安全公告

我们可能会不时发布与 Google Cloud VMware Engine 相关的安全公告。所有与 VMware Engine 有关的安全公告都会在这里加以说明。

使用此 XML Feed 可订阅此页面的安全公告。 订阅

GCP-2026-029

发布日期： 2026-05-07

说明

说明 严重程度 备注

Microsoft 正在更新最初于 2011 年发布的安全启动证书，以确保 Windows 设备能够继续验证受信任的启动软件。这些旧版证书将于 2026 年 6 月开始过期。尚未收到 2023 年新证书的设备将继续正常启动和运行，并且标准 Windows 更新将继续安装。不过，这些设备将无法再获得针对前期启动过程的新安全保护，包括对 Windows 启动管理器、安全启动数据库、撤消列表的更新，或针对新发现的启动级漏洞的缓解措施。此外，自 2026 年 6 月起，安全启动证书过期会影响使用安全启动的 Linux 系统。

该怎么做？

Google 建议客户按照 Microsoft 的建议采取适当措施来更新其 Windows 虚拟机。Ubuntu、Red Hat 和 Fedora 等发行版已在努力提供使用新的 2023 年密钥签名的更新软件包。另请参阅 Broadcom 文档，了解如何解决 VMware 虚拟机中因安全启动证书即将过期而出现的错误和警告。2026 年 6 月之后，如果系统缺少 2023 年证书更新，则在安装新操作系统或更新现有引导加载程序固件时可能会遇到故障。

 信息 Broadcom KB 423893

GCP-2026-028

发布日期： 2026-05-05

说明

说明 严重程度 备注

CVE-2026-31431（也称为“复制失败”）是 Linux 内核中的一个高严重程度的本地提权 (LPE) 漏洞，可让无特权的用户获得 root 访问权限。该漏洞于 2026 年 4 月下旬披露，源于 2017 年引入的内核加密子系统 (algif_aead) 中的逻辑缺陷。

该怎么做？

Google 建议客户通过更新所有 Linux 虚拟机上的内核来保护其 Linux Guest 虚拟机。主要发行版已发布或正在推出修复程序。

 高 CVE-2026-31431

GCP-2025-054

发布日期：2025-10-14

说明

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2025-0015，Broadcom 收到关于 VMware Aria Operations 和 VMware Tools 中存在多个漏洞的非公开报告。我们发布了补丁，以修复受影响的 Broadcom 产品中的这些漏洞。

该怎么做？

我们建议升级到 VMware Aria Automation 8.18.5 和 VMware Tools 13.0.5。

 重要提示

GCP-2025-040

发布日期： 2025-07-15

说明

说明 严重程度 备注

根据安全建议 VMSA-2025-0013，Broadcom 收到关于 VMware ESXi 中存在多个漏洞的非公开报告。

我们已经修补了这些漏洞，或者正在应用 Broadcom 提供的必要补丁。对于这些报告的漏洞，目前尚无已知的解决方法。

修补后，您的 VMware Engine 部署应运行 ESXi 7.0U3w 或 ESXi 8.0U3f 或更高版本。

该怎么做？

Google 建议客户监控 VMware Engine 上的工作负载，以发现任何异常活动。

 中到严重

GCP-2025-030

发布日期：2025-05-23

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2024-0017，VMware 收到关于 VMware Aria Automation 中 SQL 注入漏洞的非公开报告。我们发布了补丁，以修复受影响的 VMware 产品中的此漏洞。

该怎么做？

我们建议升级到 VMware Aria Automation KB325790。

重要提示

GCP-2025-029

发布日期：2025-05-23

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2025-0006，VMware 收到关于 VMware Aria Operations 中本地权限提升漏洞的负责任报告。我们发布了补丁，以修复受影响的 VMware 产品中的此漏洞。

该怎么做？

我们建议升级到 VMware Aria Operations 8.18 HF5。

重要提示

GCP-2025-028

发布日期：2025-05-23

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2025-0003，VMware 收到关于 VMware Aria Operations for Logs 和 VMware Aria Operations 中存在多个漏洞的非公开报告。我们发布了补丁，以修复受影响的 VMware 产品中的此漏洞。

该怎么做？

我们建议将 VMware Aria Operations for Logs 升级到 8.18.3，将 VMware Aria Operations 升级到 8.18.3。

重要提示

GCP-2025-026

发布日期：2025-05-15

说明 严重程度 备注

根据 VMware 安全咨询 VMSA-2025-0008，VMware 收到关于 VMware Aria Automation 中基于 DOM 的跨站脚本攻击 (XSS) 漏洞的非公开报告。我们发布了补丁，以修复受影响的 VMware 产品中的此漏洞。

