該怎麼辦？

如需操作說明和詳細資訊，請參閱 Cluster Toolkit 安全性公告。

 高

GCP-2026-061

發布日期：2026-09-09

說明

說明 嚴重性 附註

containerd 的 CRI 實作項目存在安全漏洞 (GHSA-p7v4-vr35-mj6f，CVE 指派作業待處理)，透過 CreateContainer API 從不受信任的檢查點還原的容器，可規避目的地安全性環境，並以進階權限執行。

GKE 叢集預設不會受到安全漏洞影響。GKE 節點映像檔不含 criu 工具。

該怎麼辦？

客戶目前無須對預設叢集採取任何行動。如果您在節點上安裝自訂執行階段軟體或節點工具，且其中包含 criu 二進位檔，請參閱安全性公告，瞭解應變措施建議。

解決哪些安全漏洞？

詳情請參閱 GKE 安全性公告。

 中 GHSA-p7v4-vr35-mj6f

GCP-2026-060

發布日期：2026 年 9 月 4 日

更新日期：2026-09-08

說明

說明 嚴重性 附註

2026-09-08 更新：新增 Cluster Toolkit 安全性公告連結。

Slurm sbcast 工具的安全漏洞 (CVE-2026-65107) 會讓共用程式庫檔案略過安全檢查，並可能導致叢集中的節點當機。

該怎麼辦？

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-65107

GCP-2026-059

發布日期：2026 年 9 月 4 日

說明

說明 嚴重性 附註

在 2025 年 12 月 11 日前推出的 Integration Connectors 版本中，HTTP 連接器存在缺少授權的安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2025 年 12 月 11 日修補完畢。

解決哪些安全漏洞？

通過驗證的攻擊者可能會使用未經授權的服務帳戶附件，提升權限並接管 Google Cloud 專案。

 高 CVE-2026-4644

GCP-2026-058

發布日期：2026 年 9 月 2 日

說明

說明 嚴重性 附註

GKE Multi-Cloud (CreateAttachedCluster, CreateAwsCluster, CreateAzureCluster) API 缺少專案權限檢查機制，攻擊者可藉此將附加叢集註冊至任意目標專案的 Workload Identity Federation for GKE。這項註冊作業允許未經授權建立 Workload Identity 權杖，並透過 Workload Identity Federation for GKE 設定，模擬在目標專案中具有繫結的 Kubernetes 服務帳戶。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告

 重大

GCP-2026-057

發布日期：2026 年 8 月 26 日

說明

說明 嚴重性 附註

Envoy Proxy 發現一系列安全漏洞。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高

GCP-2026-056

發布日期：2026 年 8 月 26 日

說明

說明 嚴重性 附註

在 2026 年 5 月 1 日前，BigQuery 資料移轉服務版本的 JDBC 驅動程式中發現輸入內容驗證不當的安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這個安全漏洞已於 2026 年 5 月 1 日修補。

解決哪些安全漏洞？

通過驗證的攻擊者可使用經過精心設計的 JDBC 連線字串參數，在連接器容器中執行程式碼，並提高在租戶專案中的權限。

 重大 CVE-2026-12717

GCP-2026-055

發布日期：2026-08-25

說明

說明 嚴重性 附註

Next.js 和 libheif 處理惡意圖片檔時，會出現未經驗證的重大遠端程式碼執行 (RCE) 安全漏洞。 Google Cloud 基礎架構不會直接受到影響，但客戶在 Google Cloud (例如 Cloud Run、GKE、App Engine) 執行的 Next.js 工作負載可能會受到影響。

該怎麼辦？

Google Cloud 後端服務不會直接受到影響，您也無須採取任何行動來保護基礎 Google Cloud 基礎架構。不過，在 Google Cloud 上託管 Next.js 應用程式的客戶，必須立即採取行動，保護自己的工作負載。建議您在 package.json 中，手動將 Next.js 部署項目升級至下列任一版本 (或更新版本)：

  • 16.3.3
  • 15.5.24
使用 libheif 的客戶應監控上游 OS 修補程式，並據此重建容器基礎映像檔。重新部署更新後的工作負載，確保執行中的容器使用修補後的版本。

解決哪些安全漏洞？

GHSA-2xp9-vwfh-vxw4 和 GHSA-g89c-p67h-r497 漏洞可讓攻擊者在 Next.js 圖片最佳化期間，提供經過精心設計的圖片檔，在應用程式環境中執行任意程式碼。這個問題發生的原因，在於基礎 libheif 程式庫處理 HEIF/AVIF 圖片中乾淨光圈框的方式。

 高 GHSA-2xp9-vwfh-vxw4 GHSA-g89c-p67h-r497

GCP-2026-054

發布日期：2026 年 8 月 11 日

說明

說明 嚴重性 附註

我們在 Trusted Computing Group 的 TPM 2.0 參考實作程式碼中發現一個安全漏洞 (CVE-2026-6726，也稱為 TCGVRT0010)，影響所有已發布的程式碼修訂版本 (v1.16、v1.38、v1.59、v1.83、v184)。

該怎麼辦？

客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。

解決哪些安全漏洞？

詳情請參閱 Compute Engine 安全性公告。

 高 CVE-2026-6726

GCP-2026-053

發布日期：2026 年 8 月 11 日

說明

說明 嚴重性 附註

Google 發現多個安全漏洞會影響 Intel® 信任網域延伸 (TDX) 韌體，可能破壞機密訪客的完整性。攻擊者可利用這些漏洞，以具特殊權限的主機身分規避認證檢查、存取受限制的暫存器，或解密受保護的客體記憶體。

哪些 Google 產品會受到影響？

所有採用 Intel TDX 技術的 Confidential VM 執行個體。

我該怎麼做？

Google 已主動將這些韌體升級套用至伺服器機群，以降低這些安全漏洞的影響。如果客戶未收到要求升級的個別直接通知，則不需採取任何行動。

詳情請參閱 Intel 的 PSIRT 技術公告：INTEL-TA-01404、INTEL-TA-01428、INTEL-TA-01419、INTEL-TA-01439、INTEL-TA-01442、INTEL-TA-01436。

 高

GCP-2026-052

發布日期：2026 年 8 月 7 日

說明

說明 嚴重性 附註

核心式虛擬機器 (KVM) x86 影子記憶體管理單元 (MMU) 發現安全漏洞，影響 Intel 和 AMD 平台。

該怎麼辦？

受管理的 Compute Engine 虛擬機器無須採取任何行動。由於安全漏洞位於主機管理程序中，Google 已透過即時修補，以透明方式緩解所有受影響的 Intel 和 AMD 主機基礎架構，客戶 VM 無需停機、重新啟動或手動升級。

如果您在標準代管 Compute Engine 基礎架構以外，自行管理虛擬化環境或自訂主機 Hypervisor，請務必在作業系統發行版本供應商提供上游修補程式後，立即更新主機 Linux 核心。

解決哪些安全漏洞？

這項 KVM 安全漏洞可能導致 VM 逃逸。目前尚未發現任何漏洞濫用行為，我們已主動修補。

 無 CVE-2026-64561

GCP-2026-051

發布日期：2026 年 7 月 31 日

說明

2026-08-04 更新：VMware 修補程式發布版本為 1.33.1200，而非初始公告所述的 1.33.1100。

說明 嚴重性

我們在 containerd (GDC 容器執行階段) 發現下列安全漏洞。攻擊者只要具備建立 Pod 的權限，就能利用這些安全漏洞繞過 Kubernetes 安全邊界，並執行主機入侵、快取中毒和阻斷攻擊。雖然這些安全漏洞在 containerd 的情況下屬於重大漏洞，但必須具備叢集權限才能建立 Pod 來利用這些漏洞，因此根據 GDC (僅限軟體) 安全漏洞分類，這些漏洞屬於高嚴重性。

  • CVE-2026-50195 (重大)：containerd 的 CRI 檢查點匯入程序無法驗證映像檔參照。具備 Pod 建立權限的攻擊者可使用經過精心設計的檢查點映像檔，破壞節點的本機映像檔快取，導致其他 Pod 使用惡意映像檔。
  • CVE-2026-53488 (重大)：CRI 外掛程式會將映像檔設定中的標籤傳播至容器，而不進行驗證。這可能會導致在主機上執行任意指令。
  • CVE-2026-53492 (重大)：CRI 實作在還原容器時，不當信任容器裝置介面 (CDI) 註解。攻擊者可藉此將任意 CDI 設定 (例如主機掛接和裝置節點) 插入還原的容器，規避資源分配和裝置外掛程式強制執行機制。
  • CVE-2026-53489 (高)：CRI 外掛程式還原 container.log 時，未驗證符號連結路徑，導致攻擊者可透過 kubectl logs 讀取任意主機檔案。
  • CVE-2026-47262 (中等)：containerd 存在安全漏洞，惡意人士可利用特製映像檔，耗盡 containerd 程序記憶體 (DoS)。
這些安全漏洞會影響所有使用 Ubuntu 節點映像檔的 GDC (僅限軟體) 設定。

該怎麼辦？

如果是僅限軟體的裸機版 GDC，下列修補程式會修正安全漏洞問題：

  • 1.34.800
  • 1.33.1100

如果是 VMware 上的 GDC 軟體，下列修補程式將包含安全漏洞修正：

  • 1.34.800
  • 1.33.1200
 高

GCP-2026-050

發布日期：2026 年 7 月 29 日

說明

說明 嚴重性 附註

根據 VMSA-2026-0006 安全諮詢，Broadcom 收到多項 VMware ESXi 和 vCenter 漏洞的私人回報。我們正在套用 Broadcom 提供的必要修補程式。這些安全漏洞目前沒有已知的解決方法。

修補後，VMware Engine 部署作業應會執行 vCenter 和 ESXi 8.0 U3k。

該怎麼辦？

Google 建議客戶監控 VMware Engine 上的工作負載，留意是否有任何異常活動。

 重大
  • VMSA-2026-0006
  • CVE-2026-59309
  • CVE-2026-59310
  • CVE-2026-47876
  • CVE-2026-41703
  • CVE-2026-41709

GCP-2026-049

發布日期：2026 年 7 月 22 日

說明

說明 嚴重性 附註

Google Cloud Looker 發現反射式跨網站指令碼攻擊 (XSS) 安全漏洞。攻擊者可以製作惡意網址，當通過驗證的管理員開啟該網址時，攻擊者就能代表管理員執行任意指令碼，並可能入侵管理員帳戶。

該怎麼辦？

如果是 Looker 代管的執行個體，則無須採取任何行動。

如果是自行託管的 Looker 執行個體，請盡快更新。在所有支援的 Looker 自行託管執行個體版本中，這項安全漏洞都已修補。下列版本均已更新，修正了這個安全漏洞：

  • Looker 26.8.7 和所有後續版本
  • Looker 26.6.28 以上版本
  • Looker 26.4.36+
  • Looker 26.2.47 以上版本
  • Looker 26.0.66+
  • Looker 25.18.68+
  • Looker 25.12.65+
  • Looker 25.6.103+

解決哪些安全漏洞？

詳情請參閱 CVE-2026-15810。

 高 CVE-2026-15810

GCP-2026-048

發布日期：2026 年 7 月 13 日

說明

說明 嚴重性 附註

Developer Connect 已解決提權安全漏洞。先前，對於 GitLab Enterprise 和 Bitbucket 資料中心連線，擷取 Secret Manager 密鑰時，系統只會根據 Developer Connect 服務代理 (P4SA) 憑證檢查權限。Developer Connect 現在會驗證呼叫主體和 P4SA 是否具備參照 Secret 的必要權限。

如需操作說明和詳細資訊，請參閱 Developer Connect 安全性公告。

 中

GCP-2026-047

發布日期：2026 年 7 月 13 日

說明

說明 嚴重性 附註

在 BigQuery、Dataform 和 Colab Enterprise 的存放區中，發現「缺少授權」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。Google 已對所有受影響的產品和服務採取緩解措施。

解決哪些安全漏洞？

建立存放區時，經過驗證的攻擊者可能會提高權限，並接管跨租戶存放區。

 重大 CVE-2026-14934

GCP-2026-046

發布日期：2026-07-06

說明

說明 嚴重性 附註

KVM x86 影子分頁和巢狀虛擬化設定中，發現虛擬化安全漏洞。攻擊者在虛擬機器中操作巢狀虛擬化功能時，可能會突破管理程序邊界隔離機制，入侵基礎實體主機。因此，凡是託管於 Intel 伺服器且支援巢狀虛擬化功能的 x86 虛擬機器 (無論是否為巢狀)，都可能受到影響。

該怎麼辦？

Google 正在全球所有代管的 Compute Engine 主機伺服器上，部署即時管理程序熱修補程式。如果是代管 Compute Engine 虛擬機器或 Google Kubernetes Engine 叢集，則無須採取任何行動。由於修復作業是在實體主機管理程序層級以透明方式執行，因此客戶 VM 不需要停機、重新啟動或手動升級。

如果客戶在標準代管 Compute Engine 基礎架構以外，自行管理虛擬化環境或自訂主機管理程序，應確保主機 Linux 核心已更新為作業系統供應商提供的上游修補程式。

解決哪些安全漏洞？

這個安全漏洞 (CVE-2026-53359) 會利用 x86 影子分頁和巢狀分頁表轉譯常式中的釋放後可用錯誤。Google 尚未發現任何證據，顯示正式環境中有客戶遭到攻擊。我們已在全球實施即時修補和主機層級監控，以降低風險並偵測漏洞攻擊。

 高/S0 CVE-2026-53359
(Januscape)

GCP-2026-045

發布日期：2026 年 6 月 29 日

說明

說明 嚴重性 附註

系統在 Envoy Proxy 偵測到安全漏洞，遭封鎖的 QPACK 解碼可能會導致 HTTP/3 堆疊遭受阻斷服務攻擊。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 GHSA-p7c7-7c47-pwch

GCP-2026-044

發布日期：2026 年 6 月 25 日

說明

說明 嚴重性 附註

Application Integration 的 JavaScript 工作使用 Rhino JavaScript 引擎，但偵測到安全漏洞。這只會影響 2025 年 1 月前發布的工作。

如需詳細資訊和操作說明，請參閱 Application Integration 安全性公告。

 高 CVE-2025-0982

GCP-2026-043

發布日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

Firebase Studio 存在安全漏洞，GetSignedGcsUrl RPC 允許已驗證的使用者列出 bucket，並下載其他租戶的部署作業原始碼。

修正程式已部署至後端服務，因此您不必採取任何行動來緩解這個安全漏洞。

為防範未然，如果使用者在 Firebase Studio 工作區儲存了 API 金鑰 (例如 GEMINI_API_KEY) 等機密資訊，可以選擇輪替這些金鑰。如需操作說明，請參閱 Firebase Studio 疑難排解指南。

 高 CVE-2026-12715

GCP-2026-042

發布日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

Cloud Build 已解決提權安全漏洞。先前，如果是 GitLab Enterprise 和 Bitbucket 資料中心連線，系統擷取 Secret Manager 密鑰時，只會根據 Cloud Build 服務代理 (P4SA) 憑證檢查權限。Cloud Build 現在會驗證呼叫主體和 P4SA 是否具備參照 Secret 的必要權限。

如需操作說明和詳細資訊，請參閱 Cloud Build 安全性公告。

 低

GCP-2026-041

發布日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

我們最近針對 Apigee Edge for Private Cloud 回報的 log4j 安全漏洞 (CVE-2026-34480 和 CVE-2026-34477) 進行安全性調查。Google 判定 Apigee Edge for Private Cloud 不會受到這些 CVE 的影響。客戶無須採取任何行動。

詳情請參閱 Apigee 安全性公告。

 高 CVE-2026-34480
CVE-2026-34477

GCP-2026-040

發布日期：2026 年 6 月 23 日

說明

說明 嚴重性 附註

Envoy Proxy 發現一系列安全漏洞。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高 CVE-2026-47692
CVE-2026-47207
CVE-2026-47205
CVE-2026-47220
CVE-2026-47221
CVE-2026-48044
CVE-2026-48090
CVE-2026-47778
CVE-2026-47204
CVE-2026-48497
CVE-2026-48706
CVE-2026-48743
CVE-2026-47775
CVE-2026-48042

GCP-2026-039

發布日期 ：2026 年 6 月 22 日

說明

說明 嚴重性 附註

Cloud Logging 的安全漏洞可能讓攻擊者在自己控制的專案中，重新建立目標 Cloud Storage bucket，藉此劫持記錄檔接收器目的地。這項問題可能導致機密記錄持續轉送給未經授權的第三方。

詳情請參閱 Google Cloud Observability 安全性公告。

 中

GCP-2026-038

發布日期 ：2026 年 6 月 22 日

說明

說明 嚴重性 附註

App Engine 發現一項安全漏洞， Google Cloud 控制台中的 GetDashboardAppStats GraphQL 私人 API 作業會洩漏跨租戶要求記錄。

您無須採取任何行動，這個安全漏洞已修正。

 高 CVE-2026-8934

GCP-2026-037

發布日期：2026 年 6 月 18 日

更新日期：2026 年 6 月 20 日

說明

說明 嚴重性 附註

2026-06-20 更新：新增 GKE 修補程式版本，其中包含 Container-Optimized OS 節點映像檔子版本 1.35 和 1.36 的修正程式。Ubuntu 節點映像檔的修補程式仍在處理中。

2026-06-19 更新：新增 GKE 修補程式版本，其中包含 Container-Optimized OS 節點映像檔的修正程式，適用於 1.30 至 1.34 的子版本。Ubuntu 節點映像檔和 Container-Optimized OS 節點映像檔子版本 1.35 和 1.36 的修補程式正在開發中。

我們在 containerd (GKE 容器執行階段) 發現多項安全漏洞。攻擊者只要有權限建立 Pod，就能利用這些安全漏洞繞過 Kubernetes 安全邊界，並入侵主機、發動快取中毒和阻斷攻擊。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告

 重大 CVE-2026-50195
CVE-2026-53488
CVE-2026-53492
CVE-2026-53489
CVE-2026-47262

GCP-2026-036

發布日期 ：2026 年 6 月 9 日

說明

說明 嚴重性 附註

ARM 已發布 CVE-2025-10263，這項架構問題會影響部分 Arm 核心，讓攻擊者在特定條件下略過轉譯階段或 GPT 保護措施。攻擊者可利用這項漏洞，在較低的例外狀況層級寫入較高例外狀況層級擁有的記憶體，進而提高權限。這個問題不會影響記憶體讀取。

詳情請參閱下列公告：

 高 CVE-2025-10263

GCP-2026-035

發布日期：2026 年 6 月 8 日

說明

說明 嚴重性 附註

Envoy 存在一項安全漏洞，未經驗證的遠端用戶端可透過 HTTP/2 下游要求處理程序，觸發過度消耗記憶體的問題，可能導致 Envoy 程序因記憶體不足而終止，以及阻斷攻擊。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2026-47774

GCP-2026-034

發布日期： 2026 年 5 月 20 日

說明

說明 嚴重性 附註

Apigee 存在安全漏洞，SetIntegrationRequest 政策中的 IntegrationRegion 參數缺乏驗證，可能導致伺服器端偽造要求 (SSRF) 和服務帳戶權杖外洩。如果攻擊者能控制用於 IntegrationRegion 的流程變數，就會發生這個問題，導致要求傳送至攻擊者控制的主機，並附帶服務帳戶權杖。

 高 CVE-2026-2264

GCP-2026-033

發布日期 ：2026 年 5 月 14 日

更新日期： 2026 年 7 月 16 日

說明

說明 嚴重性 附註

2026 年 7 月 16 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 的這項安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.30.14-gke.2710000
  • 1.31.14-gke.2116000
  • 1.32.13-gke.1829000
  • 1.33.13-gke.1011000
  • 1.34.9-gke.1131000
  • 1.35.6-gke.1127000
  • 1.36.2-gke.1346000

Linux 核心中發現容器突破安全漏洞 CVE-2026-46300，稱為 Fragnesia。本機攻擊者即使不具備特殊權限，也能將權限升級至主機的根層級。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2026-46300

GCP-2026-032

發布日期： 2026-05-12

說明

說明 嚴重性 附註

AMD 發現 Zen 2 微架構處理器 (包括 EPYC 和 Ryzen 系列) 存在硬體層級安全漏洞，可能導致微作業 (OP) 快取損毀。在特定情況下，這個問題 (AMD-SN-7052 / CVE-2025-54518) 可能導致安全邊界遭到略過，或資料遭到未經授權存取。
我們已在 Google 基礎架構中部署修正程式，以緩解這些問題。

詳情請參閱 Compute Engine 安全性公告。

 高 CVE-2025-54518

GCP-2026-031

發布日期： 2026-05-12

說明

說明 嚴重性 附註

研究人員發現 AMD 韌體存在安全漏洞，由於缺乏保護，惡意管理程序可能會在 AMD 安全處理器 (ASP) 上執行任意程式碼。這會導致記憶體對應 I/O (MMIO) 讀取和寫入權限提高，進而破壞 SEV-SNP 訪客的機密性和完整性。

詳情請參閱 Compute Engine 安全性公告。

 中

GCP-2026-030

發布日期 ：2026 年 5 月 11 日

更新日期：2026 年 6 月 24 日

說明

說明 嚴重性 附註

2026-06-24 更新：新增 GKE 修補程式版本。

2026-05-20 更新：新增 CVE-2026-43500，並在入侵路徑中加入 CVE ID。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2026-43284
  • CVE-2026-43500

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-43284

GCP-2026-029

發布日期 ：2026 年 5 月 7 日

說明

說明 嚴重性 附註

Microsoft 正在更新 2011 年核發的安全啟動憑證，確保 Windows 裝置能繼續驗證可信任的啟動軟體。這些舊憑證將於 2026 年 6 月開始到期。未收到 2023 年新憑證的裝置仍可正常啟動及運作，並繼續安裝標準 Windows 更新。不過，這些裝置將無法再接收提早啟動程序的最新安全防護措施，包括 Windows Boot Manager、安全啟動資料庫、撤銷清單的更新，或新發現啟動層級安全漏洞的緩解措施。此外，自 2026 年 6 月起，安全啟動憑證到期會影響使用安全啟動的 Linux 系統。

該怎麼辦？

Google 建議客戶按照 Microsoft 的建議採取適當行動，更新 Windows VM。Ubuntu、Red Hat 和 Fedora 等發行版本已著手提供使用 2023 年新金鑰簽署的更新套件。此外，請參閱 Broadcom 說明文件，瞭解如何在安全啟動憑證即將到期時，解決 VMware 虛擬機器中的錯誤和警告。2026 年 6 月後，如果系統未安裝 2023 年憑證更新，在安裝新作業系統或更新現有開機載入程式韌體時，可能會發生錯誤。

 參考用 Broadcom 知識庫 423893

GCP-2026-028

發布日期： 2026-05-05

更新日期：2026 年 5 月 27 日

說明

說明 嚴重性 附註

CVE-2026-31431 (又稱「Copy Fail」) 是 Linux 核心中的高嚴重性本機提權 (LPE) 安全漏洞，可讓無權限的使用者取得根層級存取權。這個漏洞於 2026 年 4 月下旬揭露，起因是 2017 年推出的核心密碼編譯子系統 (algif_aead) 存在邏輯缺陷。

