Os seguintes boletins de segurança são relacionados aos produtos do Google Cloud .
Use este feed XML para se inscrever nos boletins de segurança desta página.
GCP-2025-041
Publicado em: 21/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-37890 |
GCP-2025-040
Publicado em: 15/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso VMSA-2025-0013, várias vulnerabilidades no VMware ESXi foram relatadas de forma privada à Broadcom. Já aplicamos patches nessas vulnerabilidades ou estamos no processo de aplicar os patches necessários fornecidos pela Broadcom. Não há soluções alternativas conhecidas para as vulnerabilidades informadas. Depois de corrigidas, as implantações do VMware Engine precisam executar o ESXi 7.0U3w, o ESXi 8.0U3f ou versões mais recentes. O que devo fazer?O Google recomenda que os clientes monitorem as cargas de trabalho no VMware Engine para detectar atividades incomuns. |
De média a crítica |
GCP-2025-039
Publicado em: 15/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-38083 |
GCP-2025-038
Publicado em: 09/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-37752 |
GCP-2025-037
Publicado em: 08/07/2025
| Descrição | Gravidade | Observações |
|---|---|---|
|
A AMD divulgou duas vulnerabilidades que afetam as CPUs AMD EPYC de 2ª geração (Rome), 3ª geração (Milan) e 4ª geração (Genoa). As vulnerabilidades permitem que um invasor infira dados de repositórios anteriores ou do cache L1D, o que pode resultar no vazamento de informações sensíveis. O Google lançou uma mitigação que impede esse vazamento de informações entre VMs. Ainda existe a possibilidade de que processos em uma VM individual explorem essas vulnerabilidades. O que devo fazer?Depois de 8 de julho de 2025, uma mitigação no nível do convidado que protege contra ataques entre os convidados estará disponível para as seguintes VMs:
Para mais informações, consulte o boletim de segurança AMD-SB-7029 da AMD. |
Média |
GCP-2025-036
Publicado em: 01/07/2025
Atualizado em: 21/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/07/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-38001 |
GCP-2025-035
Publicado em: 17/06/2025
Atualizado em: 21/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/07/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-37997 |
GCP-2025-034
Publicado em: 17/06/2025
Atualizado em: 21/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/07/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-38000 |
GCP-2025-033
Publicado em: 06/06/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Foi descoberto um problema de segurança em que invasores podem ignorar as restrições de isolamento de carga de trabalho em clusters do GKE. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média | N/A |
GCP-2025-032
Publicado em: 03/06/2025
Atualizado em: 21/07/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/07/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-37798 |
GCP-2025-031
Publicado em: 03/06/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-37797 |
GCP-2025-030
Publicado em: 23/05/2025
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2024-0017, uma vulnerabilidade de injeção de SQL no VMware Aria Automation foi relatada de modo privado ao VMware. Para corrigir essa vulnerabilidade nos produtos VMware afetados, patches estão disponíveis. O que devo fazer?Recomendamos fazer upgrade para o VMware Aria Automation KB325790. |
Importante |
GCP-2025-029
Publicado em: 23/05/2025
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2025-0006, uma vulnerabilidade de escalonamento de privilégios local no VMware Aria Operations foi relatada ao VMware de forma responsável. Para corrigir essa vulnerabilidade nos produtos VMware afetados, patches estão disponíveis. O que devo fazer?Recomendamos fazer upgrade para o VMware Aria Operations 8.18 HF5. |
Importante |
GCP-2025-028
Publicado em: 23/05/2025
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2025-0003, várias vulnerabilidades no VMware Aria Operations for Logs e no VMware Aria Operations foram relatadas de modo privado ao VMware. Para corrigir essa vulnerabilidade nos produtos VMware afetados, patches estão disponíveis. O que devo fazer?Recomendamos fazer upgrade para o VMware Aria Operations for Logs 8.18.3 e VMware Aria Operations 8.18.3. |
Importante |
GCP-2025-027
Publicado em: 16/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