该怎么做？

我们建议升级到 VMware Aria Automation 8.18.1 补丁 2。

重要提示

GCP-2025-011

发布日期： 2025-03-06

说明 严重程度 备注

VMware 在 VMSA-2025-0004 中披露了多个影响客户环境中部署的 ESXi 组件的漏洞。

VMware Engine 影响

您的私有云已修补或正在更新，以解决安全漏洞。作为 VMware Engine 服务的一部分，所有客户都会获得专用裸机主机，该主机具有实际与其他硬件隔离的本地挂接磁盘。这意味着，该漏洞仅限于您特定私有云中的客户虚拟机。

您的私有云将更新为 7.0u3s build 号 24534642。这相当于 7.0U3s：build 号 24585291。

该怎么做？

请遵循 Broadcom 和安全供应商针对此漏洞提供的说明。

严重

GCP-2025-004

发布日期： 2025-01-16

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2025-0001，VMware 收到关于 VMware Aria Automation 中服务器端请求伪造 (SSRF) 漏洞的负责任报告。我们发布了补丁，以修复受影响的 VMware 产品中的此漏洞。

该怎么做？

我们建议升级到 VMware Aria Automation 8.18.2 HF。

中

GCP-2024-064

发布日期： 2024-12-10

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2024-0022，VMware 收到关于 VMware Aria Operations 中存在多个漏洞的负责任报告。我们已推出更新，以修复受影响的 VMware 产品中的这些漏洞。

该怎么做？

我们建议升级到 VMware Aria Operations 8.18.2。

重要提示

GCP-2024-060

发布日期： 2024-10-17

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2024-0020，VMware 收到关于 VMware NSX 中存在多个漏洞的负责任报告。

您的 VMware Engine 环境中运行的 NSX-T 版本不受 CVE-2024-38815、CVE-2024-38818 或 CVE-2024-38817 的影响。

该怎么做？

由于 VMware Engine 集群不受此漏洞的影响，因此无需采取进一步行动。

 中

GCP-2024-059

发布日期： 2024-10-16

说明 严重程度 备注

根据 VMware 安全建议 VMSA-2024-0021，VMware 收到关于 VMware HCX 中经过身份验证的 SQL 注入漏洞的非公开报告。

我们已应用 VMware 批准的缓解措施来解决此漏洞。此修复解决了 CVE-2024-38814 中所述的安全漏洞。在 VMware Engine 私有云中运行的映像版本目前未反映任何更改来指示所应用的更改。 系统已安装相应的缓解措施，您的环境将不会受到此漏洞的影响。

该怎么做？

我们建议升级到 VMware HCX 版本 4.9.2。

 高

GCP-2024-051

发布日期： 2024-09-18

说明 严重程度 备注

VMware 在 VMSA-2024-0019 中披露了多个影响客户环境中部署的 vCenter 组件的漏洞。

VMware Engine 影响

  • Google 已停用任何可能利用此漏洞的攻击。例如，Google 已屏蔽可能被利用来攻击此漏洞的端口。
  • 此外，Google 确保 vCenter 未来的所有部署都不会受到此漏洞的影响。

该怎么做？

目前不需要采取进一步的措施。

 严重

GCP-2024-040

发布日期： 2024-07-01

说明 严重程度 备注

在 OpenSSH 服务器 (sshd) 中发现了一个漏洞 CVE-2024-6387。此漏洞可在基于 glibc 的 Linux 系统上远程利用：未通过身份验证的远程代码执行（以 root 权限），因为它会影响 sshd 的特权代码，而该代码未沙盒化，以完整权限运行。

截至本文发布之时，我们认为利用该漏洞十分困难，需要赢得竞态条件，这很难成功利用，攻击每台设备可能需要花费数小时的时间。 我们没有发现任何利用该漏洞发起的攻击。

该怎么做？

  1. 在 Linux 发行版发布更新后，立即将这些更新应用到您的工作负载。请参阅 Linux 发行版的指南。
  2. 如果无法更新，请考虑在可以修补之前关闭 OpenSSH。
  3. 如果需要保持 OpenSSH 处于开启状态，您还可以执行配置更新，以消除漏洞的竞态条件。这是一种运行时缓解措施。为了应用 sshd 配置中的更改，此脚本将重启 sshd 服务。 
    #!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd
  4. 最后，监控涉及 SSH 服务器的任何异常网络活动。
严重

GCP-2024-037

发布日期： 2024-06-18

说明 严重程度 备注

VMware 在 VMSA-2024-0012 中披露了多个影响客户环境中部署的 vCenter 组件的漏洞。

VMware Engine 影响

  • 通过访问 vCenter Server 中的特定端口，可以利用此漏洞。Google 已屏蔽 vCenter Server 上易受攻击的端口，以防止任何潜在利用此漏洞的攻击。
  • 此外，Google 确保 vCenter 未来的所有部署都不会受到此漏洞的影响。