該怎麼辦？

Google 建議客戶更新所有 Linux VM 的核心，保護 Linux 訪客 VM。主要發行版本已發布或正在推出修正程式。

 高 CVE-2026-31431

GCP-2026-027

發布日期 ：2026-05-01

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2026-23351

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23351

GCP-2026-026

發布日期： 2026 年 4 月 30 日

更新日期：2026 年 5 月 4 日

說明

說明 嚴重性 附註

2026-05-04 更新：新增 GKE 修補程式版本。

Linux 核心中的安全漏洞 (CVE-2026-31431) 允許無權限的本機攻擊者寫入系統頁面快取，可能導致本機提權和容器跳脫。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-31431

GCP-2026-025

發布日期： 2026 年 4 月 30 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2026-23274

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23274

GCP-2026-024

發布日期： 2026 年 4 月 28 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2025-38248

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38248

GCP-2026-023

發布日期： 2026 年 4 月 28 日

更新日期：2026 年 5 月 7 日

說明

說明 嚴重性 附註

2026-05-07 更新：新增 GKE Ubuntu 節點集區的修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2026-23074

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23074

GCP-2026-022

發布日期 ：2026 年 4 月 16 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2026-23209

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23209

GCP-2026-021

發布日期：2026 年 4 月 14 日

說明

說明 嚴重性 附註

AMD 回報其韌體存在一項安全漏洞，可能允許惡意管理程序指示 IOMMU 寫入已啟用 AMD SEV-SNP 的執行個體客體記憶體，進而破壞客體資料完整性。Google 已針對啟用 AMD SEV-SNP 的易受攻擊 Confidential VM 執行個體推出緩解措施。

該怎麼辦？

客戶無須採取任何行動。這項緩解措施已套用至啟用 AMD SEV-SNP 的 Confidential VM 執行個體。

詳情請參閱 AMD 公告 AMD-SB-3016。

 中

CVE-2023-20585

GCP-2026-020

發布日期： 2026 年 4 月 14 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2026-23231

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23231

GCP-2026-019

發布日期： 2026 年 4 月 14 日

說明

說明 嚴重性 附註

研究人員發現 AMD 韌體存在安全漏洞，惡意管理程序可能藉此竄改 BIOS 設定和記憶體對應 I/O (MMIO) 轉送設定，破壞 AMD SEV-SNP 訪客 Confidential VM 的機密性和完整性。

詳情請參閱 Compute Engine 安全性公告。

 中 CVE-2025-54510

GCP-2026-018

發布日期 ：2026 年 4 月 7 日

更新日期：2026 年 4 月 15 日

說明

說明 嚴重性 附註

2026-04-15 更新：新增 GKE Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2026-23111

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23111

GCP-2026-017

發布日期 ：2026 年 4 月 2 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2026-23273

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2026-23273

GCP-2026-016

發布日期 ：2026 年 3 月 27 日

更新日期：2026 年 3 月 31 日

說明

說明 嚴重性 附註

2026-03-31 更新：新增 GKE Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38616

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38616

GCP-2026-015

發布日期：2026 年 3 月 27 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：CVE-2026-23268。

詳情請參閱 Compute Engine 安全性公告：

 高 CVE-2026-23268

GCP-2026-014

發布日期： 2026 年 3 月 14 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026-03-25 更新：新增 GKE Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38678

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38678

GCP-2026-013

發布日期：2026 年 3 月 11 日

說明

說明 嚴重性 附註

我們在 Envoy Proxy 中發現下列安全漏洞：

  • CVE-2026-26311
  • CVE-2026-26309
  • CVE-2026-26310
  • CVE-2026-26308
  • CVE-2026-26330

我們在 Istio 發現下列安全漏洞：

  • CVE-2026-31837
  • CVE-2026-31838

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高

GCP-2026-012

發布日期：2026 年 2 月 20 日

說明

說明 嚴重性 附註

在 Google Cloud Vertex AI 中，Vertex AI Experiments 1.21.0 至 1.133.0 (不含) 版本存在安全漏洞，涉及可預測的 bucket 命名。

我該怎麼做？

客戶無須採取任何緩解措施。

CVE-2026-2473 允許未經驗證的遠端攻擊者，透過預先建立名稱可預測的 Cloud Storage bucket (bucket 搶註)，執行跨租戶遠端程式碼、竊取模型和進行中毒攻擊。 這項安全漏洞是在 Vertex AI Experiments 1.21.0 版中發現。1.133.0 以上版本已套用緩解措施。

 高 CVE-2026-2473

GCP-2026-011

發布日期：2026 年 2 月 20 日

說明

說明 嚴重性 附註

在 Exclusively-Hosted-Service 的 Google google-cloud-aiplatform (Vertex AI Python SDK Visualization) 中，發現 _genai/_evals_visualization 存在儲存型跨網站指令碼攻擊 (XSS) 安全漏洞。

我該怎麼做？

客戶必須將 google-cloud-aiplatform Python SDK 更新至 1.131.0 版 (2025 年 12 月 16 日發布) 或更新版本，才能取得修正程式。

CVE-2026-2472 允許未經驗證的遠端攻擊者，在模型評估結果或資料集 JSON 資料中插入指令碼逸出序列，在受害者的 Jupyter 或 Colab 環境中執行任意 JavaScript。這項安全漏洞是在 1.131.0 版之前的 Google google-cloud-aiplatform (Vertex AI Python SDK) 中發現。

 高 CVE-2026-2472

GCP-2026-010

發布日期：2026 年 2 月 13 日

說明

說明 嚴重性 附註

Apigee 平台發現一項安全漏洞，惡意行為人若在自己的 Apigee 環境中具備管理員或開發人員層級權限，就能提升進階權限並存取跨租戶資料。

具體來說，Apigee 沙箱技術中的安全漏洞，允許使用連結本機端點存取客戶租戶專案中的服務帳戶權杖 (P4SA)。理論上，攻擊者可以利用這個身分，讀取數據分析中繼資料，或竄改其他 Apigee 組織 (租戶) 的內部監控記錄。

我該怎麼做？

請對每項受影響的產品採取下列行動：

Apigee

使用 Google Cloud 版 Apigee 的客戶無須採取任何行動。 安全漏洞修正已套用至 Apigee 1-16-0-apigee-31-16-0-apigee-3 版本。

Apigee Hybrid

如要解決這個安全漏洞，客戶必須啟用以 Pub/Sub 為基礎的數據分析管道，並升級至支援的混合版本：

特徵設定 最低修復版本
Standard Apigee Hybrid 1.14.0 以上版本
啟用營利功能 (Mint) v1.14.3、v1.15.1 或 v1.16.0
高 CVE-2025-13292

GCP-2026-009

發布日期：2026 年 2 月 13 日

說明

說明 嚴重性 附註

2026 年 1 月之前的 Observability Analytics 使用者介面版本，可設為自動執行 SQL 查詢。攻擊者可利用漏洞，精心設計查詢網址，當具有憑證的使用者開啟該網址時，攻擊者就能存取資料表內容或產生查詢費用。

詳情請參閱 Google Cloud Observability 安全性公告。

 高

GCP-2026-008

發布日期：2026-02-10

說明

說明 嚴重性 附註

Intel® TDX 韌體存在一組安全漏洞。這些安全漏洞涵蓋多種缺陷，包括競爭狀況 (CVE-2025-30513、CVE-2025-31944)、越界讀取 (CVE-2025-32007、CVE-2025-27940)、使用未初始化的變數 (CVE-2025-32467)，以及在暫時執行期間洩漏機密資訊 (CVE-2025-27572)。這些問題可能導致資訊揭露、權限升級或阻斷攻擊。一般來說，攻擊者必須具備系統的特殊使用者存取權，才能發動攻擊。

我該怎麼做？

客戶無須採取任何行動。所有相關修正項目都已套用至 Google 伺服器機群。詳情請參閱 Intel 的 PSIRT 技術諮詢 INTEL-TA-01397。

 高

GCP-2026-007

發布日期 ：2026 年 2 月 9 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026-03-25 更新：新增 GKE Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-40297

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40297

GCP-2026-006

發布日期：2026-01-29

更新日期：2026-02-20

說明

說明 嚴重性 附註

2026-02-20 更新：新增 GKE 修補程式版本。

OpenSSL 程式庫中有多項安全漏洞。最重大的發現是 CVE-2025-15467，這項重大安全漏洞可能允許攻擊者透過網路媒介，執行遠端程式碼 (RCE) 或發動阻斷攻擊 (DoS)。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-15467

GCP-2026-005

發布日期：2026 年 1 月 28 日

說明

說明 嚴重性 附註

這項安全漏洞會影響 2026 年 1 月前的記錄分析介面和 Cloud Monitoring 資訊主頁介面版本。

詳情請參閱 Google Cloud Observability 安全性公告。

 高

GCP-2026-004

發布日期：2026 年 1 月 14 日

說明

說明 嚴重性 附註

Compute Engine 中發現特定 Arm 處理器存在安全漏洞，會影響 C4A 和 A4X VM：

  • CVE-2025-0647

如需操作說明和詳細資訊，請參閱 Compute Engine 安全性公告。

 中 CVE-2025-0647

GCP-2026-003

發布日期 ：2026-01-09

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026-03-25 更新：新增 GKE Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-39964

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39964

GCP-2026-002

發布日期： 2026-01-07

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026-03-25 更新：新增 GKE Ubuntu 節點的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-40215

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40215

GCP-2026-001

發布日期： 2026-01-07

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-40214

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40214

GCP-2025-076

發布日期：2025-12-08

說明

說明 嚴重性 附註

Cloud Data Fusion 發現下列安全漏洞：

  • CVE-2025-9571

如需操作說明和詳細資訊，請參閱 Cloud Data Fusion 安全性公告。

 高 CVE-2025-9571

GCP-2025-075

發布日期：2025 年 12 月 7 日

說明

說明 嚴重性 附註

Google Security Operations SOAR 的自訂整合功能存在安全漏洞，可能讓具備 IDE 角色的已驗證使用者在伺服器上執行遠端程式碼 (RCE)。這個安全漏洞是由於 Python 套件程式碼驗證不足，導致攻擊者可以上傳含有惡意 setup.py 檔案的套件。這個檔案可能會在安裝期間執行，導致伺服器遭到入侵。

我該怎麼做？

客戶無須採取任何行動。所有客戶都已自動升級至修正版本：6.3.64 以上版本。

 高 CVE-2025-13428

GCP-2025-074

發布日期： 2025-12-05

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-39965

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39965

GCP-2025-073

Published:2025-12-03

說明

說明 嚴重性 附註

我們在 Envoy Proxy 中發現下列安全漏洞：

  • CVE-2025-66220
  • CVE-2025-64527
  • CVE-2025-64763

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中

GCP-2025-072

發布日期： 2025-12-04

更新日期：2025 年 12 月 5 日

說明

說明 嚴重性 附註

2025 年 12 月 4 日更新：網頁應用程式防火牆規則現已推出。

在開放原始碼 React 和 Next.js 架構中發現遠端程式碼執行安全漏洞。雖然 Google Cloud 本身沒有安全漏洞， 但在 Google Cloud 上執行這些架構的使用者可能會有安全漏洞。

下列架構版本會受到這項安全漏洞影響：

  • React 19.0、19.1.0、19.1.1 和 19.2.0
  • Next.js 15.x、Next.js 16.x、Next.js 14.3.0-canary.77 和後續初期測試版

下列架構版本已修正這項安全漏洞：

  • React 19.0.1、19.1.2 和 19.2.1
  • Next.js 15.0.5、15.1.9、15.2.6、15.3.6、15.4.8、15.5.7、15.6.0-canary.58 和 16.0.7

詳情請參閱 React 安全諮詢和 Vercel 安全諮詢。

客戶應立即採取行動，使用更新後的依附元件重新部署工作負載，保護工作負載。

Google 能幫上什麼忙？

Cloud Armor 網頁應用程式防火牆 (WAF) 規則可偵測及封鎖相關攻擊，現已開放使用。這項新規則旨在保護使用全域或區域性應用程式負載平衡器、連結網際網路的應用程式和服務。建議您在更新工作負載時，部署這項規則做為暫時緩解措施。如需套用這項規則的操作說明，請參閱這篇網誌文章。

如果客戶使用 App Engine 標準環境、Cloud Functions、Cloud Run functions、Cloud Run、Firebase 託管或 Firebase App Hosting，系統會強制執行規則，限制透過傳送至自訂和預設網域的要求進行攻擊。

使用 Artifact Analysis 的客戶會收到新舊構件中這些安全漏洞的通知，協助他們找出有風險的工作負載。

我們會隨著新資訊發布，持續更新這份安全性公告。

 重大 CVE-2025-55182

GCP-2025-071

發布日期： 2025 年 12 月 2 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026-03-25 更新： 新增 GKE Ubuntu 節點的修補程式版本。

2025 年 12 月 11 日更新： 新增 GDC (VMware) 的修補程式版本和嚴重程度評等。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-40019

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40019

GCP-2025-070

發布日期： 2025 年 12 月 2 日

更新日期：2026 年 3 月 25 日

說明

說明 嚴重性 附註

2026-03-25 更新： 新增 GKE Ubuntu 節點的修補程式版本。

2025 年 12 月 11 日更新： 新增 GDC (VMware) 的修補程式版本和嚴重程度評等。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-40018

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40018

GCP-2025-069

發布日期：2025 年 11 月 24 日

說明

說明 嚴重性 附註

runc 是用於執行容器的開放原始碼軟體元件，目前已發現多項安全性問題。攻擊者可利用這些安全漏洞 (CVE-2025-31133、CVE-2025-52565 和 CVE-2025-52881) 發動攻擊，在 Cloud Run worker 集區和工作中執行完整的容器突破，進而將根權限從容器提權至沙箱執行個體。如果攻擊者有權部署惡意容器映像檔，就能利用這些安全漏洞，存取 Cloud Run 沙箱執行個體中的其他容器。

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

Worker 集區、工作和少數尚未更新的服務容易受到攻擊。

我們正在準備更新，預計 1 月初推出。推出作業完成後，我們會更新這份公告。

如要回報與這個安全漏洞相關的問題，請前往 g.co/vrp 參與 Cloud 安全漏洞檢舉計畫。

 高

GCP-2025-068

發布日期：2025 年 11 月 21 日

說明

說明 嚴重性 附註

Looker 修正了一個安全漏洞。攻擊者若具備 Looker 檢視者權限，就能利用這個漏洞製作惡意網址，並在 Looker 管理員開啟網址時，執行攻擊者提供的指令碼。攻擊者必須在執行個體上安裝至少一個 Looker 擴充功能，才能發動攻擊。

無論是由 Looker 代管或自行託管的執行個體，都可能受到安全漏洞影響。

由 Looker 代管的 Looker 執行個體的問題已緩解。

我該怎麼做？

由 Looker 代管的執行個體：

客戶無須採取任何行動。

僅限自行託管的 Looker 執行個體：

如果您自行託管 Looker 執行個體，建議您盡快升級 Looker 執行個體。在所有支援的 Looker 自行託管執行個體版本中，這項安全漏洞都已修補。下列版本均已更新，可防範這個安全漏洞：

  • 25.16.0 和所有後續版本
  • 25.12.7+
  • 25.6.66+
  • 25.0.79+
  • 24.18.201+

您可以前往 Looker 下載頁面下載這些 Looker 版本：https://download.looker.com/

 高 CVE-2025-12739

GCP-2025-067

發布日期：2025 年 11 月 19 日

說明

說明 嚴重性 附註

Looker 修正了電子郵件地址字串正規化問題，避免攻擊者利用這個漏洞，在設定 OIDC 驗證的 Looker 執行個體中，接管 Looker 帳戶。

無論是由 Looker 代管或自行託管的執行個體，都可能受到安全漏洞影響。

由 Looker 代管的 Looker 執行個體的問題已緩解。

我該怎麼做？

由 Looker 代管的執行個體：

客戶無須採取任何行動。

僅限自行託管的 Looker 執行個體：

如果您的 Looker 執行個體是自行託管，建議您盡快將 Looker 執行個體升級至下列其中一個版本：

  • 25.10.22+
  • 25.8.39+
  • 25.6.57+
  • 25.0.69+
  • 24.18.193+
  • 24.12.100+

您可以前往 Looker 下載頁面下載這些 Looker 版本：https://download.looker.com/

注意：25.12 以上版本不受這項安全性問題影響。

 高 CVE-2025-12414

GCP-2025-066

發布日期： 2025-11-10

更新日期：2025 年 11 月 27 日

說明

說明 嚴重性 附註

2025-11-27 更新：新增 GKE 和 GDC (裸機) 的修補程式版本。

runc 是 GKE 的預設低階容器執行階段，系統在其中發現三個容器跳脫安全漏洞。這些安全漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的提權：

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

如需操作說明和更多詳細資料，請參閱下列公告：

 高

GCP-2025-065

發布日期：2025-11-06

說明

說明 嚴重性 附註

研究人員發現 AMD Milan 機器上的 AMD SEV-SNP (Secure Nested Paging) 存在安全漏洞。

惡意虛擬機器監視器可能發動攻擊，操控 RMP 初始化值，導致 AMD SEV-SNP 訪客記憶體完整性受損。

Google 已推出緩解措施，防止這個問題發生。

該怎麼辦？

客戶無須採取任何緩解措施。採用 AMD SEV-SNP 的 Confidential VM 執行個體已套用緩解措施。

不過，採用 AMD SEV-SNP 的 Confidential VM 執行個體現在會使用第 4 版認證格式。客戶如使用 go-sev-guest 程式庫剖析認證報告，應更新至 go-sev-guest v0.14.0 以上版本。

如果客戶使用自己的剖析器，認證報告格式會由 SEV 安全巢狀分頁韌體 ABI 規格定義。

解決哪些安全漏洞？

詳情請參閱 AMD 公告 AMD-SB-3020。

 中 CVE-2025-0033

GCP-2025-064

發布日期： 2025 年 10 月 28 日

說明

說明 嚴重性 附註

我們在 Envoy Proxy 中發現下列安全漏洞：

  • CVE-2025-62504
  • CVE-2025-62409

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中

GCP-2025-063

發布日期： 2025 年 10 月 28 日

更新日期：2025 年 11 月 17 日

說明

說明 嚴重性 附註

2025-11-17 更新： 新增 Ubuntu GKE 節點的修補程式版本。

2025-10-30 更新：新增 VMware 適用的 GDC 軟體修補程式版本和嚴重性評等

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-39682

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39682

GCP-2025-062

發布日期 ：2025 年 10 月 22 日

更新日期：2025 年 10 月 30 日

說明

說明 嚴重性 附註

2025-10-30 更新：新增 GKE 上 Ubuntu 節點的修補程式版本，以及 VMware 適用的 GDC 軟體修補程式版本和嚴重性評等

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2024-58240

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-58240

GCP-2025-061

發布日期：2025 年 10 月 21 日

說明

說明 嚴重性 附註

在開放原始碼 Valkey 和 Redis 中發現遠端程式碼執行安全漏洞。因此，Memorystore for Redis、Memorystore for Redis Cluster 和 Memorystore for Valkey 支援的所有版本都會受到影響。

根據預設，Google Cloud 的 Memorystore 資產不會公開至網際網路，因此對於遵循 Google Cloud 安全性最佳做法的 Memorystore 使用者來說，這項安全漏洞的風險為「低」。

這時該怎麼做？

Google 已開始自動套用修補程式，預計於 2025 年 11 月 6 日完成。您無須採取任何行動，即可套用這項修正。

如要在 2025 年 11 月 6 日前，將這些修補程式套用至 Memorystore 叢集或執行個體，請使用自助式維護功能完成下列操作：

  1. 查看 Memorystore for Redis 執行個體、Memorystore for Redis Cluster 叢集或 Memorystore for Valkey 執行個體目前的維護版本。
  2. 確認版本是否與最新修補版本相符。
  3. 如果版本並非最新維護版本，請使用 Memorystore for Redis、Memorystore for Redis Cluster 和 Memorystore for Valkey 的自助維護功能，將執行個體或叢集更新至最新維護版本。
 重大 CVE-2025-49844

GCP-2025-060

發布日期：2025 年 10 月 21 日

說明

說明 嚴重性 附註

Oracle 發布安全性警示，確認 Oracle E-Business Suite (EBS) 容易受到未經驗證的攻擊。

該怎麼辦？

Google 並未使用 Oracle EBS，因此 Google Cloud 不受這項安全漏洞影響。

 低 CVE-2025-61882

GCP-2025-059

發布日期：2025 年 10 月 21 日

更新日期：2025 年 10 月 22 日

說明

說明 嚴重性 附註

2025-10-22 更新：新增 CVE 連結。

2025 年 9 月 23 日，我們發現 Vertex AI API 發生技術問題，導致使用串流要求時，特定第三方模型的少量回覆誤傳給其他收件者。這個問題現已解決。 Google 模型 (例如 Gemini) 並未受到影響。

部分內部 Proxy 未妥善處理含有 Expect: 100-continue 標頭的 HTTP 要求，導致串流回應連線不同步，原本要傳送給某個要求的回應，卻傳送給後續要求。

我該怎麼做？

我們已採取修正措施，妥善處理 Expect: 100-continue 標頭，並防止問題再次發生。我們也新增了測試、監控和快訊功能，以便快速偵測到這個問題，防止迴歸。客戶目前不需要採取任何行動，即可避免發生非預期的行為。

我們已針對不同模型分批推出修正程式，Anthropic 模型已於太平洋夏令時間 9 月 26 日凌晨 12:45 修正，所有平台則於太平洋夏令時間 9 月 28 日晚上 7:10 修正。以下列出 Vertex AI API 受影響的模型和解決時間：

  • Anthropic 合作夥伴模型即服務模型 (Claude)

    • 這項問題已於太平洋夏令時間 2025 年 9 月 26 日凌晨 12:45 修正。

  • 所有開放式模型即服務模型，包括：DeepSeek (R1-0528 和 V3.1)、OpenAI (gpt-oss-120b 和 gpt-oss-20b)、Qwen (Next Instruct 80B、Next Thinking 80B、Qwen 3 Coder 和 Qwen 3 235B)、Llama (Maverick、Scout、3.3、3.2、3.1 405b、3.1 70b 和 3.1 8b)

    • 這項問題已於太平洋夏令時間 2025 年 9 月 28 日凌晨 2 點 43 分修正。

  • Mistral 和 AI21 合作夥伴模型即服務模型

    • 這項問題已於太平洋夏令時間 2025 年 9 月 28 日上午 11:00 修正。

  • 使用公開端點叫用「StreamRawPredict」、「ChatCompletions」、「GenerateContent」或「StreamGenerateContent」方法的自行部署模型

    • 這項問題已於太平洋夏令時間 2025 年 9 月 28 日晚上 7 點 10 分修正。

    • 專屬(Model Garden 的預設選項) 和私人端點都不受影響。

 中 CVE-2025-11915

GCP-2025-058

發布日期：2025 年 10 月 20 日

說明

說明 嚴重性 附註

AMD Zen 5 處理器 (Turin) 的 RDSEED 指令發現缺陷。這項指令用於產生密碼編譯隨機號碼。在特定系統負載條件下，16 位元和 32 位元版本的 RDSEED 可能會失敗，但不會顯示任何訊息，這可能會影響依賴隨機號碼產生功能的應用程式。使用 64 位元版 RDSEED 的客戶不受影響。