Uma vulnerabilidade de segurança foi detectada no serviço de balanceador de carga de aplicativo clássico antes de 26 de abril de 2025. O que devo fazer?Nenhuma ação do cliente é necessária. O problema foi resolvido no serviço de balanceador de carga de aplicativo clássico em 26 de abril de 2025. Quais vulnerabilidades estão sendo abordadas?A CVE-2025-4600 permitia que invasores roubassem solicitações para balanceadores de carga de aplicativo clássicos devido à análise incorreta de fragmentos grandes. Ao analisar o corpo da solicitação de uma solicitação HTTP usando codificação de transferência fragmentada, o balanceador de carga de aplicativo clássico permite fragmentos grandes demais. Consequentemente, foi possível ocultar bytes nesses dados de uso ignorados que um servidor HTTP upstream poderia interpretar incorretamente como um terminador de linha. Essa vulnerabilidade foi resolvida no balanceador de carga de aplicativo clássico em 26 de abril de 2025 com a melhoria da validação de entrada e da lógica de análise. Estamos aqui para ajudarSe você tiver dúvidas ou precisar de ajuda, entre em contato com o Cloud Customer Care. |
Alta | CVE-2025-4600 |
GCP-2025-026
Publicado em: 15/05/2025
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2025-0008, uma vulnerabilidade de scripting em vários sites (XSS, na sigla em inglês) baseada em DOM no VMware Aria Automation foi relatada de modo privado ao VMware. Para corrigir essa vulnerabilidade nos produtos VMware afetados, patches estão disponíveis. O que devo fazer?Recomendamos fazer upgrade para o patch 2 do VMware Aria Automation 8.18.1. |
Importante |
GCP-2025-025
Publicado em: 13/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
A Intel notificou o Google sobre uma nova vulnerabilidade de canal lateral que afeta os seguintes processadores Intel: CascadeLake, Ice Lake XeonSP, Ice Lake XeonD, Sapphire Rapids e Emerald Rapids. O Google corrigiu os recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração. O que devo fazer?Nenhuma ação do cliente é necessária. As correções já foram aplicadas à frota de servidores do Google para proteger os clientes. Quais vulnerabilidades estão sendo abordadas?CVE-2024-45332. Para mais informações, consulte o aviso da Intel INTEL-SA-01247. Estamos aqui para ajudarSe tiver dúvidas ou precisar de ajuda, entre em contato com o Cloud Customer Care e informe o número de referência 417536835. |
Alta | CVE-2024-45332 |
GCP-2025-024
Publicado em: 12/05/2025
Atualizado em: 13/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 13/05/2025: se você tiver dúvidas ou precisar de ajuda, entre em contato com o Cloud Customer Care e informe o número de referência 417458390. A Intel notificou o Google sobre uma nova vulnerabilidade de execução especulativa que afeta os processadores Intel Cascade Lake e Intel Ice Lake. O Google corrigiu os recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração. O que devo fazer?Nenhuma ação do cliente é necessária. As mitigações já foram aplicadas à frota de servidores do Google. Outras mitigações dos fabricantes de equipamentos originais (OEMs, na sigla em inglês) da Intel e outros parceiros de sistemas operacionais serão implantadas assim que estiverem disponíveis para mitigar a vulnerabilidade de seleção de destino indireta (ITS, na sigla em inglês) de mesmo modo. Depois que as mitigações do sistema operacional forem aplicadas, os clientes com VMs de terceira geração ou mais recentes de longa duração poderão sofrer uma degradação de desempenho não intencional. Quais vulnerabilidades estão sendo abordadas?CVE-2024-28956. Para mais informações, consulte Aviso de segurança da Intel INTEL-SA-01153. |
Alta | CVE-2024-28956 |
GCP-2025-023
Publicado em: 05/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Foram descobertas e resolvidas possíveis falhas de segurança nas políticas JavaCallout e PythonScript que poderiam ser exploradas se não fossem sanadas. Para instruções e mais detalhes, consulte o boletim de segurança da Apigee. |
Alta | CVE-2023-44487 |
GCP-2025-022
Publicado em: 01/05/2025
Atualizado em: 22/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/05/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-21702 |
GCP-2025-021
Publicado em: 29/04/2025
Atualizado em: 02/06/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 02/06/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-21971 |
GCP-2025-020
Publicado em: 29/04/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade no Looker permitiu que usuários com permissões de administrador no Looker (especificamente: Essa vulnerabilidade foi corrigida em todas as versões com suporte do Looker hospedado pelo cliente, que estão disponíveis na página de download do Looker. O que devo fazer?
