A continuación, se describen todos los boletines de seguridad relacionados con Gemini Enterprise Agent Platform.
Para recibir los boletines de seguridad más recientes, realiza una de las siguientes acciones:
- Agrega la URL de esta página a tu lector de feeds.
Agrega la URL del feed directamente a tu lector de feeds:
https://cloud.google.com/feeds/vertex-ai-security-bulletins.xml
GCP-2026-012
Publicado: 2026-02-20
| Descripción | Gravedad | Notas |
|---|---|---|
|
En Google Cloud Gemini Enterprise Agent Platform, se identificó una vulnerabilidad que involucra la denominación predecible de bucket en Vertex AI Experiments desde la versión 1.21.0 hasta la 1.133.0 (sin incluir). ¿Qué debo hacer? No se requiere que el cliente realice ninguna acción para la mitigación. CVE-2026-2473 permite que un atacante remoto no autenticado logre la ejecución de código remoto entre usuarios, el robo de modelos y el envenenamiento mediante la creación previa de buckets de Cloud Storage con nombres predecibles (Bucket Squatting). Esta vulnerabilidad se identificó en Vertex AI Experiments versión 1.21.0 y se incluye en CVE-2026-2473. Las mitigaciones ya se aplicaron a la versión 1.133.0 y posteriores. |
Alta | CVE-2026-2473 |
GCP-2026-011
Publicado: 2026-02-20
| Descripción | Gravedad | Notas |
|---|---|---|
|
Se identificó una vulnerabilidad de secuencia de comandos entre sitios (XSS) almacenada en _genai/_evals_visualization en Google google-cloud-aiplatform (visualización del SDK de Python de Gemini Enterprise Agent Platform) en Exclusively-Hosted-Service. ¿Qué debo hacer? Los clientes deberán actualizar su SDK de Python de google-cloud-aiplatform a la versión 1.131.0 (lanzada el 16 de diciembre de 2025) o posterior para recibir la corrección. CVE-2026-2472 permite que un atacante remoto no autenticado ejecute JavaScript arbitrario en el entorno Jupyter o Colab de una víctima mediante la inyección de secuencias de escape de secuencias de comandos en los resultados de la evaluación del modelo o los datos JSON del conjunto de datos. Esta vulnerabilidad se identificó en Google google-cloud-aiplatform (SDK de Python de Gemini Enterprise Agent Platform) antes de la versión 1.131.0 y se incluye en CVE-2026-2472. |
Alta | CVE-2026-2472 |
GCP-2023-036
Publicado: 2023-10-30
| Descripción | Gravedad | Notas |
|---|---|---|
|
Deep Learning VM Images es un conjunto de imágenes de máquina virtual ya preparadas con un framework de aprendizaje profundo que están listos para ejecutarse. Recientemente, se descubrió una vulnerabilidad de escritura fuera de los límites en la función “ReadHuffmanCodes()”, de la biblioteca “libwebp”. Esto puede afectar las imágenes que usan esta biblioteca. Google Cloud analiza continuamente sus imágenes publicadas de forma pública y actualiza los paquetes para garantizar que se incluyan las distribuciones de parche en las versiones más recientes disponibles para la adopción de los clientes. Se actualizaron las Deep Learning VM Images para garantizar que las imágenes de VM más recientes incluyan las distribuciones con parches. Los clientes que adoptan las imágenes de VM más recientes no están expuestos a esta vulnerabilidad. ¿Qué debo hacer? Google Cloud Los clientes que usen imágenes de VM publicadas deben asegurarse de adoptar las imágenes más recientes y que sus entornos estén actualizados, según el modelo de responsabilidad compartida. CVE-2023-4863 podría ser aprovechado por un atacante para ejecutar código arbitrario. Esta vulnerabilidad se identificó en Google Chrome antes de la 116.0.5845.187 y en "libwebp" antes de la 1.3.2, y se incluye en CVE-2023-4863. |
Alta | CVE-2023-4863 |
GCP-2023-029
Publicado 3 de octubre de 2023
| Descripción | Gravedad | Notas |
|---|---|---|
|
TorchServe se usa para alojar modelos de aprendizaje automático de PyTorch para la predicción en línea. Gemini Enterprise Agent Platform proporciona contenedores de entrega de modelos de PyTorch precompilados que dependen de TorchServe. Recientemente, se descubrieron vulnerabilidades en TorchServe que permitirían a un atacante tomar el control de una implementación de TorchServe si su API de administración de modelos está expuesta. Los clientes que tienen modelos de PyTorch implementados en la predicción en línea de Gemini Enterprise Agent Platform no se ven afectados por estas vulnerabilidades, ya que Gemini Enterprise Agent Platform no expone la API de administración de modelos de TorchServe. Los clientes que usan TorchServe fuera de Gemini Enterprise Agent Platform deben tomar precauciones para garantizar que sus implementaciones se configuren de forma segura. ¿Qué debo hacer? Los clientes de Gemini Enterprise Agent Platform con modelos implementados que usan los contenedores de entrega de PyTorch compilados con anterioridad de Gemini Enterprise Agent Platform no necesitan realizar ninguna acción para abordar las vulnerabilidades, ya que las implementaciones de Gemini Enterprise Agent Platform no exponen el servidor de administración de TorchServe a Internet. Los clientes que usan los contenedores de PyTorch compilados con anterioridad en otros contextos o que usan una distribución de TorchServe personalizada o de terceros deben hacer lo siguiente:
¿Qué vulnerabilidades se abordan? La API de administración de TorchServe está vinculada a CVE-2023-43654 y CVE-2022-1471 permiten que un usuario con acceso a la API de administración cargue modelos desde fuentes arbitrarias y ejecute código de forma remota. Las mitigaciones para ambos problemas se incluyen en TorchServe 0.8.2: se quita la ruta de ejecución de código remota y se emite una advertencia si se usa el valor predeterminado de |
Alta | CVE-2023-43654, CVE-2022-1471 |