該怎麼辦？

AMD 正在調查這個安全漏洞。

請注意，64 位元 Linux 核心會使用安全的 64 位元版本 RDSEED 指令，並提供從 /dev/[u]random 取得的隨機號碼。這些隨機號碼不會受到這項安全漏洞影響。

如果應用程式程式碼使用 RDSEED 指令自行合成隨機數字，請注意，16 位元和 32 位元版本的指令並不安全。64 位元版本的指令是安全的。

正在解決哪些安全漏洞？

攻擊者可利用這項安全漏洞，在不觸發警示的情況下導致 RDSEED 失敗，進而破壞應用程式中的隨機號碼產生機制。

高 CVE-2025-62626

GCP-2025-057

發布日期 ：2025 年 10 月 17 日

更新時間：2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025 年 10 月 27 日更新：新增 VMware 適用的 GDC 軟體修補程式版本和嚴重性評分。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38618

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38618

GCP-2025-056

發布日期： 2025 年 10 月 16 日

更新日期：2026 年 3 月 24 日

說明

說明 嚴重性 附註

2026-03-24 更新：新增 GKE Ubuntu 節點的修補程式版本。

2025-11-13 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-39946

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-39946

GCP-2025-055

發布日期： 2025 年 10 月 15 日

更新時間：2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025 年 10 月 16 日更新：新增 VMware 適用的 GDC 軟體修補程式版本和嚴重性評分

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38617

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38617

GCP-2025-054

發布日期：2025 年 10 月 14 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0015，有人私下向 Broadcom 回報 VMware Aria Operations 和 VMware Tools 存在多項安全漏洞。受影響的 Broadcom 產品可透過修補程式修復這些安全漏洞。

我該怎麼做？

建議您升級至 VMware Aria Automation 8.18.5 和 VMware Tools 13.0.5。

 重要事項

GCP-2025-053

發布日期：2025 年 9 月 30 日

說明

說明 嚴重性 附註

Looker Studio 修正了外部研究人員透過 Google 和 Alphabet 安全漏洞檢舉計畫 (VRP) 回報的安全漏洞，但未發現任何漏洞遭利用的證據。這些問題現已解決，使用者無須採取任何行動。

我該怎麼做？

客戶無須採取任何行動。

解決哪些安全漏洞？

攻擊者可利用這些安全漏洞，透過共用報表、具有檢視者憑證的資料來源、Studio Linking API 和 Conversational Analytics，在未經授權的情況下存取資料。

 高

GCP-2025-052

發布日期：2025 年 9 月 30 日

說明

說明 嚴重性 附註

Looker 已修正外部研究人員透過 Google 和 Alphabet 安全漏洞檢舉計畫 (VRP) 回報的安全漏洞，但未發現任何遭利用的跡象。這些問題現已解決，Looker (Google Cloud Core) 和 Looker (原始版) 的由 Looker 代管客戶不需採取任何行動。建議自行託管的 Looker 執行個體更新至最新支援版本。

我該怎麼做？

由 Looker 代管的執行個體：Looker (Google Cloud Core) 和 Looker (原始版本) 執行個體

客戶無須採取任何行動。

僅限自行託管的 Looker 執行個體

如果 Looker 執行個體為自行託管，建議您將 Looker 執行個體升級至下列其中一個版本：

  • 25.12.30+
  • 25.10.54+
  • 25.6.79+
  • 25.0.89+
  • 24.18.209+

注意：25.14 以上版本不受這些安全性問題影響。

解決哪些安全漏洞？

這些漏洞讓具備 Looker 開發人員權限的使用者，能存取託管 Looker 的基礎系統和內部資料庫。

 高

GCP-2025-051

發布日期：2025 年 9 月 11 日

說明

說明 嚴重性 附註

研究人員發現一項安全漏洞，會影響 Intel CPU 和所有 AMD Zen CPU。攻擊者可利用這項漏洞，透過已知的推測執行漏洞讀取機密資料。

我該怎麼做？

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，在不中斷服務的情況下緩解整個機群的問題，因此您目前無須採取任何行動。

解決哪些安全漏洞？

詳情請參閱 COMSEC 網誌文章。

 高 CVE-2025-40300

GCP-2025-050

發布日期： 2025 年 9 月 10 日

更新時間： 2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025-10-15 更新： 新增 VMware 適用的 GDC 軟體修補程式版本和嚴重性評分。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38500

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38500

GCP-2025-049

發布日期：2025 年 9 月 10 日

說明

說明 嚴重性 附註

Google Security Operations SOAR 6.3.54.0 和 6.3.53.2 版發現重大安全漏洞。具備 ZIP 檔案上傳權限 (例如匯入用途時) 的已驗證使用者，可上傳 ZIP 封存檔，將檔案寫入伺服器檔案系統中的任意位置。

系統從 ZIP 封存檔擷取檔案時，無法防止封存檔中的檔案寫入預定目的地資料夾以外的位置。這也稱為目錄遍歷或 Zip Slip 安全漏洞。

我該怎麼做？

客戶無須採取任何行動。所有客戶都已自動升級至修正版本或更高版本：6.3.54.1 或 6.3.53.3

解決了哪些安全漏洞？

攻擊者可能會利用這個安全漏洞覆寫應用程式檔案。攻擊者只要覆寫報表產生功能使用的 JavaScript 檔案，就能在 Google SecOps SOAR 執行個體上執行程式碼 (RCE)。攻擊者可以在伺服器上執行自己的程式碼。

詳情請參閱 Google SecOps GCP-2025-049 安全性公告。

 高 CVE-2025-9918

GCP-2025-048

發布日期： 2025 年 9 月 2 日

說明

說明 嚴重性 附註

我們在 Envoy Proxy 中發現下列安全漏洞：

  • CVE-2025-54588

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2025-54588

GCP-2025-047

發布日期 ：2025 年 8 月 27 日

更新日期：2025 年 9 月 25 日

說明

說明 嚴重性 附註

2025-09-25 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38350

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38350

GCP-2025-046

發布日期 ：2025 年 8 月 23 日

更新時間： 2025 年 11 月 11 日

說明

說明 嚴重性 附註

2025-11-11 更新： 新增 GKE 中 Ubuntu 節點集區的修補程式版本。

2025-10-15 更新： 新增 VMware 適用的 GDC 軟體修補程式版本和嚴重性評分。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38477

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38477

GCP-2025-045

發布日期 ：2025 年 8 月 21 日

說明

說明 嚴重性 附註

外部研究人員透過 Google 和 Alphabet 安全漏洞檢舉計畫 (VRP)，回報 Dataform API 的安全漏洞。這項安全漏洞可能導致未經授權者存取客戶的程式碼存放區和資料。Google 迅速修正問題，並將修正程式發布至所有區域。目前尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。Google 已對所有受影響的產品和服務採取緩解措施。

解決哪些安全漏洞？

詳情請參閱 CVE-2025-9118。

 重大 CVE-2025-9118

GCP-2025-044

發布日期： 2025 年 8 月 12 日

說明

說明 嚴重性 附註

Intel 已通知 Google 兩個新的安全漏洞。

CVE-2025-21090：這個安全漏洞會影響下列 Intel 處理器：

  • Sapphire Rapids：C3、Z3、H3、A3、v5p VM 系列
  • Emerald Rapids：N4、C4、M4、A3 Ultra、A4 VM 系列
  • Granite Rapids：N4、C4 VM 系列

CVE-2025-22840：這個安全漏洞會影響下列 Intel 處理器：

  • Granite Rapids：N4、C4 VM 系列

該怎麼辦？

客戶無須採取任何行動。Google 會在標準和預定維護期間主動更新系統。目前尚未發現或接獲任何漏洞遭濫用的證據。

解決哪些安全漏洞？

這項安全漏洞 (CVE-2025-21090) 可讓未經授權的執行者利用 AMX CPU 指令，搭配 AVX CPU 指令，使主機機器無法運作。

這個安全漏洞 (CVE-2025-22840) 可讓未獲授權的執行者利用 prefetchit CPU 指令，載入原本無法存取的記憶體內容，可能導致遠端執行程式碼。

 中

GCP-2025-043

發布日期： 2025 年 8 月 12 日

說明

說明 嚴重性 附註

protobuf-python 的純 Python 實作中存在潛在的阻斷攻擊 (DoS) 漏洞。攻擊者可以傳送特製訊息，導致服務停止運作。

影響

如果您直接或間接將 protobuf-python 匯入專案，可能會受到影響。請注意，Python 適用的 Cloud 用戶端程式庫會使用 protobuf-python 做為依附元件。如果您使用這些程式庫，請務必使用下一節所述的 protobuf-python 版本。

該怎麼辦？

請確認您使用的是下列軟體套件的最新版本：

  • protobuf-python (4.25.8、5.29.5、6.31.1)

這個修補程式修正了哪些安全漏洞？

這個修補程式可有效降低下列安全漏洞的風險：

當純 Python 後端剖析特定通訊協定緩衝區訊息時，會發生無限制遞迴，導致安全漏洞。未經驗證的攻擊者可以傳送含有深度巢狀遞迴群組、訊息或一系列 SGROUP 標記的訊息。這項輸入會導致 Python 直譯器超出遞迴深度上限，觸發 RecursionError，導致服務當機，進而造成阻斷攻擊。任何專案只要使用受影響的後端剖析不受信任的資料，就會面臨風險。

詳情請參閱 Protobuf 安全性諮詢。

高

CVSS v4.0

分數：8.2

 CVE-2025-4565

這個問題只會影響 python Protobuf 實作後端。

無論檢查 Protobuf 實作後端時傳回的值為何，建議您升級，因為環境變數 PROTOCOL_BUFFERS_PYTHON_IMPLEMENTATION 可以在執行階段變更 Protobuf 實作後端。

GCP-2025-042

發布日期： 2025 年 8 月 11 日

說明

說明 嚴重性 附註

研究人員發現特定 Intel CPU 存在安全漏洞，包括採用 Skylake、Broadwell 和 Haswell 微架構的 CPU。攻擊者可利用這項安全漏洞，直接從 CPU 的 L1 快取讀取未經授權存取的機密資料。

這個安全漏洞最初是在 2018 年的 CVE-2018-3646 中揭露。發現這個安全漏洞後，Google 立即採取緩解措施，解決已知風險。我們當時已發布有關安全漏洞和初步修正措施的通訊內容。自那時起，我們便持續研究殘留風險，並與上游 Linux 社群合作，致力於消除這項風險。

我們最近與學術界的安全研究人員合作，評估 CPU 安全性緩解措施的最新技術，以及 2018 年未考慮到的潛在攻擊技術。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，以緩解問題。

該怎麼辦？

客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。

解決哪些安全漏洞？

詳情請參閱 Intel 公告 INTEL-SA-00161 和 CVE-2018-3646。

 高 CVE-2018-3646

GCP-2025-041

發布日期： 2025 年 7 月 21 日

更新日期：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025-11-10 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Ubuntu 節點提權：

  • CVE-2025-37890

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37890

GCP-2025-040

發布日期： 2025-07-15

說明

說明 嚴重性 附註

根據 VMSA-2025-0013 安全諮詢，有人私下向 Broadcom 回報 VMware ESXi 存在多個安全漏洞。

我們已修補這些安全漏洞，或正在套用 Broadcom 提供的必要修補程式。這些安全漏洞目前沒有已知的解決方法。

修補後，VMware Engine 部署作業應執行 ESXi 7.0U3w 或 ESXi 8.0U3f 以上版本。

該怎麼辦？

Google 建議客戶監控 VMware Engine 上的工作負載，留意是否有任何異常活動。

 中至重大

GCP-2025-039

發布日期： 2025-07-15

更新日期：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025-11-10 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

2025-08-28 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38083

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38083

GCP-2025-038

發布日期： 2025-07-09

更新日期：2025 年 9 月 25 日

說明

說明 嚴重性 附註

2025-09-25 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-37752

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37752

GCP-2025-037

發布日期： 2025-07-08

說明 嚴重性 附註

AMD 揭露了兩個安全漏洞，會影響 AMD EPYC 第 2 代 (Rome)、第 3 代 (Milan) 和第 4 代 (Genoa) CPU。攻擊者可利用這些漏洞，從先前的儲存區或 L1D 快取推斷資料，可能導致機密資訊外洩。

Google 已推出緩解措施，可防止 VM 之間發生這類資訊外洩。

單一 VM 中的程序仍有可能利用這些安全漏洞。

該怎麼辦？

2025 年 7 月 8 日後，下列 VM 可使用客體層級緩解措施，防範客體內攻擊：

  • 首次啟動的 VM。
  • 完全停止並重新啟動的 VM。重新啟動作業系統不會啟用緩解措施，必須完全重新啟動 VM 本身，才能啟用緩解措施。客體作業系統核心必須支援這項緩解措施，才能發揮作用。

詳情請參閱 AMD 安全性公告 AMD-SB-7029。

 中

GCP-2025-036

發布日期： 2025-07-01

更新日期：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025-11-10 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

2025-07-21 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38001

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38001

GCP-2025-035

發布日期： 2025 年 6 月 17 日

更新日期：2025 年 11 月 10 日

說明

說明 嚴重性 附註

2025-11-10 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

2025-07-21 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-37997

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37997

GCP-2025-034

發布日期： 2025 年 6 月 17 日

更新日期：2025 年 7 月 21 日

說明

說明 嚴重性 附註

2025-07-21 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-38000

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-38000

GCP-2025-033

發布日期：2025 年 6 月 6 日

說明

說明 嚴重性 附註

我們發現一項安全性問題，攻擊者可能可以規避 GKE 叢集的工作負載隔離限制。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 不適用

GCP-2025-032

發布日期： 2025 年 6 月 3 日

更新日期：2025 年 7 月 21 日

說明

說明 嚴重性 附註

2025-07-21 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-37798

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37798

GCP-2025-031

發布日期： 2025 年 6 月 3 日

更新日期：2025 年 8 月 26 日

說明

說明 嚴重性 附註

2025-08-26 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-37797

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-37797

GCP-2025-030

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0017，VMware Aria Automation 存在 SQL 注入安全漏洞，並已私下回報給 VMware。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation KB325790。

 重要事項

GCP-2025-029

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2025-0006，VMware Aria Operations 存在本機提權漏洞，並已向 VMware 負責回報。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議升級至 VMware Aria Operations 8.18 HF5。

重要事項

GCP-2025-028

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2025-0003，VMware Aria Operations for Logs 和 VMware Aria Operations 存在多項安全漏洞，並已私下回報給 VMware。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您升級至 VMware Aria Operations for Logs 8.18.3 和 VMware Aria Operations 8.18.3。

重要事項

GCP-2025-027

發布日期 ：2025 年 5 月 16 日

說明

說明 嚴重性 附註

2025 年 4 月 26 日前，傳統版應用程式負載平衡器服務偵測到安全漏洞。

該怎麼辦？

客戶無須採取任何行動。傳統版應用程式負載平衡器服務的問題已於 2025 年 4 月 26 日解決。

解決哪些安全漏洞？

CVE-2025-4600：由於系統未正確剖析過大的區塊主體，攻擊者可將要求偷渡至傳統版應用程式負載平衡器。使用分塊傳輸編碼剖析 HTTP 要求的請求主體時，傳統版應用程式負載平衡器允許過大的分塊主體。因此，攻擊者可以在這類遭忽略的結尾資料中隱藏位元組，讓上游 HTTP 伺服器誤認為行終止符。我們已於 2025 年 4 月 26 日，在傳統版應用程式負載平衡器服務中，透過改善輸入驗證和剖析邏輯，解決這項安全漏洞。

我們很樂意提供協助

如有任何疑問或需要協助，請與 Cloud Customer Care 團隊聯絡。

 高 CVE-2025-4600

GCP-2025-026

發布日期 ：2025 年 5 月 15 日

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2025-0008，VMware Aria Automation 存在以 DOM 為基礎的跨網站指令碼攻擊 (XSS) 漏洞，並已私下回報給 VMware。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation 8.18.1 修補程式 2。

 重要事項

GCP-2025-025

發布日期： 2025 年 5 月 13 日

說明

說明 嚴重性 附註

Intel 已通知 Google，有新的側通漏洞會影響下列 Intel 處理器：CascadeLake、Ice Lake XeonSP、Ice Lake XeonD、Sapphire Rapids 和 Emerald Rapids。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。我們已對 Google 伺服器機群套用修正程式，以保護客戶。

解決哪些安全漏洞？

CVE-2024-45332。 詳情請參閱 Intel 公告 INTEL-SA-01247。

我們很樂意提供協助

如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417536835。

 高 CVE-2024-45332

GCP-2025-024

發布日期： 2025 年 5 月 12 日

更新日期： 2025 年 5 月 13 日

說明

說明 嚴重性 附註

2025 年 5 月 13 日更新：如有任何疑問或需要協助，請與 Cloud Customer Care 聯絡，並註明問題編號 417458390。

Intel 已通知 Google，有新的推測執行安全漏洞會影響 Intel Cascade Lake 處理器和 Intel Ice Lake 處理器。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭濫用的證據。

該怎麼辦？

客戶無須採取任何行動。Google 伺服器機群已套用緩解措施。

Intel 原始設備製造商 (OEM) 和其他作業系統合作夥伴提供的其他緩解措施，將在可用時立即部署，以緩解相同模式的間接目標選擇 (ITS) 漏洞。

套用作業系統緩解措施後，如果客戶的第 3 代或更新版本 VM 長時間執行，可能會發生非預期的效能降低

解決哪些安全漏洞？

CVE-2024-28956。詳情請參閱 Intel 安全性諮詢 INTEL-SA-01153。

 高 CVE-2024-28956

GCP-2025-023

發布日期：2025-05-05

說明

說明 嚴重性 附註

我們發現並解決了 JavaCallout 和 PythonScript 政策中潛在的安全漏洞，如果不加以解決，可能會遭到利用。

如需操作說明和詳細資訊，請參閱 Apigee 安全性公告。

 高 CVE-2023-44487

GCP-2025-022

發布日期： 2025-05-01

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025-05-22 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-21702

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21702

GCP-2025-021

發布日期： 2025 年 4 月 29 日

更新日期：2025 年 6 月 2 日

說明

說明 嚴重性 附註

2025-06-02 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-21971

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21971

GCP-2025-020

發布日期：2025 年 4 月 29 日

說明

說明 嚴重性 附註

Looker 存在安全漏洞，導致具備 Looker 管理員權限 (具體來說是 manage_project_connections_restricted) 的使用者，可讀取基礎主機檔案系統中的檔案，並查詢內部網路端點。這項問題現已解決，使用 Looker (Google Cloud Core) 和 Looker (原始版) 的由 Looker 代管客戶無須採取任何行動。建議自行託管的 Looker 執行個體更新至最新支援版本。

我們已在所有支援的客戶託管 Looker 版本中修補這項安全漏洞，您可以前往 Looker 下載頁面取得這些版本。

該怎麼辦？

  • 對於所有由 Looker 代管的執行個體，包括 Looker (Google Cloud Core) 和 Looker (原始) 執行個體，您不需要採取任何行動。
  • 如果是 Looker 客戶託管執行個體，請盡快更新至最新支援的 Looker 版本。下列版本均已更新，可防範這個安全漏洞。您可以在 Looker 下載頁面下載這些版本：
    • 25.4 -> 25.4.29+
    • 25.2 -> 25.2.34+
    • 25.0 -> 25.0.55+
    • 24.18 -> 24.18.185+
    • 24.12 -> 24.12.95+
    • 24.6 -> 24.6.107+
 高

GCP-2025-019

發布日期： 2025-04-25

更新日期：2025 年 6 月 26 日

說明

說明 嚴重性 附註

2025-06-26 更新：新增 VMware 適用的 GDC 軟體修補程式版本。

2025-05-22 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2025-21701

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21701

GCP-2025-018

發布日期 ：2025 年 4 月 23 日

更新日期：2025 年 10 月 9 日

說明

說明 嚴重性 附註

2025-10-09 更新：新增 GKE Ubuntu 節點的修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2025-40364

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-40364

GCP-2025-017

發布日期： 2025-04-17

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025-05-22 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2025-05-05 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-21756

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21756

GCP-2025-016

發布日期： 2025 年 4 月 16 日

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025-05-22 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2025-04-29 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2023-52927

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-52927

GCP-2025-015

發布日期： 2025-04-15

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025-05-22 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025-04-17 更新：新增 GDC (VMware) 的修補程式版本。將 GDC (VMware) 的嚴重程度從「待處理」更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-21700

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21700

GCP-2025-014

發布日期： 2025-04-10

更新日期：2025 年 5 月 22 日

說明

說明 嚴重性 附註

2025-05-22 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2025-05-05 更新：新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2025-21703

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2025-21703

GCP-2025-013

發布日期：2025 年 3 月 24 日

說明

說明 嚴重性 附註

NGINX Ingress 控制器 ingress-nginx 是一種開放原始碼軟體元件，在 Kubernetes 叢集內執行，可協助管理進入叢集的網路流量。其中最嚴重的漏洞是 CVE-2025-1974。如需完整詳細資料和完整清單，請參閱 Kubernetes CVE 動態饋給。

這些問題影響 ingress-nginx。如果叢集未安裝 ingress-nginx，則不會受到影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2025-1974

GCP-2025-012

發布日期： 2025 年 3 月 19 日

更新日期：2025 年 4 月 10 日

說明

說明 嚴重性 附註

2025-04-10 更新： 新增 Ubuntu GKE 節點和 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2024-53164

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-53164

GCP-2025-011

發布日期： 2025-03-06

說明 嚴重性 附註

VMware 在 VMSA-2025-0004 中揭露多個安全漏洞，這些漏洞會影響部署在客戶環境中的 ESXi 元件。

VMware Engine 影響

您的私有雲已套用修補程式，或正在更新以解決安全漏洞。所有 VMware Engine 服務客戶都能使用專屬的裸機主機，並搭配與其他硬體實體隔離的本機連接磁碟。也就是說，安全漏洞僅限於特定私有雲中的訪客 VM。

私有雲將更新至 7.0u3s，版本號碼為 24534642。這相當於 7.0U3s：版本號碼 24585291。

該怎麼辦？

請按照 Broadcom 和安全防護供應商的指示，因應這項安全漏洞。

重大

GCP-2025-010

發布日期： 2025-03-05

更新日期：2025 年 6 月 2 日

說明

說明 嚴重性 附註

2025-06-02 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2025-04-10 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2024-56770

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-56770

GCP-2025-009

發布日期：2025-03-05

說明

說明 嚴重性 附註

Envoy 專案最近宣布了幾項新的安全漏洞 (CVE-2024-53269、CVE-2024-53270 和 CVE-2024-53271)，攻擊者可能利用這些漏洞導致 Envoy 停止運作。

如需操作說明和更多詳細資料，請參閱下列公告：

 高

GCP-2025-008

發布日期： 2025 年 2 月 19 日

更新日期：2025 年 4 月 10 日

說明

說明 嚴重性 附註

2025-04-10 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。將 VMware 適用的 GDC 軟體嚴重程度更新為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-53141