|
Alta |
GCP-2025-019
Publicado em: 25/04/2025
Atualizado em: 26/06/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 26/06/2025: adicionamos versões de patch para o software da GDC para VMware. Atualização de 22/05/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-21701 |
GCP-2025-018
Publicado em: 23/04/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-40364 |
GCP-2025-017
Publicado em: 17/04/2025
Atualizado em: 22/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/05/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 05/05/2025: adicionamos versões de patch para o software da GDC para VMware. Atualizamos a gravidade no software GDC para VMware para "Alta". As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-21756 |
GCP-2025-016
Publicado em: 16/04/2025
Atualizado em: 22/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/05/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 29/04/2025: adicionamos versões de patch para o software GDC para VMware. Atualizamos a gravidade no software GDC para VMware para "Alta". As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-52927 |
GCP-2025-015
Publicado em: 15/04/2025
Atualizado em: 22/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/05/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 17/04/2025: adicionamos versões de patch para o GDC (VMware). Atualizamos a gravidade do GDC (VMware) de "Pendente" para "Alta". As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-21700 |
GCP-2025-014
Publicado em: 10/04/2025
Atualizado em: 22/05/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/05/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 05/05/2025: adicionamos versões de patch para o software da GDC para VMware. Atualizamos a gravidade no software GDC para VMware para "Alta". As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2025-21703 |
GCP-2025-013
Publicado em: 24/03/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Vários problemas de segurança foram descobertos no NGINX Ingress
Controller, Esses problemas afetam Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Nenhuma | CVE-2025-1974 |
GCP-2025-012
Publicado em: 19/03/2025
Atualizado em: 10/04/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 10/04/2025: adicionamos versões de patch para nós do Ubuntu no GKE e software GDC para VMware. Atualizamos a gravidade no software GDC para VMware para "Alta". As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-53164 |
GCP-2025-011
Publicado em: 06/03/2025
| Descrição | Gravidade | Observações |
|---|---|---|
|
A VMware divulgou várias vulnerabilidades no VMSA-2025-0004 que afetam os componentes do ESXi implantados nos ambientes dos clientes. Impacto no VMware EngineSuas nuvens privadas já receberam patches ou estão em processo de atualização para resolver a vulnerabilidade de segurança. Como parte do serviço do VMware Engine, todos os clientes recebem hosts de bare metal dedicados com discos anexados locais que estão fisicamente isolados de outro hardware. Isso significa que a vulnerabilidade está limitada às VMs convidadas na sua nuvem privada específica. Suas nuvens privadas serão atualizadas para a versão 7.0u3s, número 24534642. Isso é equivalente a 7.0U3s, número de versão 24585291. O que devo fazer?Siga as instruções da Broadcom e dos seus fornecedores de segurança sobre essa vulnerabilidade. |
Crítica |
GCP-2025-010
Publicado em: 05/03/2025
Atualizado em: 02/06/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 02/06/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 10/04/2025: adicionamos versões de patch para o software GDC para VMware. Atualizamos a gravidade no software GDC para VMware para "Alta". As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-56770 |
GCP-2025-009