该怎么做？

目前不需要采取进一步的措施。

 严重

GCP-2024-016

发布日期： 2024-03-05

说明 严重程度 备注

VMware 在 VMSA-2024-0006 中披露了多个影响客户环境中部署的 ESXi 组件的漏洞。

VMware Engine 影响

您的私有云已更新，以解决安全漏洞。

该怎么做？

您无需执行任何操作。

严重

GCP-2023-034

发布日期： 2023-10-25

更新日期： 2023-10-27

说明 严重程度 备注

VMware 在 VMSA-2023-0023 中披露了多个影响客户环境中部署的 vCenter 组件的漏洞。

VMware Engine 影响

  • 通过访问 vCenter Server 中的特定端口即可利用此漏洞。这些端口不会公开给公共互联网。
  • 如果不可信系统无法访问 vCenter 端口 2012/tcp、2014/tcp 和 2020/tcp，则您不会受到此漏洞的影响。
  • Google 已屏蔽 vCenter Server 上易受攻击的端口，以防止此漏洞任何潜在的攻击。
  • 此外，Google 将确保 vCenter Server 未来的所有部署都不会受到此漏洞的影响。
  • 在公告发布时，VMware 并不知道任何“实际的”漏洞利用行为。如需了解详情，请参阅 VMware 文档。

该怎么做？

目前您无需采取进一步行动。

 严重

GCP-2023-027

发布日期： 2023-09-11
说明 严重程度 备注

VMware vCenter Server 更新解决了多个内存损坏漏洞（CVE-2023-20892、CVE-2023-20893、CVE-2023-20894、CVE-2023-20895、CVE-2023-20896）

VMware Engine 影响

VMware vCenter Server (vCenter Server) 和 VMware Cloud Foundation (Cloud Foundation)。

该怎么做？

客户不会受到影响，无需执行任何操作。

 中

GCP-2023-025

发布日期： 2023-08-08
说明 严重程度 备注

Intel 最近宣布了 Intel Security Advisory INTEL-SA-00828，这会影响部分处理器系列。我们鼓励您根据建议评估风险。

VMware Engine 影响

我们的舰队会使用受影响的处理器系列。在我们的部署中，整个服务器专用于一个客户。因此，我们的部署模型不会对此漏洞的评估增添任何风险。

我们正在与合作伙伴合作，以获取必要的补丁，还将在未来几周内使用标准升级流程在整个舰队中优先部署这些补丁。

该怎么做？

您无需执行任何操作，我们正在努力升级所有受影响的系统。

 高

GCP-2021-023

已发布：2021-09-21
说明 严重程度 备注

根据 VMware 安全建议 VMSA-2021-0020，VMware 接收到了 vCenter 中多个漏洞的报告。VMware 已推出更新，以在受影响的 VMware 产品中修复这些漏洞。

我们已按照 VMware 安全建议，将 VMware 针对 vSphere 堆栈提供的补丁程序应用于 Google Cloud VMware Engine。此更新解决了 CVE-2021-22005、CVE-2021-22006、CVE-2021-22007、CVE-2021-22008 和 CVE-2021-22010 中所述的安全漏洞。其他非关键安全问题将在即将进行的 VMware 堆栈升级中解决（根据 7 月份发送的提前通知，我们将尽快提供升级的具体时间）。

VMware Engine 影响

根据我们的调查，没有客户受到影响。

该怎么做？

由于 VMware Engine 集群不受此漏洞的影响，因此无需采取进一步行动。

 严重

GCP-2021-010

发布日期：2021-05-25
说明 严重程度 备注

根据 VMware 安全建议 VMSA-2021-0010，VMware 接收到关于 vSphere 客户端 (HTML5) 中的远程代码执行和身份验证绕过漏洞的非公开报告。VMware 已推出更新，以在受影响的 VMware 产品中修复这些漏洞。

我们根据 VMware 安全建议应用了 VMware 针对 vSphere 堆栈提供的补丁程序。此更新解决了 CVE-2021-21985 和 CVE-2021-21986 中所述的安全漏洞。在 VMware Engine 私有云中运行的映像版本目前未反映任何更改来指示所应用的补丁。 请放心，系统已安装相应的补丁程序，并保护您的环境免受这些漏洞的影响。

VMware Engine 影响

根据我们的调查，没有客户受到影响。

该怎么做？

由于 VMware Engine 集群不受此漏洞的影响，因此无需采取进一步行动。

 严重

GCP-2021-002

发布日期：2021-03-05
说明 严重程度 备注

根据 VMware 安全建议 VMSA-2021-0002，VMware 接收到了 VMware ESXi 和 vSphere Client (HTML5) 中存在多个漏洞的报告。VMware 已推出更新，以在受影响的 VMware 产品中修复这些漏洞。

我们根据 VMware 安全公告对 vSphere 堆栈应用了官方记录的解决方法。此更新解决了 CVE-2021-21972、CVE-2021-21973 和 CVE-2021-21974 中所述的安全漏洞。

VMware Engine 影响

根据我们的调查，没有客户受到影响。

该怎么做？

我们建议您升级到最新版本的 HCX。

 严重