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-53141

GCP-2025-007

發布日期：2025 年 2 月 3 日

說明

說明 嚴重性 附註

Google 發現 AMD Zen 架構 CPU 存在安全漏洞，會影響已啟用 AMD SEV-SNP 的 Confidential VM 執行個體。攻擊者只要具備實體機器的根存取權，就能利用這項安全漏洞破壞 Confidential VM 執行個體的機密性和完整性。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前 Google 尚未發現或接獲任何漏洞遭濫用的證據。

我該怎麼做？

客戶無須採取任何行動。客戶如要驗證修正，可以查看 AMD SEV-SNP Confidential VM 執行個體認證報告中的可信任運算基礎 (TCB) 版本。可緩解這項安全漏洞的最低版本如下：

SNP TCB SVN: 0x18 0d24
tcb_version {
  psp_bootloader_version: 4
  snp_firmware_version: 24 (0x18)
  microcode_version: 219
}

詳情請參閱 AMD 安全性公告 AMD-SB-3019。

 高

CVE-2024-56161

GCP-2025-006

發布日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

Google Secret Manager Provider for Secret Store CSI Driver 存在安全漏洞，如果攻擊者在命名空間中具備 Pod 和 Secret 建立權限，就能在 Pod 掛接惡意磁碟區，藉此竊取 CSI 驅動程式的 Kubernetes 服務帳戶權杖。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2025-005

發布日期：2025 年 1 月 22 日

說明

說明 嚴重性 附註

如果伺服器使用 Google 驗證程式庫和 Cloud 用戶端程式庫，透過攻擊者控制的憑證設定向 Google Cloud 進行驗證，就可能容易受到伺服器端偽造要求和任意檔案讀取的影響。

該怎麼辦？

如果您接受外部來源提供的憑證設定 (憑證 JSON、檔案或串流)，用於驗證 Google Cloud，則必須先驗證該設定，才能提供給 Google 驗證程式庫或 Cloud 用戶端程式庫。如果將未經驗證的憑證設定提供給 Google 程式庫，可能會導致系統和資料的安全性受損。詳情請參閱「 驗證外部來源的憑證設定」。

解決哪些安全漏洞？

部分類型的憑證設定包含端點和檔案路徑，驗證程式庫會使用這些路徑取得權杖。如果服務或應用程式接受外部來源的憑證設定，並在未經驗證的情況下，搭配 Google 驗證程式庫或 Cloud 用戶端程式庫使用，攻擊者就能提供含有惡意端點或路徑的憑證設定。這樣一來，攻擊者就能從服務或執行服務的機器竊取資料或權杖。為避免這種情況，請按照「 驗證來自外部來源的憑證設定」一節所述，驗證外部來源的憑證設定。

為告知應用程式開發人員，我們已更新說明文件，說明接受從外部來源取得的憑證設定時，應執行的驗證作業。

 高

GCP-2025-004

發布日期： 2025 年 1 月 16 日

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2025-0001，VMware Aria Automation 存在伺服器端請求偽造 (SSRF) 漏洞，並已通報 VMware。受影響的 VMware 產品可透過修補程式修復此漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation 8.18.2 HF。

中

GCP-2025-003

發布日期： 2025-01-09

更新日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

2025-01-23 更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2024-50264

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-50264

GCP-2025-002

發布日期： 2025-01-09

更新日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

2025-01-23 更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025-01-22 更新：新增 GDC (VMware) 的修補程式版本。GDC (VMware) 的嚴重程度更新為「中等」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2024-53057

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-53057

GCP-2025-001

發布日期：2025-01-08

更新日期：2025 年 1 月 23 日

說明

說明 嚴重性 附註

2025-01-23 更新：更新「GKE」GKE分頁中的「受影響的資源」部分。

2025-01-08 更新：修正問題開始日期和時間。

某項安全性問題影響了虛擬私有雲中的資源，這些虛擬私有雲已設定 GKE 多叢集閘道 (MCG)。MCG 是選用功能，只有少數 GKE 客戶使用。我們正在個別通知在這段期間啟用這項功能的客戶。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 無

GCP-2024-065

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-53269：Happy Eyeballs：驗證 additional_address 為 IP 位址，而非在排序時當機。
  • CVE-2024-53270：HTTP/1：預先重設要求時，傳送超載會導致當機。
  • CVE-2024-53271：HTTP/1.1 envoy.reloadable_features.http1_balsa_delay_reset 存在多項問題。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2024-064

發布日期： 2024 年 12 月 10 日

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2024-0022，VMware Aria Operations 存在多個安全漏洞，並已向 VMware 報告。受影響的 VMware 產品已推出更新，可修復這些安全漏洞。

該怎麼辦？

建議您升級至 VMware Aria Operations 8.18.2。

重要事項

GCP-2024-063

發布日期： 2024-12-06

說明 嚴重性 附註

我們發現 Vertex AI API 存在安全漏洞，會影響多模態版 Gemini 要求，導致 VPC Service Controls 遭到繞過。攻擊者可能會濫用 API 的 fileURI 參數來竊取資料。

我該怎麼做？

您無須採取任何行動。我們已實施修正，在 fileUri 參數中指定媒體檔案網址並啟用 VPC Service Controls 時，系統會傳回錯誤訊息。其他用途不受影響。

解決了哪些安全漏洞？

Cloud Support API 支援多模態版 Gemini 要求，您可以在 fileUri 參數中指定媒體檔案的網址，藉此加入媒體檔案。這項功能可用於略過 VPC Service Controls 範圍。service perimeter 內的攻擊者可能會在 fileURI 參數中編碼機密資料，藉此略過 service perimeter。

 中 CVE-2024-12236

GCP-2024-062

發布日期： 2024-12-02

更新日期：2025 年 1 月 22 日

說明

說明 嚴重性 附註

2025-01-22 更新：新增 GDC (VMware) 的修補程式版本。將 GDC (VMware) 的嚴重程度從「待處理」更新為「高」。

2024 年 12 月 12 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-46800

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-46800

GCP-2024-061

發布日期：2024 年 11 月 25 日

說明

說明 嚴重性 附註

Kubernetes 叢集中發現的安全問題，可能會導致攻擊者使用 gitRepo 磁碟區執行遠端程式碼。如果 Git 存放區是惡意建構而成，則有權建立 Pod 並連結 gitRepo 磁碟區的使用者，就能在容器邊界外執行任意指令。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-10220

GCP-2024-060

發布日期： 2024 年 10 月 17 日

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0020，VMware NSX 存在多個安全漏洞，已由相關人員向 VMware 回報。

VMware Engine 環境中執行的 NSX-T 版本不受 CVE-2024-38815、CVE-2024-38818 或 CVE-2024-38817 影響。

該怎麼辦？

VMware Engine 叢集不受這個安全漏洞影響，因此您無須採取進一步行動。

 中

GCP-2024-059

發布日期 ：2024 年 10 月 16 日

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2024-0021，有人私下向 VMware 回報 VMware HCX 存在已驗證的 SQL 注入漏洞。

我們已套用 VMware 核准的緩解措施，解決這項安全漏洞。這項修正可解決 CVE-2024-38814 中所述的安全漏洞。VMware Engine 私有雲中執行的映像檔版本目前不會反映任何變更，以指出已套用變更。我們已採取適當的緩解措施，保護您的環境不受這個安全漏洞影響。

該怎麼辦？

建議您升級至 VMware HCX 4.9.2 版。

 高

GCP-2024-058

發布日期：2024 年 10 月 16 日

說明

說明 嚴重性 附註

Migrate to Containers for Windows 1.1.0 至 1.2.2 版會建立具有管理員權限的本機 m2cuser。如果 analyze 或 generate 指令因使用者或內部錯誤而中斷，導致系統略過刪除本機使用者 m2cuser 的動作，就會造成安全風險。

該怎麼辦？

下列 Windows 版 Migrate to Containers CLI 版本已更新程式碼，修正這項安全漏洞。建議您手動將 Migrate to Containers CLI 升級至下列版本或更高版本：

解決哪些安全漏洞？

攻擊者可利用 CVE-2024-9858 漏洞，透過 Migrate to Containers 軟體建立的本機管理員使用者，取得受影響 Windows 機器的管理員存取權。

 中 CVE-2024-9858

GCP-2024-057

發布日期： 2024-10-03

更新日期：2024 年 11 月 19 日

說明

說明 嚴重性 附註

2024 年 11 月 19 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024-10-15 更新：新增 GDC (VMware) 修補程式版本。更新 GKE 和 GDC (VMware) 嚴重性等級。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-45016

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2024-45016

GCP-2024-056

發布日期：2024 年 9 月 27 日

說明

說明 嚴重性 附註

部分 Linux 發行版本使用的 CUPS 列印系統中，發現可能導致遠端執行程式碼的安全漏洞鏈 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177)。如果 CUPS 服務在 UDP 通訊埠 631 監聽，且攻擊者可以連線至該通訊埠，就能利用這項漏洞。

如需操作說明和更多詳細資料，請參閱下列公告：

 無

GCP-2024-055

發布日期：2024 年 9 月 24 日

說明

說明 嚴重性 附註

Looker 存在 HTTP 要求走私漏洞，未經授權的攻擊者可藉此擷取傳送給合法使用者的 HTTP 回應。

Looker 代管的 Looker 版本有兩種：

  • Looker (Google Cloud Core) 存在安全漏洞。這個問題已獲得緩解，且調查結果顯示沒有任何遭濫用的跡象。
  • Looker (原始) 不受這個問題影響。

客戶託管的 Looker 執行個體存在安全漏洞，必須升級至下列其中一個版本。

我們已在所有支援的客戶託管 Looker 版本中修補這項安全漏洞，您可以前往 Looker 下載頁面取得這些版本。

該怎麼辦？

  • 對於所有由 Looker 代管的執行個體 (包括 Looker (Google Cloud Core) 執行個體)，您不需採取任何行動。
  • 如果是 Looker 客戶託管執行個體，請盡快更新至最新支援的 Looker 版本。下列版本均已更新，可防範這個安全漏洞。您可以在 Looker 下載頁面下載這些版本：
    • 23.12 -> 23.12.123+
    • 23.18 -> 23.18.117+
    • 24.0 -> 24.0.92+
    • 24.6 -> 24.6.77+
    • 00:00:24,810 --> 00:00:32,050
    • 24.10 -> 24.10.78+
    • 24.12 -> 24.12.56+
    • 24.14 -> 24.14.37+

解決哪些安全漏洞？

攻擊者可利用 CVE-2024-8912 安全漏洞，向 Looker 傳送經過精心設計的 HTTP 要求標頭，進而攔截傳送給其他使用者的 HTTP 回應。

這些回覆可能含有私密資訊。

這項安全漏洞只會在特定設定下遭到利用。

中 CVE-2024-8912

GCP-2024-054

發布日期：2024 年 9 月 23 日

說明

說明 嚴重性 附註

我們在具有 Windows 節點的 Kubernetes 叢集中發現一項安全性問題，BUILTIN\Users 可能可以讀取容器記錄，而 NT AUTHORITY\Authenticated 使用者可能可以修改容器記錄。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2024-5321

GCP-2024-053

發布日期：2024 年 9 月 19 日

說明

說明 嚴重性 附註

在 Protobuf Java Full 和 Lite 程式庫中剖析不明欄位時，惡意訊息可能會導致 StackOverflow 錯誤，進而造成程式異常終止。

我該怎麼做？

我們一直努力解決這個問題，並已發布緩解措施。建議您使用下列軟體套件的最新版本：

  • protobuf-java (3.25.5、4.27.5、4.28.2)
  • protobuf-javalite (3.25.5、4.27.5、4.28.2)
  • protobuf-kotlin (3.25.5、4.27.5、4.28.2)
  • protobuf-kotlin-lite (3.25.5、4.27.5、4.28.2)
  • com-protobuf [僅限 JRuby gem] (3.25.5、4.27.5、4.28.2)

這個修補程式修正了哪些安全漏洞？

這個安全漏洞可能會導致阻斷攻擊。

使用 DiscardUnknownFieldsParser 或 Java Protobuf Lite 剖析器，或針對 Protobuf 對應欄位，將巢狀群組剖析為不明欄位，會建立無限制遞迴，攻擊者可能會濫用。

CVSS4.0 分數 8.7

高

 CVE-2024-7254

GCP-2024-052

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-45807：oghttp2 在 OnBeginHeadersForStream 發生當機
  • CVE-2024-45808：透過存取記錄插入惡意記錄
  • CVE-2024-45806：可能遭外部來源操縱「x-envoy」標頭
  • CVE-2024-45809：使用遠端 JWK 清除路徑快取時，JWT 篩選器會停止運作
  • CVE-2024-45810：Envoy 在 HTTP 非同步用戶端中因 LocalReply 異常終止

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 中至高

GCP-2024-051

發布日期 ：2024 年 9 月 18 日

說明 嚴重性 附註

VMware 在 VMSA-2024-0019 中揭露多個安全漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

VMware Engine 影響

  • Google 已停用任何可能利用這個安全漏洞的行為。舉例來說，Google 已封鎖可能遭到這個安全漏洞入侵的通訊埠。
  • 此外，Google 也會確保日後部署的所有 vCenter 都不會受到這個安全漏洞影響。

該怎麼辦？

目前您無須採取進一步行動。

重大

GCP-2024-050

發布日期：2024 年 9 月 4 日

說明

說明 嚴重性 附註

Windows 發現新的遠端程式碼執行安全漏洞 (CVE-2024-38063)。攻擊者可向主機傳送特製 IPv6 封包，從遠端利用這項安全漏洞。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2024-38063

GCP-2024-049

發布日期： 2024 年 8 月 21 日

更新日期：2024 年 11 月 1 日

說明

說明 嚴重性 附註

2024 年 11 月 1 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-36978

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-36978

GCP-2024-048

發布日期： 2024 年 8 月 20 日

更新日期：2024 年 10 月 30 日

說明

說明 嚴重性 附註

2024 年 10 月 30 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 10 月 25 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-41009

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-41009

GCP-2024-047

發布日期 ：2024 年 8 月 19 日

更新日期：2024 年 10 月 30 日

說明

說明 嚴重性 附註

2024 年 10 月 30 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-39503

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-39503

GCP-2024-046

發布日期： 2024-08-05

說明

說明 嚴重性 附註

AMD 已通知 Google，有 3 個新的韌體安全漏洞 (2 個中度風險、1 個高度風險) 會影響 AMD EPYC 第 3 代 (Milan) 和第 4 代 (Genoa) CPU 中的 SEV-SNP。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前並未發現或接獲任何漏洞遭濫用的證據。

我該怎麼做？

客戶無須採取任何行動。Google 伺服器機群已套用修正程式。

詳情請參閱 AMD 安全性公告 AMD-SN-3011。

 中高

CVE-2023-31355

CVE-2024-21978

CVE-2024-21980

GCP-2024-045

發布日期： 2024 年 7 月 17 日

更新日期：2024 年 9 月 19 日

說明

說明 嚴重性 附註

2024-09-19 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-08-21 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26925

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26925

GCP-2024-044

發布日期： 2024-07-16

更新日期：2024 年 10 月 30 日

說明

說明 嚴重性 附註

2024 年 10 月 30 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新：新增修補程式版本，並更新 GDC (VMware) 的嚴重性。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-36972

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-36972

GCP-2024-043

發布日期： 2024-07-16

更新日期：2024 年 10 月 2 日

說明

說明 嚴重性 附註

2024 年 10 月 2 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024-09-20 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26921

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26921

GCP-2024-042

發布日期： 2024-07-15

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024-07-18 更新：明確指出採用預設設定的 Autopilot 叢集不受影響。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26809

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26809

GCP-2024-041

發布日期： 2024-07-08

更新日期：2024 年 9 月 16 日

說明

說明 嚴重性 附註

2024-09-16 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-07-19 更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-52654
  • CVE-2023-52656

如需操作說明和更多詳細資料，請參閱下列公告：

 高

GCP-2024-040

發布日期：2024 年 7 月 1 日

更新日期：2024 年 7 月 16 日

說明

說明 嚴重性 附註

2024 年 7 月 16 日更新：

OpenSSH 的安全漏洞 (CVE-2024-6387) 可能會影響部分無伺服器 VPC 存取客戶。如果成功利用，遠端未經驗證的攻擊者就能在目標虛擬機器上，以 root 身分執行任意程式碼。據信難以遭到入侵。例如，客戶無法存取 VM，且 VM 沒有公開 IP。我們目前並未發現任何濫用行為。

我該怎麼做？

Google 已盡可能自動更新無伺服器 VPC 存取部署作業。不過，您應確認 Google 代管服務代理具備必要角色。否則，無伺服器 VPC 存取連接器可能仍有安全漏洞。建議您遷移至直連虛擬私有雲輸出，或部署新的連接器並刪除舊連接器，確保您已取得必要的修正更新。

2024-07-11 更新：新增 VMware 適用的 GDC 軟體、GKE on AWS 和 GKE on Azure 的修補程式版本。詳情請參閱 GKE 說明文件中的下列公告：

2024 年 7 月 10 日更新：

  • 新增 Migrate to Virtual Machines 的安全性公告。

2024 年 7 月 9 日更新：

部分 App Engine 彈性環境客戶可能會受到 OpenSSH 安全漏洞 (CVE-2024-6387) 的影響。如果成功利用漏洞，未經驗證的遠端攻擊者就能在目標虛擬機器上，以 root 身分執行任意程式碼。

我該怎麼做？

Google 已盡可能自動更新彈性環境部署作業。不過，部分客戶停用了 Google 代管服務代理，或變更了 Google Cloud API 或其他預設設定，因此無法更新，可能仍有安全漏洞。建議您部署新版應用程式，以便套用修正後的更新。

請注意，更新後的部署作業會回報 SSH 版本 OpenSSH_9.6p1。這個版本已套用 CVE-2024-6387 的修正程式。

解決哪些安全漏洞？

CVE-2024-6387 安全漏洞可讓未經驗證的遠端攻擊者，在目標機器上以 root 身分執行任意程式碼。

2024 年 7 月 8 日更新：

如果 Google Compute Engine 上的 Managed Service for Apache Spark 叢集，執行的是映像檔版本 2.2 (所有作業系統) 和 2.1 (僅限 Debian)，就會受到 OpenSSH 安全漏洞 (CVE-2024-6387) 影響。如果攻擊者成功利用這個安全漏洞，就能在目標機器上以 root 身分執行任意程式碼，而且不需經過驗證。

Google Compute Engine 上的 Managed Service for Apache Spark 映像檔 2.0 和 1.5 版，以及非在 Debian 上執行的 Managed Service for Apache Spark 映像檔 2.1 版，皆不受影響。啟用個人驗證的 Managed Service for Apache Spark 叢集不受影響。Managed Service for Apache Spark Serverless 也不會受到影響。

我該怎麼做？

請將 Google Compute Engine 上的 Managed Service for Apache Spark 叢集更新為下列其中一個版本：

  • 2.2.24 以上版本
  • 2.1.58 以上版本

如果無法將 Managed Service for Apache Spark 叢集更新至上述任一版本，建議您使用下列位置提供的初始化動作：gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

請按照這篇文章的操作說明，指定 Managed Service for Apache Spark 的初始化動作。請注意，如果是現有叢集，初始化動作必須在每個節點 (主要節點和工作站) 上執行。

2024 年 7 月 3 日更新：

  • 新增 GKE 修補程式版本。
  • 新增 GDC 連結網路方案的安全性公告。

2024 年 7 月 2 日更新：

  • 說明 Autopilot 叢集會受到影響，使用者必須採取行動。
  • 新增 VMware 適用的 GDC 軟體、GKE on AWS 和 GKE on Azure 的影響評估和緩解步驟。
  • 修正裸機適用的 GDC 軟體安全性公告，明確指出裸機適用的 GDC 軟體不會直接受到影響，客戶應向 OS 供應商確認修補程式。

OpenSSH 最近發現遠端程式碼執行安全漏洞 CVE-2024-6387。這個安全漏洞會利用競爭狀況，取得遠端殼層的存取權，讓攻擊者取得根層級存取權。截至本文發布時，我們認為攻擊者難以利用這個漏洞，且每攻擊一部機器就需要數小時。我們目前未發現任何漏洞攻擊。

如需操作說明和更多詳細資料，請參閱下列公告：

 重大 CVE-2024-6387

GCP-2024-039

發布日期 ：2024 年 6 月 28 日

更新日期：2024 年 9 月 25 日

說明

說明 嚴重性 附註

2024-09-25 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-08-20 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26923

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26923

GCP-2024-038

發布日期 ：2024-06-26

更新日期：2024 年 9 月 17 日

說明

說明 嚴重性 附註

2024-09-17 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-08-06 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26924

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26924

GCP-2024-037

發布日期 ：2024-06-18

說明 嚴重性 附註

VMware 揭露了 VMSA-2024-0012 中的多個安全漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

Google Cloud VMware Engine 影響

  • 只要存取 vCenter Server 中的特定通訊埠，即可利用這個漏洞。Google 已封鎖 vCenter 伺服器上容易遭受攻擊的通訊埠，防止任何可能利用這項安全漏洞的行為。
  • 此外，Google 也會確保日後部署的所有 vCenter 都不會受到這個安全漏洞影響。

該怎麼辦？

目前您無須採取進一步行動。

重大

GCP-2024-036

發布日期 ：2024-06-18

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2024-26584

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26584

GCP-2024-035

發布日期 ：2024-06-12

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024-07-18 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本，並新增 Container-Optimized OS 節點集區 1.27 版的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26584

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26584

GCP-2024-034

發布日期： 2024-06-11

更新日期：2024 年 7 月 10 日

說明

說明 嚴重性 附註

2024-07-10 更新：新增執行 1.26 和 1.27 子版本的 Container-Optimized OS 節點修補程式版本，以及 Ubuntu 節點修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2024-26583

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26583

GCP-2024-033

發布日期： 2024-06-10

更新日期：2024-09-26

說明

說明 嚴重性 附註

2024-09-26 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權：

  • CVE-2022-23222

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2022-23222

GCP-2024-032

發布日期：2024-06-04

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-23326：Envoy 誤接受 HTTP 200 回應，進入升級模式。
  • CVE-2024-32974：EnvoyQuicServerStream::OnInitialHeadersComplete() 異常終止。
  • CVE-2024-32975：QuicheDataReader::PeekVarInt62Length() 異常終止。
  • CVE-2024-32976：解壓縮 Brotli 資料時，若有額外輸入內容，會導致無限迴圈。
  • CVE-2024-34362：EnvoyQuicServerStream 發生當機 (釋放後使用)。
  • CVE-2024-34363：因未擷取的 nlohmann JSON 例外狀況而當機。
  • CVE-2024-34364：Envoy OOM 向量來自 HTTP 非同步用戶端，具有無限制的回應緩衝區，用於鏡像回應。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高