Publicado em: 05/03/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O projeto Envoy anunciou recentemente várias novas vulnerabilidades de segurança (CVE-2024-53269, CVE-2024-53270, e CVE-2024-53271) que podem permitir que um invasor cause uma falha no Envoy. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta |
GCP-2025-008
Publicado em: 19/02/2025
Atualizado em: 10/04/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 10/04/2025: adicionamos versões de patch para o software GDC para VMware. Atualizamos a gravidade no software GDC para VMware para "Alta". As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-53141 |
GCP-2025-007
Publicado: 03/02/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Google descobriu uma vulnerabilidade em CPUs AMD baseadas em Zen que afeta instâncias de VMs confidenciais com AMD SEV-SNP ativado. Essa vulnerabilidade permite que invasores com acesso raiz a uma máquina física comprometam a confidencialidade e a integridade da instância da VM confidencial. O Google corrigiu os recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração. O que devo fazer? Nenhuma ação do cliente é necessária. Os clientes que quiserem verificar a correção podem conferir a versão da base de computação confiável (TCB, na sigla em inglês) no relatório de atestação da instância de VM confidencial com AMD SEV-SNP. As versões mínimas que mitigam essa vulnerabilidade são as seguintes: SNP TCB SVN: 0x18 0d24
tcb_version {
psp_bootloader_version: 4
snp_firmware_version: 24 (0x18)
microcode_version: 219
}Para mais informações, consulte o boletim de segurança da AMD AMD-SB-3019. |
Alta |
GCP-2025-006
Publicado em: 23/01/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade no provedor do Google Secret Manager para driver CSI do Secret Store permite que um invasor com permissões de criação de pod e secret em um namespace exfiltre o token da conta de serviço do Kubernetes do driver CSI instalando um volume malicioso em um pod. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média |
GCP-2025-005
Publicado em: 22/01/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Servidores que usam bibliotecas de autenticação do Google e bibliotecas de cliente do Cloud para se autenticar no Google Cloud com uma configuração de credenciais controlada por um invasor podem estar sujeitos a falsificação de solicitação do lado do servidor e leituras arbitrárias de arquivos. O que devo fazer?Se você aceitar uma configuração de credencial (JSON, arquivo ou fluxo) de uma fonte externa para autenticação no Google Cloud, valide-a antes de fornecê-la às bibliotecas de autenticação do Google ou às bibliotecas de cliente do Cloud. Fornecer uma configuração de credencial não validada para bibliotecas do Google pode comprometer a segurança dos seus sistemas e dados. Para mais informações, consulte Validar configurações de credenciais de fontes externas. Quais vulnerabilidades estão sendo abordadas?Alguns tipos de configurações de credenciais incluem endpoints e caminhos de arquivos, que as bibliotecas de autenticação usam para adquirir um token. Quando um serviço ou aplicativo aceita configurações de credenciais de origem externa e as usa com bibliotecas de autenticação do Google ou bibliotecas de cliente do Cloud sem validação, um invasor pode fornecer uma configuração de credencial que contenha um endpoint ou caminho malicioso. Isso permite que o invasor exfiltre dados ou tokens do serviço ou da máquina em que ele está sendo executado. Para evitar esse cenário, as validações precisam ser realizadas na configuração de credenciais de origem externa, conforme descrito em Validar configurações de credenciais de fontes externas. Para informar os desenvolvedores de aplicativos, atualizamos a documentação com as validações que devem ser realizadas ao aceitar configurações de credenciais de fontes externas.