GCP-2024-031

發布日期：2024 年 5 月 24 日

說明

說明 嚴重性 附註

Fluent Bit 發現新的安全漏洞 (CVE-2024-4323)，可能導致遠端程式碼執行。Fluent Bit 2.0.7 至 3.0.3 版會受到影響。

GKE、GKE on VMware、GKE on AWS、GKE on Azure 和 GKE on Bare Metal 未使用含有安全漏洞的 Fluent Bit 版本，因此不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2024-4323

GCP-2024-030

發布日期： 2024-05-15

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024-07-18 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-52620

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-52620

GCP-2024-029

發布日期： 2024-05-14

更新日期：2024 年 8 月 19 日

說明

說明 嚴重性 附註

2024 年 8 月 19 日更新：新增 GKE Ubuntu 節點集區的修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26642

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26642

GCP-2024-028

發布日期： 2024-05-13

更新日期：2024 年 5 月 22 日

說明

說明 嚴重性 附註

2024-05-22 更新：新增 Ubuntu 修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26581

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26581

GCP-2024-027

發布日期： 2024 年 5 月 8 日

更新日期：2024 年 9 月 25 日

說明

說明 嚴重性 附註

2024-09-25 更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

2024-05-15 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

2024-05-09 更新：將嚴重性從「中」修正為「高」，並說明採用預設設定的 GKE Autopilot 叢集不受影響。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26808

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26808

GCP-2024-026

發布日期： 2024-05-07

更新日期：2024 年 8 月 6 日

說明

說明 嚴重性 附註

2024-08-06 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

2024-05-09 更新：將嚴重程度從「中」修正為「高」。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26643

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26643

GCP-2024-025

發布日期：2024 年 4 月 26 日

說明

說明 嚴重性 附註

Looker 已修正外部研究人員透過 Google 和 Alphabet 安全漏洞檢舉計畫 (VRP) 回報的安全漏洞，但未發現任何遭入侵的證據。這些問題現已解決，Looker (Google Cloud Core) 和 Looker (原始版) 的由 Looker 代管客戶不需採取任何行動。建議自行託管的 Looker 執行個體更新至最新支援版本。

我該怎麼做？

由 Looker 代管的執行個體：Looker (Google Cloud Core) 和 Looker (原始) 執行個體

客戶無須採取任何行動。

僅限自行託管的 Looker 執行個體

如果您的 Looker 執行個體是自行託管，建議將 Looker 執行個體升級至下列其中一個版本：

  • 24.6.12+
  • 24.4.27+
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105+
  • 23.6.163+

如何修正？

Google 停用了從 Looker 應用程式直接存取內部資料庫的管理員權限、移除可跨租戶存取的進階權限，並輪替外洩的密鑰。此外，我們也修補了可能導致服務帳戶憑證外洩的路徑遍歷安全漏洞。我們也正在全面審查程式碼和系統，找出並解決任何類似的潛在安全漏洞。

 重大

GCP-2024-024

發布日期： 2024-04-25

更新日期：2024 年 7 月 18 日

說明

說明 嚴重性 附註

2024-07-18 更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-26585

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-26585

GCP-2024-023

發布日期： 2024-04-24

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-27919：HTTP/2：CONTINUATION 框架氾濫導致記憶體耗盡。
  • CVE-2024-30255：HTTP/2：CONTINUATION 框架氾濫導致 CPU 耗盡
  • CVE-2024-32475：使用「auto_sni」時，如果「:authority」標頭長度超過 255 個字元，會導致異常終止。
  • CVE-2023-45288：HTTP/2 CONTINUATION 框架可能用於阻斷服務攻擊。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2024-022

發布日期：2024 年 4 月 3 日

更新日期：2024 年 7 月 17 日

說明

說明 嚴重性 附註

2024-07-17 更新：新增 GKE on VMware 修補程式版本

2024-07-09 更新：新增 GKE on Bare Metal 修補程式版本

2024 年 4 月 24 日更新：新增 GKE 修補程式版本。

最近，我們在 HTTP/2 通訊協定的多個實作中發現阻斷服務 (DoS) 漏洞 (CVE-2023-45288)，包括 Kubernetes 使用的 golang HTTP 伺服器。這項安全漏洞可能導致 Google Kubernetes Engine (GKE) 控制層發生阻斷服務。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-45288

GCP-2024-021

發布日期 ：2024 年 4 月 3 日

說明

說明 嚴重性 附註

Compute Engine 不受 CVE-2024-3094 影響，該漏洞會影響 liblzma 程式庫中 xz-utils 套件的 5.6.0 和 5.6.1 版，並可能導致 OpenSSH 公用程式遭到入侵。

詳情請參閱 Compute Engine 安全性公告。

 中 CVE-2024-3094

GCP-2024-020

發布日期 ：2024-04-02

說明

說明 嚴重性 附註

研究人員在 Ray 中發現安全漏洞 (CVE-2023-48022)。Ray 是第三方開放原始碼工具，適用於 AI 工作負載。由於 Ray 不需要驗證，威脅發動者只要將工作提交至公開的執行個體，即可遠端執行程式碼。Ray 的開發人員 Anyscale 對這項安全漏洞提出爭議。Ray 堅稱其功能是預期的核心產品功能，且必須在 Ray 叢集外部實作安全性，因為 Ray 叢集任何非預期的網路暴露都可能導致入侵。

根據回覆，這項 CVE 存在爭議，可能不會顯示在安全漏洞掃描程式中。無論如何，這項漏洞已在實際環境中遭到濫用，使用者應按照下方建議設定使用方式。

我該怎麼做？

請遵循 Ray 最佳做法和指南，包括在信任的網路上執行信任的程式碼，以保護 Ray 工作負載。在客戶雲端執行個體中部署 ray.io 屬於共同責任模式。

Google Kubernetes Engine (GKE) 安全性團隊發布了一篇網誌，說明如何在 GKE 上強化 Ray。

如要進一步瞭解如何為 Ray 服務新增驗證和授權機制，請參閱 Identity-Aware Proxy (IAP) 說明文件。GKE 使用者可以按照這份指南導入 IAP，或重新調整網誌中連結的 Terraform 模組。

 高 CVE-2023-48022

GCP-2024-018

發布日期 ：2024-03-12

更新日期：2024 年 4 月 4 日、2024 年 5 月 6 日

說明

說明 嚴重性 附註

2024-05-06 更新：新增 GKE Ubuntu 節點集區的修補程式版本。

2024-04-04 更新：修正 GKE Container-Optimized OS 節點集區的最低版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-1085

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-1085

GCP-2024-017

發布日期： 2024-03-06

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-3611

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3611

GCP-2024-016

發布日期： 2024-03-05

說明 嚴重性 附註

VMware 在 VMSA-2024-0006 中揭露多個安全漏洞，這些漏洞會影響部署在客戶環境中的 ESXi 元件。

Google Cloud VMware Engine 影響

您的私有雲已更新，安全漏洞已修復。

該怎麼辦？

你無需採取任何行動。

重大

GCP-2024-014

發布日期： 2024-02-26

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-3776

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3776

GCP-2024-013

發布日期： 2024-02-27

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-3610

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3610

GCP-2024-012

發布日期： 2024 年 2 月 20 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2024-0193

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-0193

GCP-2024-011

發布日期： 2024 年 2 月 15 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權：

  • CVE-2023-6932

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6932

GCP-2024-010

發布日期： 2024-02-14

更新日期：2024 年 4 月 17 日

說明

說明 嚴重性 附註

2024-04-17 更新：新增 GKE on VMware 修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-6931

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6931

GCP-2024-009

發布日期：2024 年 2 月 13 日

說明

說明 嚴重性 附註

AMD 於 2024 年 2 月 13 日揭露兩個安全漏洞，會影響採用第三代「Milan」和第四代「Genoa」Zen 核心的 EPYC CPU 上的 SEV-SNP。攻擊者可利用這些安全漏洞，存取來自訪客的過時資料，或導致訪客完整性受損。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前尚未發現或接獲任何漏洞遭濫用的證據。

我該怎麼做？

客戶無須採取任何行動。我們已針對 Google Cloud(包括 Compute Engine) 將修正程式套用至 Google 伺服器機群。

詳情請參閱 AMD 安全性公告 AMD-SN-3007。

 中

GCP-2024-008

發布日期：2024 年 2 月 12 日

說明

說明 嚴重性 附註

CVE-2023-5528 可讓攻擊者在 Windows 節點上建立 Pod 和永久磁碟區，進而提升這些節點的管理員權限。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-5528

GCP-2024-007

發布日期：2024 年 2 月 8 日

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2024-23322：Envoy 在閒置時當機，且每次嘗試逾時的要求發生在輪詢間隔內。
  • CVE-2024-23323：使用規則運算式設定 URI 範本比對器時，CPU 使用率過高。
  • CVE-2024-23324：Proxy 通訊協定篩選器設定無效的 UTF-8 中繼資料時，可略過外部授權。
  • 使用 OS 不支援的位址類型時，Envoy 會異常終止。
  • CVE-2024-23327：指令類型為 LOCAL 時，Proxy 通訊協定會當機。

如需操作說明和詳細資料，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2024-006

發布日期：2024 年 2 月 5 日

說明

說明 嚴重性 附註

Apigee API 管理平台 Proxy 連線至目標端點或 目標伺服器時，預設不會針對目標端點或目標伺服器提供的憑證執行主機名稱驗證。如未透過下列任一選項啟用主機名稱驗證功能，連線至目標端點或目標伺服器的 Apigee Proxy 可能會遭到授權使用者發動中間人攻擊。詳情請參閱「設定從 Edge 到後端的 TLS (Cloud 和 私有雲)」。

下列 Apigee 平台上的 Apigee Proxy 部署作業會受到影響：

  • Apigee Edge for Public Cloud
  • Apigee Edge for Private Cloud

如需操作說明和詳細資訊，請參閱 Apigee 安全性公告。

 高

GCP-2024-005

發布日期：2024 年 1 月 31 日
更新日期：2024 年 4 月 2 日、2024 年 5 月 6 日

說明

說明 嚴重性 附註

2024-05-06 更新：新增 GKE on AWS 和 GKE on Azure 的修補程式版本。

2024-04-02 更新：新增 GKE on Bare Metal 修補程式版本

2024-03-06 更新：新增 GKE on VMware 修補程式版本

2024 年 2 月 28 日更新：新增 Ubuntu 修補程式版本

2024-02-15 更新：說明 2024-02-14 更新中的 1.25 和 1.26 Ubuntu 修補程式版本可能會導致節點健康狀態不佳。

2024-02-14 更新：新增 Ubuntu 修補程式版本

2024-02-06 更新： 新增 Container-Optimized OS 的修補程式版本。

runc 發現安全漏洞 CVE-2024-21626，使用者如有權在 Container-Optimized OS 和 Ubuntu 節點上建立 Pod，或許就能取得節點檔案系統的完整存取權。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2024-21626

GCP-2024-004

發布日期：2024 年 1 月 24 日
更新日期：2024 年 2 月 7 日

說明

說明 嚴重性 附註

2024 年 2 月 7 日更新： 新增 Ubuntu 修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-6817

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6817

GCP-2024-003

發布日期：2024 年 1 月 19 日
更新日期：2024 年 1 月 26 日

說明

說明 嚴重性 附註

2024 年 1 月 26 日更新：釐清受影響的叢集數量，以及我們為協助減輕影響而採取的行動。詳情請參閱 GCP-2024-003 安全性公告。

我們發現有幾個叢集的使用者將 Kubernetes 權限授予 system:authenticated 群組，其中包含所有擁有 Google 帳戶的使用者。我們不建議使用這類繫結，因為這類繫結違反最小權限原則，會將存取權授予大量使用者。請參閱「該怎麼做」一節，瞭解如何找出這類繫結。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2024-002

發布日期： 2024-01-17

更新日期：2024-02-20

說明

說明 嚴重性 附註

2024-02-20 更新：新增 GKE on VMware 修補程式版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 節點上的提權。

  • CVE-2023-6111

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-6111

GCP-2024-001

發布日期：2024-01-09

說明

說明 嚴重性 附註

我們在 TianoCore EDK II UEFI 韌體中發現多項安全漏洞。這項韌體用於 Google Compute Engine VM。如果遭到利用，這些漏洞可能會允許略過安全啟動，進而在安全啟動程序中提供錯誤的測量結果，包括在 Shielded VM 中使用時。

該怎麼辦？

您無須採取任何行動，Google 已在 Compute Engine 中修補這個安全漏洞，所有 VM 都不會受到這個安全漏洞影響。

這個修補程式修正了哪些安全漏洞？

這個修補程式可緩解下列安全漏洞：

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 中

GCP-2023-051

發布日期： 2023 年 12 月 28 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-3609

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3609

GCP-2023-050

發布日期 ：2023 年 12 月 27 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-3389

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3389

GCP-2023-049

發布日期 ：2023 年 12 月 20 日

說明

說明 嚴重性 附註

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-3090

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3090

GCP-2023-048

發布日期： 2023-12-15

更新日期：2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-3390

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3390

GCP-2023-047

發布日期：2023-12-14

說明

說明 嚴重性 附註

如果攻擊者入侵 Fluent Bit 記錄容器，就能將該存取權與 Cloud Service Mesh 所需的高權限 (在已啟用該服務的叢集上) 結合，藉此提升叢集中的權限。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2023-046

發布日期：2023-11-22
更新日期：2024-03-04

說明

說明 嚴重性 附註

2024-03-04 更新： 新增 GKE on VMware 的 GKE 版本。

2024 年 1 月 22 日更新：新增 Ubuntu 修補程式版本

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-5717

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-5717

GCP-2023-045

發布日期： 2023 年 11 月 20 日

更新日期：2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-5197

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-5197

GCP-2023-044

發布日期：2023-11-15

說明

說明 嚴重性 附註

AMD 於 11 月 14 日揭露多項安全漏洞，會影響多種 AMD 伺服器 CPU。具體來說，這些安全漏洞會影響採用 Zen 核心第 2 代「Rome」、第 3 代「Milan」和第 4 代「Genoa」的 EPYC 伺服器 CPU。

Google 已對受影響的資產 (包括 Google Cloud) 套用修正程式，確保客戶受到保護。目前 Google 尚未發現或接獲任何漏洞遭濫用的證據。

我該怎麼做？

客戶無須採取任何行動。

我們已對 Google Cloud 的 Google 伺服器機群 (包括 Google Compute Engine) 套用修正程式。

解決哪些安全漏洞？

這個修補程式可緩解下列安全漏洞：

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

詳情請參閱 AMD 的安全性公告 AMD-SN-3005：「AMD INVD 指令安全性通知」(也稱為 CacheWarp)，以及 AMD-SN-3002：「AMD 伺服器安全漏洞 - 2023 年 11 月」。

 中

GCP-2023-043

發布日期：2023 年 11 月 14 日

說明

說明 嚴重性 附註

Intel 揭露了特定處理器中的 CPU 漏洞。Google 已採取措施，降低伺服器機群 (包括 Google Cloud的 Google Compute Engine) 和 ChromeOS 裝置的風險，確保客戶受到保護。

安全漏洞詳情：

  • CVE-2023-23583

我該怎麼做？

客戶無須採取任何行動。

Intel 為受影響處理器提供的緩解措施已套用至 Google 伺服器機群，包括 Google Cloud的 Google Compute Engine。

目前，Google Distributed Cloud Edge 需要原始設備製造商 (OEM) 提供更新。Google 會在更新推出後修復這項產品，並據此更新本公告。

搭載受影響處理器的 ChromeOS 裝置，已在 119、118 和 114 (LTS) 版本中自動收到修正程式。

解決哪些安全漏洞？

CVE-2023-23583。詳情請參閱 Intel 安全性諮詢 INTEL-SA-00950。

 高 CVE-2023-23583

GCP-2023-042

發布日期：2023 年 11 月 13 日
更新日期：2023 年 11 月 15 日

說明

說明 嚴重性 附註

2023-11-15 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4147

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4147

GCP-2023-041

發布日期： 2023-11-08

更新日期：2023 年 11 月 21 日、2023 年 12 月 5 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2023-12-05 更新：新增 Container-Optimized OS 節點集區適用的 GKE 版本。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4004

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4004

GCP-2023-040

發布日期： 2023-11-06

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4921

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4921

GCP-2023-039

發布日期：2023-11-06

更新日期： 2023 年 11 月 21 日、2023 年 11 月 16 日

說明

說明 嚴重性 附註

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

2023 年 11 月 16 日更新：與本安全性公告相關的安全漏洞為 CVE-2023-4622。在先前的安全性公告版本中，CVE-2023-4623 誤列為安全漏洞。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4623

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4622

GCP-2023-038

發布日期： 2023-11-06

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4623

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4623

GCP-2023-037

發布日期：2023-11-06

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4015

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4015

GCP-2023-036

發布日期：2023 年 10 月 30 日

說明

說明 嚴重性 附註

深度學習 VM 映像檔是一組預先封裝的虛擬機器映像檔，內含深度學習架構，可立即執行。最近，我們在 `libwebp` 程式庫的 `ReadHuffmanCodes()` 函式中發現越界寫入安全漏洞。使用這個程式庫的映像檔可能會受到影響。

Google Cloud 會持續掃描公開發布的映像檔並更新套件，確保最新版本包含已修補的發行版，可供客戶採用。深度學習 VM 映像檔已更新，確保最新的 VM 映像檔包含已修補的發行版本。採用最新 VM 映像檔的客戶不會受到這個安全漏洞影響。

我該怎麼做？

Google Cloud 使用已發布 VM 映像檔的客戶，應確保採用最新映像檔，並根據共同責任模式更新環境。

攻擊者可利用 CVE-2023-4863 執行任意程式碼。這個安全漏洞是在 116.0.5845.187 之前的 Google Chrome 版本和 1.3.2 之前的 `libwebp` 版本中發現，並列在 CVE-2023-4863 下。

 高 CVE-2023-4863

GCP-2023-035

發布日期：2023 年 10 月 26 日

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-4206CVE-2023-4207、CVE-2023-4208、CVE-2023-4128

GCP-2023-034

發布日期：2023 年 10 月 25 日

更新日期：2023 年 10 月 27 日

說明

說明 嚴重性 附註

VMware 揭露了 VMSA-2023-0023 中的多個安全漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

Cloud Customer Care 影響

  • 只要存取 vCenter Server 中的特定通訊埠，即可利用這項漏洞。這些通訊埠不會公開至網際網路。
  • 如果您的 vCenter 通訊埠 2012/tcp、2014/tcp 和 2020/tcp 無法由不受信任的系統存取，就不會受到這個安全漏洞影響。
  • Google 已封鎖 vCenter 伺服器上容易遭受攻擊的通訊埠，防止任何可能利用這項安全漏洞的行為。
  • 此外，Google 也會確保日後部署的所有 vCenter 伺服器都不會受到這個安全漏洞影響。
  • 在發布公告時，VMware 並未發現任何「實際」漏洞攻擊。 詳情請參閱 VMware 說明文件。

該怎麼辦？

目前無須採取進一步行動

 重大 CVE-2023-34048,CVE-2023-34056

GCP-2023-033

發布日期：2023 年 10 月 24 日

更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：明確指出採用預設設定的 GKE Autopilot 叢集和 GKE Sandbox 工作負載不受影響。

2023-11-21 更新：說明只有列出的子版本需要升級至對應的 GKE 修補版本。

Linux 核心中發現下列安全漏洞，可能導致 Container-Optimized OS 和 Ubuntu 節點上的提權。

  • CVE-2023-3777

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3777

GCP-2023-032

發布日期：2023 年 10 月 13 日

更新日期：2023 年 11 月 3 日

說明

說明 嚴重性 附註

2023 年 11 月 3 日更新：新增 Apigee Edge for Private Cloud 的 已知問題。

最近在 HTTP/2 通訊協定的多個實作項目 (CVE-2023-44487) 中發現阻斷服務 (DoS) 漏洞，包括 Apigee X 和 Apigee Hybrid 使用的 Apigee Ingress (Cloud Service Mesh) 服務。這項安全漏洞可能會導致 Apigee API 管理功能發生阻斷服務。

如需操作說明和詳細資訊，請參閱 Apigee 安全性公告。

 高 CVE-2023-44487

GCP-2023-031

發布日期：2023-10-10

說明

說明 嚴重性 附註

使用 HTTP/2 通訊協定時，阻斷服務攻擊可能會影響資料層。如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2023-44487

GCP-2023-030

發布日期：2023-10-10

更新日期：2024 年 3 月 20 日

說明

說明 嚴重性 附註

2024-03-20 更新：新增 AWS 適用的 GKE 和 Azure 適用的 GKE 修補程式版本，其中包含 CVE-2023-44487 的最新修補程式。

2024-02-14 更新：新增 VMware 適用的 GKE 修補程式版本。

2023-11-09 更新：新增 CVE-2023-39325。更新 GKE 版本，並套用 CVE-2023-44487 和 CVE-2023-39325 的最新修補程式。

最近在 HTTP/2 通訊協定的多個實作中發現阻斷服務 (DoS) 漏洞 (CVE-2023-44487)，包括 Kubernetes 使用的 golang HTTP 伺服器。這項安全漏洞可能導致 Google Kubernetes Engine (GKE) 控制層發生阻斷服務。設定授權網路的 GKE 叢集會限制網路存取權，因此受到保護，但所有其他叢集都會受到影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-44487、CVE-2023-39325

GCP-2023-029

發布日期：2023-10-03

說明

說明 嚴重性 附註

TorchServe 可用於託管 PyTorch 機器學習模型，以便進行線上預測。Vertex AI 提供預先建構的 PyTorch 模型 serving 容器，這些容器依附於 TorchServe。TorchServe 最近發現安全漏洞，如果模型管理 API 暴露在外，攻擊者就能控制 TorchServe 部署作業。如果客戶將 PyTorch 模型部署至 Vertex AI Online Prediction，則不會受到這些安全漏洞影響，因為 Vertex AI 不會公開 TorchServe 的模型管理 API。在 Vertex AI 以外使用 TorchServe 的客戶，應採取預防措施，確保部署作業安全無虞。

我該怎麼做？

Vertex AI 客戶如果使用 Vertex AI 的預建 PyTorch 服務容器部署模型，則不需採取任何行動來解決安全漏洞，因為 Vertex AI 的部署作業不會將 TorchServe 的管理伺服器公開至網際網路。

如果客戶在其他情境中使用預先建構的 PyTorch 容器，或使用自訂或第三方的 TorchServe 發行版本，應採取下列行動：

  • 請確保 TorchServe 的模型管理 API 不會公開至網際網路。只要確保 management_address 繫結至 127.0.0.1，即可將模型管理 API 限制為僅限本機存取。
  • 使用 allowed_urls 設定，確保只能從預期來源載入模型。
  • 請盡快將 TorchServe 升級至 0.8.2 版，其中包含這個問題的緩解措施。為防範未然，Vertex AI 將在 2023 年 10 月 13 日前發布修正後的預建容器。

解決哪些安全漏洞？

在大多數 TorchServe Docker 映像檔 (包括 Vertex AI 發布的映像檔) 中，TorchServe 的管理 API 預設會繫結至 0.0.0.0，因此可供外部要求存取。TorchServe 0.8.2 將管理 API 的預設 IP 位址變更為 127.0.0.1，可緩解這個問題。

CVE-2023-43654 和 CVE-2022-1471 允許有權存取 Management API 的使用者從任意來源載入模型，並遠端執行程式碼。TorchServe 0.8.2 包含這兩項問題的緩解措施：移除遠端執行程式碼路徑，並在使用 allowed_urls 的預設值時發出警告。

 高 CVE-2023-43654、CVE-2022-1471

GCP-2023-028

發布日期：2023 年 9 月 19 日

更新日期： 2024-05-29

說明

說明 嚴重性 附註
2024 年 5 月 29 日更新：新的新聞動態消息不再使用共用服務帳戶，但現有的新聞動態消息仍會使用，以免服務中斷。系統會禁止變更舊版動態饋給中的來源，以免共用服務帳戶遭到濫用。只要不變更來源，客戶就能繼續正常使用舊動態饋給。

客戶可以設定 Google Security Operations，使用擷取動態饋給，從客戶擁有的 Cloud Storage bucket 擷取資料。直到最近，Google Security Operations 仍提供共用服務帳戶，讓客戶授予 bucket 權限。在特定情況下，某位客戶的 Google Security Operations 執行個體，可能會擷取另一位客戶 Cloud Storage bucket 中的資料。經過影響分析後，我們發現目前或先前並未有人利用這個安全漏洞。2023 年 9 月 19 日前推出的所有 Google Security Operations 版本都存在這個安全漏洞。

我該怎麼做？

Google Security Operations 已於 2023 年 9 月 19 日更新，解決這項安全漏洞。客戶無須採取任何行動。

解決哪些安全漏洞？

Google Security Operations 先前提供共用服務帳戶，讓客戶授予 bucket 權限。由於不同客戶將同一個 Google Security Operations 服務帳戶權限授予其 bucket，因此存在一個漏洞，允許一個客戶的動態饋給在建立或修改時存取另一個客戶的 bucket。這項攻擊媒介需要知道 bucket URI。現在，Google Security Operations 會在建立或修改動態饋給時，為每位客戶使用專屬服務帳戶。

 高

GCP-2023-027

發布日期：2023 年 9 月 11 日
說明 嚴重性 附註

VMware vCenter Server 更新解決多個記憶體損毀安全漏洞 (CVE-2023-20892、CVE-2023-20893、CVE-2023-20894、CVE-2023-20895、CVE-2023-20896)

客戶服務影響

VMware vCenter Server (vCenter Server) 和 VMware Cloud Foundation (Cloud Foundation)。

該怎麼辦？

客戶不會受到影響，也不必採取任何行動。

 中

GCP-2023-026

發布日期：2023 年 9 月 6 日

說明

說明 嚴重性 附註

Kubernetes 發現三個安全漏洞 (CVE-2023-3676、CVE-2023-3955、CVE-2023-3893)，使用者只要能在 Windows 節點上建立 Pod，就有可能將權限提升至這些節點的管理員權限。這些安全漏洞會影響 Windows 版本的 Kubelet 和 Kubernetes CSI Proxy。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-3676、CVE-2023-3955、 CVE-2023-3893

GCP-2023-025

發布日期：2023 年 8 月 8 日
說明 嚴重性 附註

Intel 最近發布了 Intel 安全性諮詢 INTEL-SA-00828，指出部分處理器系列受到影響。建議您根據公告內容評估風險。

Google Cloud VMware Engine 影響

我們的機群使用受影響的處理器系列。在我們的部署作業中，整個伺服器會專門用於一位客戶。因此，我們的部署模式不會增加您評估這項安全漏洞的風險。

我們正與合作夥伴合作取得必要修補程式，並會在未來幾週內，使用標準升級程序，優先在整個機群中部署這些修補程式。

該怎麼辦？

您無須採取任何行動，我們正在升級所有受影響的系統。

 高

GCP-2023-024

發布日期：2023-08-08

更新日期：2023 年 8 月 10 日、2024 年 6 月 4 日

說明

說明 嚴重性 附註

2024-06-04 更新：下列缺少的產品已更新，修正了這個安全漏洞：

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

2023-08-10 更新：新增 ChromeOS LTS 版本號碼。

Intel 揭露了特定處理器中的安全漏洞 (CVE-2022-40982)。 Google 已採取措施，降低伺服器機群 (包括 Google Cloud) 的風險，確保客戶受到保護。

安全漏洞詳情：

  • CVE-2022-40982 (Intel IPU 2023.3，「GDS」，又稱「Downfall」)

我該怎麼做？

客戶無須採取任何行動。

所有可用的修補程式都已套用至 Google Cloud 的 Google 伺服器機群，包括 Google Compute Engine。

目前，下列產品需要合作夥伴和供應商提供額外更新。

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Google Cloud Bare Metal 解決方案
  • Evolved Packet Core

Google 會在修補程式推出後修復這些產品，並據此更新本公告。

Google Chromebook 和 ChromeOS Flex 客戶已自動收到 Intel 提供的緩解措施，適用於穩定版 (115)、LTS (108)、Beta 版 (116) 和 LTC (114)。如果 Chromebook 和 ChromeOS Flex 客戶固定在舊版本，建議取消固定並改用穩定版或 LTS 版本，確保能收到這項和其他安全漏洞修正。

解決哪些安全漏洞？

CVE-2022-40982：詳情請參閱 Intel 安全性諮詢 INTEL-SA-00828。

 高 CVE-2022-40982

GCP-2023-023

發布日期：2023-08-08

說明

說明 嚴重性 附註

AMD 揭露了特定處理器中的安全漏洞 (CVE-2023-20569)。 Google 已採取措施，降低伺服器機群 (包括 Google Cloud) 的風險，確保客戶受到保護。

安全漏洞詳情：

  • CVE-2023-20569 (AMD SB-7005，又稱「Inception」)

我該怎麼做？

如果 Compute Engine VM 的使用者在執行個體內執行不受信任的程式碼，建議考慮採用 OS 提供的緩解措施。建議客戶與 OS 供應商聯絡，取得更具體的指引。

我們已對 Google Cloud 的 Google 伺服器機群 (包括 Google Compute Engine) 套用修正程式。

解決哪些安全漏洞？

CVE-2023-20569：詳情請參閱 AMD SB-7005。

 中 CVE-2023-20569

GCP-2023-022

發布日期 ：2023 年 8 月 3 日

說明

說明 嚴重性 附註

Google 發現 1.57 版之前的 gRPC C++ 實作項目存在安全漏洞。這是 gRPC C++ 實作中的阻斷服務安全漏洞。這些問題已在 1.53.2、1.54.3、1.55.2、1.56.2 和 1.57 版本中修正。

我該怎麼做？

請確認您使用的是下列軟體套件的最新版本：

  • gRPC (C++、Python、Ruby) 1.53、1.54、1.55 和 1.56 版必須升級至下列修補程式版本：
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • gRPC (C++、Python、Ruby) 1.52 以下版本必須升級至核准的修補程式版本。例如 1.53.2、1.54.3、1.53.4 等。

解決哪些安全漏洞？

這些修補程式可緩解下列安全漏洞：

  • gRPC C++ 實作中的阻斷服務安全漏洞：特製要求可能會導致 Proxy 與後端之間的連線終止。
高 CVE-2023-33953

GCP-2023-021

Updated:2023-07-26

Published:2023-07-25

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2023-35941：在某些特定情況下，惡意用戶端可以建構永久有效的憑證。舉例來說，HMAC 酬載中的主機和到期時間組合，在 OAuth2 篩選器的 HMAC 檢查中可能一律有效。
  • CVE-2023-35942：使用監聽器全域範圍的 gRPC 存取記錄器，可能會在監聽器耗盡時，導致釋放後使用當機。這可能是由具有相同 gRPC 存取記錄設定的 LDS 更新觸發。
  • CVE-2023-35943：如果 origin 標頭設為透過 request_headers_to_remove: origin 移除，CORS 篩選器會 segfault 並導致 Envoy 當機。
  • CVE-2023-35944：攻擊者可以傳送混合配置要求，略過 Envoy 中的配置檢查。舉例來說，如果將混合配置 HTTP 的要求傳送至 OAuth2 篩選器，則會無法通過 HTTP 的完全比對檢查，並通知遠端端點配置為 HTTPS，因此可能會略過 HTTP 要求專屬的 OAuth2 檢查。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2023-020

Updated:2023-07-26

發布日期： 2023 年 7 月 24 日

說明

說明 嚴重性 附註

AMD 已發布微碼更新，解決硬體安全漏洞 (CVE-2023-20593)。Google 已對伺服器機群 (包括 Google Cloud Platform 的伺服器) 套用必要修正程式，解決這項安全漏洞。測試結果顯示，系統效能不會受到影響。

我該怎麼做？

Google 已針對 Google Cloud Platform 的 Google 伺服器機群套用修正程式，因此客戶不需採取任何行動。

解決哪些安全漏洞？

CVE-2023-20593 解決了部分 AMD CPU 的安全漏洞。詳情請參閱這篇文章。

高 CVE-2023-20593

GCP-2023-019

Published:2023-07-18

說明

說明 嚴重性 附註

Envoy 發現新的安全漏洞 (CVE-2023-35945)，不受信任的上游服務可透過特製的回應，耗盡記憶體並造成阻斷服務。這是因為 Envoy 的 HTTP/2 轉碼器在收到 RST_STREAM 後，可能會立即從上游伺服器接收 GOAWAY 框架，導致標頭對應和記錄結構外洩。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高 CVE-2023-35945

GCP-2023-018

發布日期：2023 年 6 月 27 日

說明

說明 嚴重性 附註

Linux 核心中發現新的安全漏洞 (CVE-2023-2235)，可能導致節點權限提升。GKE Autopilot 節點一律使用 Container-Optimized OS 節點映像檔，因此 GKE Autopilot 叢集會受到影響。1.25 以上版本的 GKE Standard 叢集，如果執行 Container-Optimized OS 節點映像檔，就會受到影響。

如果 GKE 叢集僅執行 Ubuntu 節點映像檔、執行 1.25 之前的版本，或使用 GKE Sandbox，則不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-2235

GCP-2023-017

發布日期：2023 年 6 月 26 日

更新日期：2023 年 7 月 11 日

說明

說明 嚴重性 附註

2023 年 7 月 11 日更新：新版 GKE 已更新，納入修補 CVE-2023-31436 的最新 Ubuntu 版本。

Linux 核心中發現新的安全漏洞 (CVE-2023-31436)，可能導致節點提權。GKE 叢集 (包括 Autopilot 叢集) 會受到影響。使用 GKE Sandbox 的 GKE 叢集不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-31436

GCP-2023-016

發布日期：2023 年 6 月 26 日

說明

說明 嚴重性 附註

Cloud Service Mesh 使用的 Envoy 存在多個安全漏洞，惡意攻擊者可利用這些漏洞造成阻斷服務或導致 Envoy 停止運作。這些問題已在 GCP-2023-002 中個別回報。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-27496、CVE-2023-27488、CVE-2023-27493、CVE-2023-27492、CVE-2023-27491、CVE-2023-27487

GCP-2023-015

發布日期：2023 年 6 月 20 日

說明

說明 嚴重性 附註

Linux 核心中發現新的安全漏洞 CVE-2023-0468，可能允許未具備權限的使用者將權限提升至 root，因為 io_poll_get_ownership 會在每次 io_poll_wake 時持續增加 req->poll_refs，然後溢位至 0，這會導致 fput req->file 兩次，並造成 struct file refcount 問題。GKE 叢集 (包括 Autopilot 叢集) 如果使用 Linux 核心 5.15 版的 Container-Optimized OS，就會受到影響。使用 Ubuntu 映像檔或 GKE Sandbox 的 GKE 叢集則不受影響。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-CVE-2023-0468

GCP-2023-014

更新日期：2023 年 8 月 11 日
發布日期：2023 年 6 月 15 日

說明

說明 嚴重性 附註

2023-08-11 更新： 新增 GKE on VMware、GKE on AWS、GKE on Azure 和 Google Distributed Cloud Virtual for Bare Metal 的修補程式版本。

Kubernetes 發現兩項新的安全性問題，使用者在使用臨時容器和 ImagePolicyWebhook (CVE-2023-2727) 或 ServiceAccount 許可外掛程式 (CVE-2023-2728) 時，可能可以啟動略過政策限制的容器。

如需操作說明和更多詳細資料，請參閱下列公告：

 中 CVE-2023-2727、CVE-2023-2728

GCP-2023-013

發布日期：2023 年 6 月 8 日

說明

說明 嚴重性 附註

在專案中啟用 Cloud Build API 時，Cloud Build 會自動建立預設服務帳戶，代表您執行建構作業。這個 Cloud Build 服務帳戶先前具備 logging.privateLogEntries.list IAM 權限，因此建構作業預設可列出私人記錄。為遵循最小權限安全性原則，這項權限已從 Cloud Build 服務帳戶撤銷。

如需操作說明和詳細資訊，請參閱 Cloud Build 安全性公告。

 低

GCP-2023-010

發布日期：2023 年 6 月 7 日

說明

說明 嚴重性 附註

Google 在 gRPC C++ 實作中發現三個新安全漏洞。這些漏洞很快就會公開發布，編號分別為 CVE-2023-1428、CVE-2023-32731 和 CVE-2023-32732。

4 月時，我們在 1.53 和 1.54 版本中發現兩個安全漏洞。一個是 gRPC C++ 實作中的阻斷服務安全漏洞，另一個是遠端資料竊取安全漏洞。這些問題已在 1.53.1、1.54.2 和後續版本中修正。

今年 3 月，我們的內部團隊在執行例行模糊測試時，發現 gRPC 的 C++ 實作中存在阻斷服務安全漏洞。這個問題是在 gRPC 1.52 版中發現，並已在 1.52.2 和 1.53 版中修正。

該怎麼辦？

請確認您使用的是下列軟體套件的最新版本：

  • grpc (C++、Python、Ruby) 1.52、1.53 和 1.54 版必須升級至下列修補程式版本：
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • grpc (C++、Python、Ruby) 1.51 以下版本不受影響，因此使用這些版本的使用者不需採取任何行動

這些修補程式解決了哪些安全漏洞？

這些修補程式可緩解下列安全漏洞：

  • 1.53.1、1.54.2 和後續版本解決了下列問題：gRPC C++ 實作中的阻斷服務安全漏洞。經過特殊設計的要求可能會導致 Proxy 與後端之間的連線終止。遠端資料竊取安全漏洞：HPACK 表格因標頭大小限制而發生去同步化，可能導致 Proxy 後端洩漏其他連線至 Proxy 的用戶端標頭資料。
  • 1.52.2、1.53 和後續版本解決了下列問題：gRPC C++ 實作中的阻斷服務安全漏洞。剖析某些特定格式的要求可能會導致伺服器當機。

建議您升級至上述軟體套件的最新版本。

 高 (CVE-2023-1428、CVE-2023-32731)。中 (CVE-2023-32732) CVE-2023-1428、 CVE-2023-32731、 CVE-023-32732

GCP-2023-009

發布日期：2023 年 6 月 6 日

說明

說明 嚴重性 附註

secrets-store-csi-driver 發現新的安全漏洞 (CVE-2023-2878)，有權存取驅動程式記錄檔的執行者可查看服務帳戶權杖。

如需操作說明和更多詳細資料，請參閱下列公告：

 無 CVE-2023-2878

GCP-2023-008

發布日期：2023 年 6 月 5 日

說明

說明 嚴重性 附註

Linux 核心中發現新的安全漏洞 (CVE-2023-1872)，可能導致節點上的根權限提權。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-1872

GCP-2023-007

發布日期：2023 年 6 月 2 日

說明

說明 嚴重性 附註

我們最近在 SQL Server 適用的 Cloud SQL 中發現一項安全漏洞，客戶管理員帳戶可利用這項漏洞在 tempdb 資料庫中建立觸發條件，並藉此取得執行個體中的 sysadmin 權限。sysadmin 權限會讓攻擊者存取系統資料庫，並部分存取執行該 SQL Server 執行個體的機器。

Google Cloud 在 2023 年 3 月 1 日前修補安全漏洞，解決問題。 Google Cloud 未發現任何客戶執行個體遭到入侵。

如需操作說明和詳細資訊，請參閱 Cloud SQL 安全性公告。

 高

GCP-2023-005

發布日期：2023-05-18

更新日期：2023 年 6 月 6 日

說明

說明 嚴重性 附註

2023 年 6 月 6 日更新：新版 GKE 已更新，納入最新 Ubuntu 版本，可修補 CVE-2023-1281 和 CVE-2023-1829。

Linux 核心中發現兩個新的安全漏洞 (CVE-2023-1281、CVE-2023-1829)，可能導致節點上的根權限提升。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-1281 CVE-2023-1829

GCP-2023-004

發布日期：2023-04-26

說明

說明 嚴重性 附註

信任平台模組 (TPM) 2.0 發現兩個安全漏洞 (CVE-2023-1017 和 CVE-2023-1018)。

如果攻擊者具備高超技術，就能利用這些安全漏洞，在特定 Compute Engine VM 上執行 2 位元組的越界讀取/寫入。

如需操作說明和詳細資訊，請參閱 Compute Engine 安全性公告。

 中

GCP-2023-003

發布日期：2023-04-11

更新日期：2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

Linux 核心發現兩個新的安全漏洞 (CVE-2023-0240 和 CVE-2023-23586)，可能導致無權限的使用者提高權限。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2023-0240、CVE-2023-23586

GCP-2023-002

說明

說明 嚴重性 附註

下列 CVE 會使 Cloud Service Mesh 暴露於可遭利用的安全漏洞：

  • CVE-2023-27496：如果 Envoy 在執行時啟用 OAuth 篩選器，惡意行為人可能會建構要求，導致 Envoy 停止運作，進而造成阻斷攻擊。
  • CVE-2023-27488：攻擊者可利用這項安全漏洞，在使用 ext_authz 時略過驗證檢查。
  • CVE-2023-27493：Envoy 設定也必須包含一個選項，用於新增使用要求輸入內容 (例如對等互連憑證 SAN) 產生的要求標頭。
  • CVE-2023-27492：攻擊者可以針對已啟用 Lua 篩選器的路徑傳送大型要求主體，並觸發當機。
  • CVE-2023-27491：攻擊者可以傳送特別製作的 HTTP/2 或 HTTP/3 要求，在 HTTP/1 上游服務觸發剖析錯誤。
  • CVE-2023-27487：標頭「x-envoy-original-path」應為內部標頭，但 Envoy 在要求處理程序開始時，不會從不受信任用戶端傳送的要求中移除這個標頭。

如需操作說明和詳細資料，請參閱 Cloud Service Mesh 安全性公告。

 高

GCP-2023-001

發布日期：2023-03-01、2023-12-21

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

Linux 核心中發現新的安全漏洞 (CVE-2022-4696)，可能導致節點上的提權。

如需操作說明和更多詳細資料，請參閱下列公告：

 高 CVE-2022-4696

GCP-2022-026

發布日期：2023-01-11

說明

說明 嚴重性 附註

OpenSSL 3.0.6 版發現兩個新的安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)，可能導致當機。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2022-025

發布日期：2022 年 12 月 21 日
更新日期：2023 年 1 月 19 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2023 年 1 月 19 日更新：新增 GKE 1.21.14-gke.14100 版的相關資訊。

OpenSSL 3.0.6 版發現兩個新的安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)，可能導致當機。

如需操作說明和更多詳細資料，請參閱下列公告：

 中

GCP-2022-024

發布日期：2022-11-09

更新日期：2023 年 1 月 19 日

說明

說明 嚴重性 附註

2023 年 1 月 19 日更新：新增 GKE 1.21.14-gke.14100 版的相關資訊。

2022-12-16 更新：新增 GKE 和 GKE on VMware 的修補程式版本。

Linux 核心中發現兩個新的安全漏洞 (CVE-2022-2585 和 CVE-2022-2588)，可能導致容器完全中斷，並在節點上取得根層級權限。

如需操作說明和更多詳細資料，請參閱：

 高

GCP-2022-023

發布日期：2022 年 11 月 4 日

說明

說明 嚴重性 附註

Cloud Service Mesh 使用的 Istio 發現安全漏洞 CVE-2022-39278，惡意攻擊者可利用這個漏洞導致控制層停止運作。

如需操作說明和更多詳細資料，請參閱下列公告：

高 CVE-2022-39278

GCP-2022-022

發布日期：2022 年 10 月 28 日

更新日期：2022 年 12 月 14 日

說明

說明 嚴重性 附註

2022-12-14 更新：新增 GKE 和 GKE on VMware 的修補程式版本。

Linux 核心中發現新的安全漏洞 CVE-2022-20409，可能允許無權限的使用者將權限提升至系統執行權限。

如需操作說明和更多詳細資料，請參閱下列公告：

高 CVE-2022-20409

GCP-2022-021

發布日期：2022 年 10 月 27 日

更新日期：2023 年 1 月 19 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2023 年 1 月 19 日更新：新增 GKE 1.21.14-gke.14100 版的相關資訊。

2022-12-15 更新：更新資訊，指出 Google Kubernetes Engine 1.21.14-gke.9400 版尚未推出，且可能由更高版本取代。

2022-11-22 更新：新增 VMware 適用的 GKE、AWS 適用的 GKE 和 Azure 適用的 GKE 修補程式版本。

Linux 核心中發現新的安全漏洞 CVE-2022-3176，可能導致本機提權。這項安全漏洞可讓不具權限的使用者完全突破容器，取得節點的根層級權限。

如需操作說明和詳細資訊，請參閱下列公告：

高 CVE-2022-3176

GCP-2022-020

發布日期：2022 年 10 月 5 日

更新日期：2022 年 10 月 12 日

說明

說明 嚴重性 附註

Istio 控制層 istiod 容易發生要求處理錯誤，如果叢集的驗證用 Webhook 公開，惡意攻擊者就能傳送特製訊息，導致控制層停止運作。這個端點是透過 TLS 通訊埠 15017 提供，但不需要攻擊者進行任何驗證。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 高 CVE-2022-39278

GCP-2022-019

發布日期：2022 年 9 月 22 日

說明

說明 嚴重性 附註

ProtocolBuffer 的 C++ 和 Python 實作項目存在訊息剖析和記憶體管理安全漏洞，在處理特製訊息時可能會觸發記憶體不足 (OOM) 錯誤。這可能會導致使用程式庫的服務發生阻斷服務 (DoS) 攻擊。

該怎麼辦？

請確認您使用的是下列軟體套件的最新版本：

  • protobuf-cpp (3.18.3、3.19.5、3.20.2、3.21.6)
  • protobuf-python (3.18.3、3.19.5、3.20.2、4.21.6)

這個修補程式修正了哪些安全漏洞？

這個修補程式可有效降低下列安全漏洞的風險：

經過特殊建構的小型訊息，會導致執行中的服務分配大量 RAM。由於要求的大小很小，因此很容易利用安全漏洞並耗盡資源。如果 C++ 和 Python 系統使用的 protobuf 不受信任，且 RPC 要求中含有 MessageSet 物件，就可能遭受 DoS 攻擊。

 中 CVE-2022-1941

GCP-2022-018

發布日期：2022-08-01

更新日期：2022 年 9 月 14 日、2023 年 12 月 21 日

說明

說明 嚴重性 附註

2023-12-21 更新：說明採用預設設定的 GKE Autopilot 叢集不受影響。

2022-09-14 更新：新增 GKE on VMware、GKE on AWS 和 GKE on Azure 的修補程式版本。

Linux 核心中發現新的安全漏洞 (CVE-2022-2327)，可能導致本機權限提升。這項安全漏洞可讓不具權限的使用者在節點上取得完整的容器突破權限，進而取得根層級權限。

如需操作說明和詳細資訊，請參閱下列公告：

高 CVE-2022-2327

GCP-2022-017

發布日期：2022 年 6 月 29 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：使用 GKE Sandbox 的工作負載不受這些安全漏洞影響。

2022 年 7 月 21 日更新：VMware 適用的 GKE 相關額外資訊。

Linux 核心版本 5.10 和 5.11 版發現新的安全漏洞 (CVE-2022-1786)。這項安全漏洞可讓具備叢集本機存取權的非特殊權限使用者，在節點上取得完整的容器突破權限，進而取得根權限。只有執行 Container-Optimized OS 的叢集會受到影響。GKE Ubuntu 版本使用 5.4 或 5.15 版核心，因此不受影響。

如需操作說明和詳細資訊，請參閱：

 高 CVE-2022-1786

GCP-2022-016

發布日期：2022 年 6 月 23 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：Autopilot 叢集不受 CVE-2022-29581 影響，但容易受到 CVE-2022-29582 和 CVE-2022-1116 影響。

Linux 核心中發現三個新的記憶體損毀安全漏洞 (CVE-2022-29581、CVE-2022-29582、CVE-2022-1116)。這些安全漏洞可讓具備叢集本機存取權的非特殊權限使用者，在節點上取得完整的容器突破權限，進而取得根層級權限。所有 Linux 叢集 (Container-Optimized OS 和 Ubuntu) 都會受到影響。

如需操作說明和詳細資訊，請參閱下列公告：

 高

GCP-2022-015

發布日期：2022 年 6 月 9 日
更新日期：2022 年 6 月 10 日

說明

說明 嚴重性 附註

2022-06-10 更新：Cloud Service Mesh 版本已更新。如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

下列 Envoy 和 Istio CVE 會使 Cloud Service Mesh 和 GKE 上的 Istio 暴露在可遠端利用的安全漏洞中：

  • CVE-2022-31045：啟用中繼資料交換和統計資料擴充功能時，Istio 資料層可能會以不安全的方式存取記憶體。
  • CVE-2022-29225：如果惡意攻擊者傳遞高度壓縮的小型酬載 (ZIP 炸彈攻擊)，資料可能會超過中繼緩衝區限制。
  • CVE-2021-29224：GrpcHealthCheckerImpl 中可能存在空指標參照。
  • CVE-2021-29226：OAuth 篩選器允許一般略過。
  • CVE-2022-29228：OAuth 篩選器可能會損毀記憶體 (舊版) 或觸發 ASSERT() (新版)。
  • CVE-2022-29227：含有主體或結尾的要求會導致內部重新導向當機。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

 重大

GCP-2022-014

發布日期：2022 年 4 月 26 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：在 GKE Sandbox 中執行的 GKE Autopilot 叢集和工作負載不受影響。

2022-05-12 更新：GKE on AWS 和 GKE on Azure 版本已更新。如需操作說明和詳細資訊，請參閱：

Linux 核心中發現了兩個安全漏洞：CVE-2022-1055 和 CVE-2022-27666。每項漏洞都可能讓本機攻擊者突破容器、在主機上提權，或兩者兼具。這些安全漏洞會影響所有 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu)。如需操作說明和詳細資訊，請參閱下列安全性公告：

高 CVE-2022-1055
CVE-2022-27666

GCP-2022-013

發布日期：2022 年 4 月 11 日
更新日期：2022 年 4 月 22 日

說明

說明 嚴重性 附註

我們發現 containerd 處理 OCI 映像檔磁碟區規格中的路徑遍歷時，存在安全漏洞 CVE-2022-23648。如果容器是透過 containerd 的 CRI 實作項目啟動，且採用經過特殊設計的映像檔設定，則可取得主機上任意檔案和目錄的完整讀取權限。這項安全漏洞可能會略過容器設定中任何以政策為基礎的強制執行措施 (包括 Kubernetes Pod 安全性政策)。

如需操作說明和詳細資訊，請參閱下列安全性公告：

中 CVE-2022-23648

GCP-2022-012

發布日期：2022 年 4 月 7 日
更新日期：2022 年 11 月 22 日

說明

說明 嚴重性 附註

2022 年 11 月 22 日更新：無論是 Standard 還是 Autopilot 模式，使用 GKE Sandbox 的工作負載都不會受到影響。

Linux 核心版本 5.8 以上版本發現安全漏洞 CVE-2022-0847，可能導致容器權限提升至根層級。這個安全漏洞會影響下列產品：

  • 使用 Container-Optimized OS 映像檔 (Container-Optimized OS 93 以上版本) 的 GKE 節點集區 1.22 以上版本
  • VMware 中的 GKE 1.10 版 (適用於 Container-Optimized OS 映像檔)
  • GKE on AWS 1.21 版和 GKE on AWS (前一代) 1.19、1.20、1.21 版，使用 Ubuntu
  • 使用 Ubuntu 的 Azure 版 GKE 代管叢集 (1.21 版)

如需操作說明和詳細資訊，請參閱下列安全性公告：

高 CVE-2022-0847

GCP-2022-011

發布日期：2022 年 3 月 22 日
更新日期：2022 年 8 月 11 日

說明

說明 嚴重性

2022 年 8 月 11 日更新：新增多執行緒並行 (SMT) 設定的詳細資訊。SMT 原本應停用，但在列出的版本中啟用。

如果您手動為沙箱節點集區啟用 SMT，即使發生這個問題，SMT 仍會保持手動啟用狀態。

GKE Sandbox 映像檔的多執行緒並行 (SMT，又稱超執行緒) 設定有誤。設定錯誤可能會導致節點暴露於旁路攻擊，例如微架構資料取樣 (MDS) (詳情請參閱 GKE Sandbox 說明文件)。不建議使用下列受影響的版本：

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

 中

GCP-2022-010

說明

說明 嚴重性 附註

下列 Istio CVE 會使 Cloud Service Mesh 暴露於可從遠端入侵的漏洞：

  • CVE-2022-24726：Istio 控制層「istiod」容易發生要求處理錯誤，惡意攻擊者可傳送特製訊息，在叢集的驗證用 Webhook 公開時導致控制層異常終止。這個端點透過 TLS 通訊埠 15017 提供服務，但不需要攻擊者進行任何驗證。

如需操作說明和詳細資訊，請參閱下列安全性公告：

高

GCP-2022-009

發布日期：2022-03-01

說明

說明 嚴重性

在 GKE Autopilot 叢集中，某些存取節點 VM 的非預期路徑可能已用於提高叢集權限。這些問題已修正，您無須採取進一步行動。這些修正項目解決了透過安全漏洞檢舉計畫回報的問題。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告

 低

GCP-2022-008

發布日期：2022 年 2 月 23 日
更新日期：2022 年 4 月 28 日

說明

說明 嚴重性 附註

2022-04-28 更新： 新增已修正這些安全漏洞的 GKE on VMware 版本。詳情請參閱 GKE on VMware 安全性公告。

Envoy 專案最近發現一組安全漏洞。下列所有問題均已在 Envoy 1.21.1 版中修正。
  • CVE-2022-23606：透過叢集探索服務 (CDS) 刪除叢集時，系統會中斷與該叢集端點建立的所有閒置連線。Envoy 1.19 版在斷開閒置連線的程序中誤引入遞迴，當叢集有大量閒置連線時，可能會導致堆疊耗盡和程序異常終止。
  • CVE-2022-21655：Envoy 的內部重新導向程式碼假設有路徑項目。如果內部重新導向至具有直接回應項目且沒有路徑項目的路徑，就會導致取消參照空值指標並當機。
  • CVE-2021-43826：如果 Envoy 設為使用 tcp_proxy (採用上游通道 (透過 HTTP)) 和下游 TLS 終止，當下游用戶端在 TLS 握手期間中斷連線，而上游 HTTP 串流仍在建立時，Envoy 就會停止運作。下游中斷連線可由用戶端或伺服器啟動。用戶端可能因任何原因中斷連線。舉例來說，如果伺服器沒有與用戶端相容的 TLS 加密套件或 TLS 通訊協定版本，就可能中斷連線。在其他下游設定中，也可能觸發這項當機問題。
  • CVE-2021-43825：傳送本機產生的回應時，必須停止進一步處理要求或回應資料。Envoy 會追蹤緩衝處理的要求和回應資料量，如果緩衝處理的資料量超過限制，就會傳送 413 或 500 回應，並取消要求。不過，如果在本機產生的回應因內部緩衝區溢位而傳送，且回應是由篩選器鏈處理，則作業可能無法正確取消，導致系統存取已釋出的記憶體區塊。
  • CVE-2021-43824：搭配「safe_regex」比對規則和特別設計的要求 (例如「CONNECT host:port HTTP/1.1」) 使用 JWT 篩選器時，Envoy 會當機。到達 JWT 篩選器時，「safe_regex」規則應評估網址路徑，但這裡沒有，Envoy 發生區段錯誤而當機。
  • CVE-2022-21654：Envoy 會在 mTLS 驗證設定重新設定後，錯誤地允許 TLS 工作階段繼續。如果用戶端憑證在舊設定中允許，但在新設定中不允許，則用戶端可以繼續先前的 TLS 工作階段，即使目前的設定不允許。以下設定的變更會受到影響：
    • match_subject_alt_names
    • CRL 異動
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657：Envoy 不會限制從對等端接受的憑證組合 (無論是 TLS 用戶端或 TLS 伺服器)，只接受包含必要 extendedKeyUsage (分別為 id-kp-serverAuth 和 id-kp-clientAuth) 的憑證。這表示對等互連可能會提供電子郵件憑證 (例如 id-kp-emailProtection)，做為分葉憑證或鏈結中的 CA，且系統會接受該憑證用於 TLS。如果與 CVE-2022-21656 結合，情況會特別嚴重，因為這會允許僅用於 S/MIME 的 Web PKI CA (因此免於稽核或監督) 核發 Envoy 接受的 TLS 憑證。
  • CVE-2022-21656：用於實作預設憑證驗證常式的驗證工具實作，在處理 subjectAltNames 時發生「類型混淆」錯誤。舉例來說，這項處理程序可讓 rfc822Name 或 uniformResourceIndicator 驗證為網域名稱。這種混淆情況可讓攻擊者略過 nameConstraints (由基礎 OpenSSL/BoringSSL 實作處理)，進而冒用任意伺服器。
如需特定產品的詳細操作說明，請參閱下列安全性公告：
我該怎麼做？
自行管理 Envoy 的 Envoy 使用者應確保使用的是 Envoy 1.21.1 版。自行管理 Envoy 的使用者會從 GitHub 等來源建構二進位檔，並加以部署。

如果使用者執行的是代管 Envoy (Google Cloud 提供 Envoy 二進位檔)，則不需採取任何行動， Google Cloud 產品會切換至 1.21.1。 		高 CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654
CVE-2022-21657
CVE-2022-21656

GCP-2022-007

發布日期：2022 年 2 月 22 日

說明

說明 嚴重性 附註

下列 Envoy 和 Istio CVE 會使 Cloud Service Mesh 和 GKE 上的 Istio 暴露於可遠端利用的安全漏洞：

  • CVE-2022-23635：Istiod 在收到含有特製 authorization 標頭的要求時會異常終止。
  • CVE-2021-43824：使用 JWT 篩選器 safe_regex 比對時，可能發生空值指標取消參照
  • CVE-2021-43825：回應篩選器增加回應資料，且增加的資料超過下游緩衝區限制時，會發生釋放後使用漏洞。
  • CVE-2021-43826：透過 HTTP 建立 TCP 通道時，如果下游在建立上游連線期間中斷連線，就會發生釋放後使用漏洞。
  • CVE-2022-21654：設定處理不正確，導致 mTLS 工作階段在驗證設定變更後，不需重新驗證即可重複使用。
  • CVE-2022-21655：不當處理內部重新導向至具有直接回應項目的路徑。
  • CVE-2022-23606：透過叢集探索服務刪除叢集時，堆疊耗盡。

如需操作說明和詳細資訊，請參閱下列安全性公告：

 高

GCP-2022-006

發布日期：2022 年 2 月 14 日
更新日期：2022 年 5 月 16 日

說明

說明 嚴重性 附註

2022-05-16 更新：GKE 1.19.16-gke.7800 以上版本已新增程式碼，可修正這項安全漏洞。詳情請參閱 GKE 安全性公告。

2022-05-12 更新：GKE、GKE on VMware、GKE on AWS 和 GKE on Azure 版本已更新。如需操作說明和詳細資訊，請參閱：

Linux 核心的 cgroup_release_agent_write 函式中發現安全漏洞 CVE-2022-0492。這項攻擊會使用非特殊權限使用者命名空間，在特定情況下，攻擊者可利用這項安全漏洞突破容器。

 低

如需操作說明和更多詳細資料，請參閱：

GCP-2022-005

發布日期：2022 年 2 月 11 日
更新日期：2022 年 2 月 15 日

說明

說明 嚴重性 附註

在 3.73 或 3.68.1 之前的 NSS (網路安全服務) 版本中，如果二進位檔連結至有漏洞的 libnss3 版本，就會出現 CVE-2021-43527 安全漏洞。如果應用程式使用 NSS 驗證憑證，或使用其他 TLS、X.509、OCSP 或 CRL 功能，可能會受到影響，具體取決於 NSS 的使用/設定方式。

如需操作說明和更多詳細資料，請參閱：

 中 CVE-2021-43527

GCP-2022-004

發布日期：2022 年 2 月 4 日

說明

說明 嚴重性 附註

我們在 pkexec (Linux 政策套件 (polkit) 的一部分) 中發現安全漏洞 CVE-2021-4034，這會讓通過驗證的使用者執行提權攻擊。PolicyKit 通常只用於 Linux 桌面系統，允許非超級使用者根據政策執行重新啟動系統、安裝套件、重新啟動服務等動作。

如需操作說明和更多詳細資料，請參閱：

 無 CVE-2021-4034

GCP-2022-002

發布日期：2022 年 2 月 1 日
更新日期：2022 年 2 月 25 日

說明

說明 嚴重性 附註

2022-02-25 更新：GKE 版本已更新。如需操作說明和詳細資訊，請參閱：

2022-02-23 更新： GKE 和 GKE on VMware 版本已更新。如需操作說明和詳細資訊，請參閱：

2022-02-04 更新：GKE 修補程式版本的推出開始日期為 2 月 2 日。

預計需要四個工作天以上才能完成。

Linux 核心中發現三個安全漏洞：CVE-2021-4154、CVE-2021-22600 和 CVE-2022-0185，每個漏洞都可能導致容器突破、主機提權，或兩者兼具。這些安全漏洞會影響 GKE、GKE on VMware、GKE on AWS (目前和上一代) 和 GKE on Azure 上的所有節點作業系統 (COS 和 Ubuntu)。使用 GKE Sandbox 的 Pod 不會受到這些安全漏洞影響。詳情請參閱 COS 版本資訊。

如需操作說明和更多詳細資料，請參閱：

 高

GCP-2022-001

發布日期：2022 年 1 月 6 日

說明

說明 嚴重性 附註

在二進位資料的剖析程序中，發現 protobuf-java 有潛在的阻斷攻擊問題。

我該怎麼做？

請確認您使用的是下列軟體套件的最新版本：

  • protobuf-java (3.16.1、3.18.2、3.19.2)
  • protobuf-kotlin (3.18.2、3.19.2)
  • google-protobuf [JRuby gem] (3.19.2)

Protobuf「javalite」使用者 (通常是 Android) 不受影響。

這個修補程式解決了哪些安全漏洞？

這個修補程式可有效降低下列安全漏洞的風險：

Java 剖析不明欄位時的實作弱點。小型 (~800 KB) 惡意酬載可建立大量短期物件，導致頻繁、重複的垃圾收集暫停，進而占用剖析器數分鐘。

 高 CVE-2021-22569

GCP-2021-024

發布日期：2021 年 10 月 21 日

說明

說明 嚴重性 附註

Kubernetes ingress-nginx 控制器中發現安全性問題，CVE-2021-25742。Ingress-nginx 自訂程式碼片段可擷取所有命名空間的 ingress-nginx 服務帳戶權杖和密鑰。

如需操作說明和更多詳細資料，請參閱：

無 CVE-2021-25742

GCP-2021-019

發布日期：2021 年 9 月 29 日

說明

說明 嚴重性 附註

目前已知，使用 v1beta1 API 更新 BackendConfig 資源時，會從服務中移除有效的 Google Cloud Armor 安全性政策。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

 低

GCP-2021-022

發布日期：2021 年 9 月 22 日

說明

說明 嚴重性 附註

在 GKE on VMware 1.8 和 1.8.1 版中，GKE Enterprise Identity Service (AIS) LDAP 模組出現安全漏洞，用於產生金鑰的種子金鑰可預測。這項安全漏洞可讓通過驗證的使用者新增任意要求，並無限期提高權限。

如需操作說明和詳細資訊，請參閱 GKE on VMware 安全性公告。

 高

GCP-2021-021

發布日期：2021 年 9 月 22 日

說明

說明 嚴重性 附註

Kubernetes 發現安全漏洞 CVE-2020-8561，特定 Webhook 可能會將 kube-apiserver 要求重新導向至該 API 伺服器的私人網路。

如需操作說明和更多詳細資料，請參閱：

 中 CVE-2020-8561

GCP-2021-023

發布日期：2021 年 9 月 21 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0020，VMware 收到多份 vCenter 漏洞報告。VMware 已提供更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性諮詢，將 VMware 針對 vSphere 堆疊提供的修補程式套用至 Google Cloud VMware Engine。這項更新解決了 CVE-2021-22005、CVE-2021-22006、CVE-2021-22007、CVE-2021-22008 和 CVE-2021-22010 中所述的安全漏洞。其他非重大安全性問題將在即將推出的 VMware 堆疊升級中解決 (根據 7 月發布的提前告知，我們很快會提供更多有關升級具體時間表的詳細資訊)。

VMware Engine 影響

根據調查結果，沒有任何客戶受到影響。

該怎麼辦？

VMware Engine 叢集不受這個安全漏洞影響，因此您不必採取進一步行動。

 重大

GCP-2021-020

發布日期：2021 年 9 月 17 日

說明

說明 嚴重性 附註

在特定情況下，某些 Google Cloud 負載平衡器在轉送至已啟用 Identity-Aware Proxy (IAP) 的後端服務時，可能容易受到不受信任的第三方攻擊。這項更新解決了透過安全漏洞檢舉計畫回報的問題。

條件是伺服器必須：
  • HTTP(S) 負載平衡器和
  • 使用預設後端或具有萬用字元主機對應規則 (即 host="*") 的後端

此外，貴機構的使用者必須點選不受信任方傳送的特定連結。

這項問題現已解決。自 2021 年 9 月 17 日起，IAP 已更新為僅向授權主機核發 Cookie。如果主機與負載平衡器上安裝的其中一個憑證中，至少一個主體別名 (SAN) 相符，則視為已授權。

建議行動

部分使用者嘗試存取應用程式或服務時，可能會收到 HTTP 401 未授權回應，並顯示 IAP 錯誤代碼 52。這個錯誤代碼表示用戶端傳送的 Host 標頭與負載平衡器 SSL 憑證相關聯的主體別名不符。負載平衡器管理員必須更新 SSL 憑證，確保主體別名 (SAN) 清單包含使用者存取受 IAP 保護應用程式或服務時，所用的所有主機名稱。進一步瞭解 IAP 錯誤代碼。

高

GCP-2021-018

發布日期：2021-09-15
更新日期：2021-09-20

說明

說明 嚴重性 附註

Kubernetes 發現一項安全性問題 (CVE-2021-25741)，使用者可能可以建立含有子路徑磁碟區掛接的容器，藉此存取磁碟區以外的檔案和目錄，包括主機檔案系統上的檔案和目錄。

如需操作說明和更多詳細資料，請參閱：

 高 CVE-2021-25741

GCP-2021-017

發布日期：2021-09-01
更新日期：2021-09-23

說明

說明 嚴重性 附註

2021 年 9 月 23 日更新： 如果攻擊源自容器內部，在 GKE Sandbox內執行的容器不會受到這個安全漏洞影響。

Linux 核心中發現兩個安全漏洞 (CVE-2021-33909 和 CVE-2021-33910)，可能導致 OS 停止運作，或讓不具權限的使用者將權限提升至 root。這個安全漏洞會影響所有 GKE 節點作業系統 (COS 和 Ubuntu)。

如需操作說明和詳細資訊，請參閱下列安全性公告：

高 CVE-2021-33909、CVE-2021-33910

GCP-2021-016

發布日期：2021-08-24

說明

說明 嚴重性 附註

下列 Envoy 和 Istio CVE 會使 Cloud Service Mesh 和 GKE 上的 Istio 暴露在可遠端利用的安全漏洞中：

  • CVE-2021-39156：URI 路徑中含有片段 (URI 結尾以 # 字元開頭的部分) 的 HTTP 要求，可能會略過 Istio 以 URI 路徑為基礎的授權政策。
  • CVE-2021-39155：使用以 hosts 或 notHosts 為基礎的規則時，HTTP 要求可能會略過 Istio 授權政策。
  • CVE-2021-32781：影響 Envoy 的 decompressor、json-transcoder 或 grpc-web 擴充功能，或修改及增加要求或回應主體大小的專屬擴充功能。如果修改 Envoy 擴充功能中的主體，並將大小增加到超過內部緩衝區空間，Envoy 可能會存取已取消分配的記憶體，並異常終止。
  • CVE-2021-32780：不受信任的上游服務可能會傳送 GOAWAY 框架，接著傳送 SETTINGS 框架，並將 SETTINGS_MAX_CONCURRENT_STREAMS 參數設為 0，導致 Envoy 異常終止。(不適用於 Istio on GKE)
  • CVE-2021-32778：Envoy 用戶端開啟並重設大量 HTTP/2 要求，可能導致 CPU 消耗過多。(不適用於 Istio on GKE)
  • CVE-2021-32777：使用 ext_authz 擴充功能時，具有多個值標頭的 HTTP 要求可能會執行不完整的授權政策檢查。

如需操作說明和詳細資訊，請參閱下列安全性公告：

高

GCP-2021-015

發布日期：2021 年 7 月 13 日
更新日期：2021 年 7 月 15 日

說明

說明 嚴重性 附註

我們發現了新的安全漏洞 CVE-2021-22555，具有 CAP_NET_ADMIN 權限的惡意行為人可能會導致容器突破至主機上的根層級。這個安全漏洞會影響所有 GKE 叢集，以及執行 Linux 2.6.19 以上版本的 GKE on VMware。

如需操作說明和詳細資訊，請參閱下列安全性公告：

高 CVE-2021-22555

GCP-2021-014

發布日期：2021-07-05

說明

說明 嚴重性 附註

Microsoft 發布了遠端程式碼執行 (RCE) 安全漏洞 (CVE-2021-34527) 的安全性公告，該漏洞會影響 Windows 伺服器中的列印多工緩衝處理器。CERT 協調中心 (CERT/CC) 發布了相關安全漏洞的更新附註，該漏洞稱為「PrintNightmare」，也會影響 Windows 列印多工緩衝處理器 - PrintNightmare，重大 Windows 列印多工緩衝處理器安全漏洞

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

高 CVE-2021-34527

GCP-2021-012

發布日期：2021 年 6 月 24 日
更新日期：2021 年 7 月 9 日

說明

說明 嚴重性 附註

Istio 專案最近宣布一項安全漏洞，指出在 Gateway 和 DestinationRule credentialName 欄位中指定的憑證，可從不同的命名空間存取。

如需產品專屬操作說明和詳細資訊，請參閱：

 高 CVE-2021-34824

GCP-2021-011

發布日期：2021-06-04
更新日期：2021-10-19

說明

說明 嚴重性 附註

2021 年 10 月 19 日更新：

如需操作說明和詳細資訊，請參閱下列安全性公告：

資安社群最近揭露了在 runc 中發現的新安全漏洞 (CVE-2021-30465)，這個漏洞可能會讓攻擊者取得節點檔案系統的完整存取權。

在 GKE 中，由於必須具備建立 Pod 的能力，才能利用這項安全漏洞，因此我們將這項安全漏洞的嚴重程度評定為「中等」。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

 中 CVE-2021-30465

GCP-2021-010

發布日期：2021 年 5 月 25 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0010，vSphere Client (HTML5) 中的遠端程式碼執行和驗證略過安全漏洞，已私下回報給 VMware。VMware 已提供更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性公告，為 vSphere 堆疊套用 VMware 提供的修補程式。這項更新解決了 CVE-2021-21985 和 CVE-2021-21986 中所述的安全漏洞。VMware Engine 私有雲中執行的映像檔版本目前不會顯示任何變更，指出已套用修補程式。請放心，我們已安裝適當的修補程式，您的環境不會受到這些安全漏洞影響。

VMware Engine 影響

根據調查結果，沒有任何客戶受到影響。

該怎麼辦？

VMware Engine 叢集不受這個安全漏洞影響，因此您無須採取進一步行動。

 重大

GCP-2021-008

發布日期：2021 年 5 月 17 日

說明

說明 嚴重性 附註

Istio 含有可從遠端入侵的安全漏洞。如果閘道採用 AUTO_PASSTHROUGH 轉送設定，外部用戶端就能略過授權檢查，存取叢集中的非預期服務。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高

 CVE-2021-31921

GCP-2021-007

發布日期：2021 年 5 月 17 日

說明

說明 嚴重性 附註

Istio 含有可從遠端入侵的漏洞，如果 HTTP 要求路徑含有多個斜線或逸出斜線字元 (%2F 或 %5C)，則在使用路徑型授權規則時，可能會略過 Istio 授權政策。

如需操作說明和詳細資訊，請參閱 Cloud Service Mesh 安全性公告。

高

 CVE-2021-31920

GCP-2021-006

發布日期：2021-05-11

說明

說明 嚴重性 附註

Istio 專案最近揭露了影響 Istio 的新安全漏洞 (CVE-2021-31920)。

Istio 含有可從遠端入侵的漏洞，如果使用路徑型授權規則，含有多個斜線或逸出斜線字元的 HTTP 要求可略過 Istio 授權政策。

如需操作說明和更多詳細資料，請參閱：

高

 CVE-2021-31920

GCP-2021-005

發布日期：2021-05-11

說明

說明 嚴重性 附註

根據回報的安全漏洞，在 Envoy 1.18.2 以下版本中，Envoy 不會解碼 HTTP 網址路徑中的逸出斜線序列 %2F 和 %5C。此外，部分採用 Envoy 的產品並未啟用路徑正規化控制項。遠端攻擊者可能會使用逸出斜線 (例如 /something%2F..%2Fadmin,) 建立路徑，藉此規避存取控管機制 (例如封鎖 /admin)。後端伺服器可能會解碼斜線序列並正規化路徑，讓攻擊者取得存取控管政策範圍以外的存取權。

該怎麼辦？

如果後端伺服器交替使用 / 和 %2F 或 \ 和 %5C，且已設定以網址路徑為基礎的比對，建議您重新設定後端伺服器，不要交替使用 \ 和 %2F 或 \ 和 %5C (如果可行)。

有哪些行為變更？

啟用 Envoy 的 normalize_path 和合併相鄰斜線選項，解決 Envoy 產品中其他常見的路徑混淆安全漏洞。

高

 CVE-2021-29492

GCP-2021-004

發布日期：2021 年 5 月 6 日

說明

說明 嚴重性 附註

Envoy 和 Istio 專案最近宣布發現多個新的安全漏洞 (CVE-2021-28683、CVE-2021-28682 和 CVE-2021-29258)，攻擊者可能利用這些漏洞導致 Envoy 停止運作。

Google Kubernetes Engine 叢集預設不會執行 Istio，因此不會受到影響。如果叢集已安裝 Istio，並設為向網際網路公開服務，這些服務可能會受到阻斷服務攻擊。

Google Distributed Cloud Virtual for Bare Metal 和 GKE on VMware 預設會使用 Envoy 處理 Ingress，因此 Ingress 服務可能容易受到阻斷攻擊。

如需操作說明和詳細資訊，請參閱下列安全性公告：

中

GCP-2021-003

發布日期：2021 年 4 月 19 日

說明

說明 嚴重性 附註

Kubernetes 專案最近 宣布一項新的安全漏洞 CVE-2021-25735，這項漏洞可能導致節點更新略過驗證許可 Webhook。

如果攻擊者具備足夠權限，且 Validating Admission Webhook 採用舊版 Node 物件屬性 (例如 Node.NodeSpec 中的欄位)，攻擊者就能更新節點屬性，進而入侵叢集。GKE 和 Kubernetes 內建許可控制器強制執行的政策都不會受到影響，但建議客戶檢查已安裝的其他許可 Webhook。

如需操作說明和詳細資訊，請參閱下列安全性公告：

中

CVE-2021-25735

GCP-2021-002

發布日期：2021 年 3 月 5 日

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0002，VMware 接獲多起 VMware ESXi 和 vSphere Client (HTML5) 漏洞報告。VMware 已提供更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性諮詢，為 vSphere 堆疊套用官方記錄的解決方法。這項更新解決了 CVE-2021-21972、CVE-2021-21973 和 CVE-2021-21974 中所述的安全漏洞。

VMware Engine 影響

根據調查結果，沒有任何客戶受到影響。

該怎麼辦？

VMware Engine 叢集不受這個安全漏洞影響，因此您無須採取進一步行動。

 重大

GCP-2021-001

發布日期：2021 年 1 月 28 日

說明

說明 嚴重性 附註

Linux 公用程式 sudo 最近發現一個安全漏洞，如 CVE-2021-3156 所述，攻擊者可能利用這個漏洞，在安裝了 sudo 的系統上，透過無權限的本機殼層存取權，將權限提升至系統的根層級。

執行 Compute Engine 的基礎架構不受這個安全漏洞影響。

所有 Google Kubernetes Engine (GKE)、GKE on VMware、GKE on AWS 和 Google Distributed Cloud Virtual for Bare Metal 叢集都不會受到這項安全漏洞影響。

如需操作說明和詳細資訊，請參閱下列安全性公告：

 無 CVE-2021-3156

GCP-2020-015

發布日期：2020-12-07
更新日期：2020-12-22

說明

說明 嚴重性 附註

更新日期：2021-12-22 下一節中的 GKE 指令應使用 gcloud beta，而非 gcloud 指令。

gcloud container clusters update –no-enable-service-externalips
更新日期：2021 年 12 月 15 日針對 GKE，目前可採取下列緩解措施：
  1. 從 GKE 1.21 版開始，具有 ExternalIP 的服務會遭到 DenyServiceExternalIPs 許可控制器封鎖，新叢集預設會啟用該控制器。
  2. 升級至 GKE 1.21 版的客戶可以使用下列指令，封鎖含有 ExternalIP 的服務：
    gcloud container clusters update –no-enable-service-externalips

詳情請參閱「 強化叢集安全性」。

Kubernetes 專案最近發現新的安全性漏洞 CVE-2020-8554，攻擊者可能藉此取得權限，建立 LoadBalancer 或 ClusterIP 類型的 Kubernetes 服務，攔截叢集中其他 Pod 的網路流量。這項安全漏洞本身不會授予攻擊者建立 Kubernetes Service 的權限。

所有 Google Kubernetes Engine (GKE)、GKE on VMware 和 GKE on AWS 叢集都會受到這項安全漏洞影響。

該怎麼辦？

如需操作說明和詳細資訊，請參閱：

中

 CVE-2020-8554

GCP-2020-014

發布日期：2020 年 10 月 20 日
更新日期：2020 年 10 月 20 日

說明

說明 嚴重性 附註

Kubernetes 專案最近發現多個問題，可能會在啟用詳細記錄選項時，導致 Secret 資料外洩。問題如下：

  • CVE-2020-8563：vSphere Provider kube-controller-manager 的記錄檔中發生 Secret 外洩
  • CVE-2020-8564：檔案格式不正確且 loglevel >= 4 時，Docker 設定密鑰會外洩
  • CVE-2020-8565：Kubernetes 中 CVE-2019-11250 的修正不完整，導致 logLevel >= 9 時，記錄中會洩漏權杖。由 GKE 安全防護機制發現。
  • CVE-2020-8566：loglevel >= 4 時，Ceph RBD adminSecrets 會在記錄中公開

該怎麼辦？

由於 GKE 的預設詳細程度記錄層級，您不需要採取進一步行動。

無

Google Cloud 影響

各項產品的詳細資料如下。

產品

影響

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) 不受影響。

GKE On-Prem

GKE On-Prem 不受影響。

GKE on AWS

GKE on AWS 不受影響。

GCP-2020-013

發布日期：2020-09-29

說明

Microsoft 揭露了下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-1472：Windows Server 中的安全漏洞，可讓攻擊者使用 Netlogon 遠端通訊協定，在網路上的裝置執行特製應用程式。

NVD 基本分數：10 (重大)

CVE-2020-1472

詳情請參閱 Microsoft 揭露資訊。

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構不受這個安全漏洞影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2020-1472

大多數客戶不需採取進一步行動。

客戶如使用執行 Windows Server 的 Compute Engine 虛擬機器，應確保執行個體已更新至最新版 Windows 修補程式，或使用 2020 年 8 月 17 日後發布的 Windows Server 映像檔 (v20200813 以上版本)。

Google Kubernetes Engine

CVE-2020-1472

大多數客戶不需採取進一步行動。

如果客戶在 GKE Windows Server 節點中託管網域控制器，應確保節點和在這些節點上執行的容器化工作負載，都使用最新的 Windows 節點映像檔 (如有)。我們將在 10 月的 GKE 版本資訊中，宣布新的節點映像檔版本。

Managed Service for Microsoft Active Directory

CVE-2020-1472

大多數客戶不需採取進一步行動。

Microsoft 於 8 月發布的修補程式包含 NetLogon 通訊協定的修正程式，已套用至所有 Managed Microsoft AD 網域控制器。這個修補程式提供的功能可防範潛在漏洞。及時套用修補程式是使用 Managed Service for Microsoft Active Directory 的主要優勢之一。如果客戶手動執行 Microsoft Active Directory (且未使用 Google Cloud 的代管服務)，應確保執行個體已安裝最新 Windows 修補程式，或使用 Windows Server 映像檔。

Google Workspace

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 標準環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 彈性環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run functions

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Managed Service for Apache Airflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Dataflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Managed Service for Apache Spark

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud SQL

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

GCP-2020-012

發布日期：2020-09-14
更新日期：2020-09-17

說明

說明 嚴重性 附註

Linux 核心最近發現一個安全漏洞，如 CVE-2020-14386 所述，可能允許容器跳脫，取得主機節點的根權限。

所有 GKE 節點都會受到影響。在 GKE Sandbox 中執行的 Pod 無法利用這項安全漏洞。

如需操作說明和更多詳細資料，請參閱：


這個修補程式解決了哪些安全漏洞？

修補程式可緩解下列安全漏洞：

安全漏洞 CVE-2020-14386 允許具有 CAP_NET_RAW 的容器
寫入 1 到 10 個位元組的核心記憶體，並可能逸出容器，取得主機節點的根權限。這個安全漏洞的嚴重程度評定為「高」。

高

CVE-2020-14386

GCP-2020-011

發布日期：2020-07-24

說明

說明 嚴重性 附註

Kubernetes 最近發現網路安全漏洞 CVE-2020-8558。服務有時會使用本機回送介面 (127.0.0.1)，與在同一個 Pod 中執行的其他應用程式通訊。攻擊者只要能存取叢集網路，就能利用這項安全漏洞，將流量傳送至相鄰 Pod 和節點的回送介面。如果服務依賴無法從 Pod 外部存取的回送介面，可能會遭到入侵。

如需操作說明和更多詳細資料，請參閱：

低 (GKE 和 GKE on AWS)、
中 (GKE on VMware)

CVE-2020-8558

GCP-2020-010

發布日期：2020-07-27

說明

Microsoft 揭露了下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-1350：本機系統帳戶可利用做為 DNS 伺服器的 Windows Server 執行不受信任的程式碼。

NVD 基本分數：10.0 (重大)

CVE-2020-1350

詳情請參閱 Microsoft 揭露資訊。

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構不受這個安全漏洞影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2020-1350

大多數客戶不需採取進一步行動。

如果客戶使用 Compute Engine 虛擬機器，並以 DNS 伺服器身分執行 Windows Server，應確保執行個體已安裝最新 Windows 修補程式，或使用 2020 年 7 月 14 日後提供的 Windows Server 映像檔。

Google Kubernetes Engine

CVE-2020-1350

大多數客戶不需採取進一步行動。

如果客戶使用 GKE 搭配 Windows Server 節點做為 DNS 伺服器，則必須手動更新節點和在這些節點上執行的容器化工作負載，改用包含修正程式的 Windows Server 版本。

Managed Service for Microsoft Active Directory

CVE-2020-1350

大多數客戶不需採取進一步行動。

所有 Managed Microsoft AD 網域都已自動更新為修補後的映像檔。任何手動執行 Microsoft Active Directory (且未使用 Managed Microsoft AD) 的客戶，都應確保執行個體已安裝最新版 Windows 修補程式，或使用 2020 年 7 月 14 日後提供的 Windows Server 映像檔。

Google Workspace

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 標準環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 彈性環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run functions

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Managed Service for Apache Airflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Dataflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Managed Service for Apache Spark

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud SQL

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

GCP-2020-009

發布日期：2020-07-15

說明

說明 嚴重性 附註

Kubernetes 最近發現了提權安全漏洞 CVE-2020-8559。攻擊者只要入侵節點，就能利用這項安全漏洞在叢集中的任何 Pod 執行指令。攻擊者可利用已遭入侵的節點入侵其他節點，並可能讀取資訊或造成破壞性行為。

請注意，攻擊者必須先入侵叢集中的節點，才能利用這項安全漏洞。這項安全漏洞本身不會危害叢集中的任何節點。

如需操作說明和更多詳細資料，請參閱：

中

CVE-2020-8559

GCP-2020-008

發布日期：2020 年 6 月 19 日

說明

說明 嚴重性 附註

說明

啟用 OS 登入功能的 VM 可能容易受到權限提升安全漏洞的影響。這些安全漏洞可讓具備 OS 登入權限 (但未取得管理員存取權) 的使用者，將權限提升至 VM 的根層級存取權。

如需操作說明和詳細資訊，請參閱 Compute Engine 安全性公告。

 High

GCP-2020-007

發布日期：2020-06-01

說明

說明 嚴重性 附註

最近在 Kubernetes 中發現伺服器端偽造要求 (SSRF) 安全漏洞 CVE-2020-8555。這項漏洞會讓某些授權使用者將機密資訊 (最多 500 個位元組) 從控制層主機網路外流出去。由於 Google Kubernetes Engine (GKE) 控制層使用 Kubernetes 中的控制器，因此會受到這個安全漏洞影響。建議您將控制層升級至最新修補程式版本。不需升級節點。

如需操作說明和更多詳細資料，請參閱：

中

CVE-2020-8555

GCP-2020-006

發布日期：2020-06-01

說明

說明 嚴重性 附註

Kubernetes 已揭露一項安全漏洞。這項漏洞會讓有權限的容器將節點流量重新導向至另一個容器。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。所有 Google Kubernetes Engine (GKE) 節點都會受到這項安全漏洞影響，建議您升級至最新修補程式版本。

如需操作說明和更多詳細資料，請參閱：

中

Kubernetes 問題 91507

GCP-2020-005

發布日期：2020-05-07

說明

安全漏洞

嚴重性

CVE

Linux 核心最近發現了 CVE-2020-8835 中所述的安全漏洞，可讓容器跳脫，取得主機節點的根權限。

執行 GKE 1.16 或 1.17 的 Google Kubernetes Engine (GKE) Ubuntu 節點會受到這項安全漏洞影響，建議您盡快升級至最新修補程式版本。

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

高

CVE-2020-8835

GCP-2020-004

發布日期：2020-03-31
更新日期：2020-03-31

說明

Kubernetes 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2019-11254：這項阻斷攻擊 (DoS) 安全漏洞會影響 API 伺服器。

中

CVE-2019-11254

如需操作說明和詳細資訊，請參閱 GKE on VMware 安全性公告。

GCP-2020-003

發布日期：2020-03-31
更新日期：2020-03-31

說明

Kubernetes 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2019-11254：這項阻斷攻擊 (DoS) 安全漏洞會影響 API 伺服器。

中

CVE-2019-11254

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

GCP-2020-002

發布日期：2020-03-23
更新日期：2020-03-23

說明

Kubernetes 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-8551：這個阻斷攻擊 (DoS) 安全漏洞會影響 kubelet。

中

CVE-2020-8551

CVE-2020-8552：這項阻斷攻擊 (DoS) 安全漏洞會影響 API 伺服器。

中

CVE-2020-8552

如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

GCP-2020-001

發布日期：2020-01-21
更新日期：2020-01-21

說明

Microsoft 揭露了下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2020-0601：這項安全漏洞也稱為 Windows Crypto API 假冒漏洞。攻擊者可能會利用這個漏洞，讓惡意執行檔看起來值得信任，或發動中間人攻擊，並在使用者連線至受影響軟體時解密機密資訊。

NVD 基礎分數：8.1 (高)

CVE-2020-0601

詳情請參閱 Microsoft 揭露資訊。

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構不受這個安全漏洞影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2020-0601

大多數客戶不需採取進一步行動。

如果客戶使用的 Compute Engine 虛擬機器執行 Windows Server，應確保執行個體已安裝最新 Windows 修補程式，或使用 2020 年 1 月 15 日後提供的 Windows Server 映像檔。詳情請參閱 Compute Engine 安全性公告。

Google Kubernetes Engine

CVE-2020-0601

大多數客戶不需採取進一步行動。

如果客戶使用 GKE 搭配 Windows Server 節點，則必須將節點和在這些節點上執行的容器化工作負載更新至修補版本，才能緩解這項安全漏洞。 如需操作說明和詳細資訊，請參閱 GKE 安全性公告。

Managed Service for Microsoft Active Directory

CVE-2020-0601

大多數客戶不需採取進一步行動。

所有 Managed Microsoft AD 網域都已自動更新為修補後的映像檔。如果客戶手動執行 Microsoft Active Directory (且未使用 Managed Microsoft AD)，應確保執行個體已安裝最新 Windows 修補程式，或使用 2020 年 1 月 15 日後提供的 Windows Server 映像檔。

Google Workspace

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 標準環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

App Engine 彈性環境

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud Run functions

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Managed Service for Apache Airflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Dataflow

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Managed Service for Apache Spark

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

Cloud SQL

客戶無須採取任何行動。

這項服務不受這個安全漏洞影響。

GCP-2019-001

發布日期：2019-11-12
更新日期：2019-11-12

說明

Intel 已揭露下列安全漏洞：

安全漏洞

嚴重性

CVE

CVE-2019-11135：此安全漏洞稱為 TSX 非同步取消 (TAA)，可用於在 TSX 交易中濫用推測性執行功能。此安全漏洞可能會透過微架構資料取樣 (MDS) 曝露的相同微架構資料結構，使資料曝光。

中

CVE-2019-11135

CVE-2018-12207：這項阻斷攻擊 (DoS) 安全漏洞會影響虛擬機器主機 (而非訪客)。此問題稱為「變更頁面大小時發生機器檢查錯誤」(Machine Check Error on Page Size Change)。

中

CVE-2018-12207

詳情請參閱 Intel 揭露說明：

Google Cloud 影響

託管 Google Cloud 和 Google 產品的基礎架構，已受到保護，不受這些安全漏洞影響。以下按個別產品列出額外詳細資料。

產品

影響

Compute Engine

CVE-2019-11135

大部分的客戶無須採取其他動作。

在 Compute Engine 虛擬機器中，於自己的多用戶群服務內執行不受信任程式碼的 N2、C2 或 M2 客戶應先停止再啟動 VM，以確保 VM 具有最新的安全性緩解措施。

CVE-2018-12207

所有客戶均無須採取其他動作。

Google Kubernetes Engine

CVE-2019-11135

大部分的客戶無須採取其他動作。

如果您使用具有 N2、M2 或 C2 節點的節點集區，且這些節點在您自己的多用戶群 GKE 叢集中執行不受信任的程式碼，則應重新啟動節點。如要重新啟動節點集區中的所有節點，請升級受影響的集區。

CVE-2018-12207

所有客戶均無須採取其他動作。

App Engine 標準環境

無須採取其他動作。

App Engine 彈性環境

CVE-2019-11135

無須採取其他動作。

客戶應檢閱 Intel 最佳做法中對應用程式層級分享的說明，因為 Flex VM 中的超執行緒之間可能會發生此類分享。

CVE-2018-12207

無須採取其他動作。

Cloud Run

無須採取其他動作。

Cloud Run functions

無須採取其他動作。

Managed Service for Apache Airflow

無須採取其他動作。

Dataflow

CVE-2019-11135

大部分的客戶無須採取其他動作。

Dataflow 客戶如在 Dataflow 代管之 N2、C2 或 M2 Compute Engine VM 上執行多個不受信任的工作負載，且擔心發生客體內攻擊，則應考慮重新啟動任何目前正在執行的串流管道。您也可以取消並重新執行批次管道。如果是今天之後啟動的管道，則無須採取任何動作。

CVE-2018-12207

所有客戶均無須採取其他動作。

Managed Service for Apache Spark

CVE-2019-11135

大部分的客戶無須採取其他動作。

Cloud Dataproc 客戶如在 Compute Engine N2、C2 或 M2 VM 上的同一個 Cloud Dataproc 叢集執行多個不受信任的工作負載，且擔心發生客體內攻擊，則應重新部署叢集。

CVE-2018-12207

所有客戶均無須採取其他動作。

Cloud SQL

無須採取其他動作。