|
Alta |
GCP-2025-004
Publicado em: 16/01/2025
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2025-0001, uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF, na sigla em inglês) no VMware Aria Automation foi relatada ao VMware de forma responsável. Para corrigir essa vulnerabilidade nos produtos VMware afetados, patches estão disponíveis. O que devo fazer?Recomendamos fazer upgrade para o VMware Aria Automation 8.18.2 HF. |
Média |
GCP-2025-003
Publicado em: 09/01/2025
Atualizado em: 23/01/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 23/01/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-50264 |
GCP-2025-002
Publicado em: 09/01/2025
Atualizado em: 23/01/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 23/01/2025: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 22/01/2025: foram adicionadas versões de patch para o GDC (VMware). Gravidade atualizada para "Média" no GDC (VMware). As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-53057 |
GCP-2025-001
Publicado em: 08/01/2025
Atualizado em: 23/01/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 23/01/2025: atualizamos a seção Recursos afetados na guia GKE. Atualização de 08/01/2025: corrigimos a data e a hora de início do problema. Um problema de segurança afetou os recursos em VPCs com o Gateway de Múltiplos Clusters (MCG, na sigla em inglês) do GKE configurado. O MCG é um recurso opcional usado por um pequeno subconjunto de clientes do GKE. Estamos notificando individualmente os clientes que tinham o recurso ativado durante aquele período. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | Nenhuma |
GCP-2024-065
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs expõem o Cloud Service Mesh a vulnerabilidades exploráveis:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
GCP-2024-064
Publicado em: 10/12/2024
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2024-0022, várias vulnerabilidades no VMware Aria Operations foram relatadas ao VMware de forma responsável. Há atualizações disponíveis para corrigir essas vulnerabilidades no produto VMware afetado. O que devo fazer?Recomendamos fazer upgrade para o VMware Aria Operations 8.18.2. |
Importante |
GCP-2024-063
Publicado em: 06/12/2024
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade foi descoberta na API Vertex AI que atende
solicitações do Gemini multimodal, permitindo ignorar VPC Service Controls.
Um invasor pode usar o parâmetro O que devo fazer? Nenhuma ação é necessária. Implementamos uma correção para retornar uma mensagem de erro quando um URL de arquivo de mídia é especificado no parâmetro fileUri e o VPC Service Controls está ativado. Outros casos de uso não são afetados. Quais vulnerabilidades estão sendo abordadas?
A API Cloud Support que atende solicitações do Gemini multimodal
permite incluir arquivos de mídia especificando o URL deles no parâmetro
|
Média | CVE-2024-12236 |
GCP-2024-062
Publicado em: 02/12/2024
Atualizado em: 22/01/2025
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/01/2025: foram adicionadas versões de patch para o GDC (VMware). Atualizamos a gravidade do GDC (VMware) de "Pendente" para "Alta". Atualização de 12/12/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-46800 |
GCP-2024-061
Publicado em: 25/11/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Um problema de segurança descoberto em clusters do Kubernetes pode resultar na execução remota de código
usando um volume Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-10220 |
GCP-2024-060
Publicado em: 17/10/2024
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2024-0020, várias vulnerabilidades no VMware NSX foram relatadas de forma responsável ao VMware. A versão do NSX-T em execução no seu ambiente do VMware Engine não é afetada pelas CVEs 2024-38815, 2024-38818 ou 2024-38817. O que devo fazer?Como os clusters do VMware Engine não são afetados por essa vulnerabilidade, nenhuma outra ação é necessária. |
Média |
GCP-2024-059
Publicado em: 16/10/2024
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança da VMware VMSA-2024-0021, uma vulnerabilidade de injeção de SQL autenticada no VMware HCX foi relatada de modo privado ao VMware. Para resolvê-la, aplicamos a mitigação aprovada pelo VMware. Essa correção aborda uma vulnerabilidade de segurança descrita em CVE-2024-38814. As versões de imagem em execução na nuvem privada do VMware Engine não refletem alterações no momento para indicar as mudanças aplicadas. As mitigações adequadas foram instaladas, e seu ambiente está protegido contra essa vulnerabilidade. O que devo fazer?Recomendamos fazer upgrade para a versão 4.9.2 do VMware HCX. |
Alta |
GCP-2024-058
Publicado em: 16/10/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Migrate to Containers para Windows, versões 1.1.0 a 1.2.2, criou
um O que devo fazer?O código das seguintes versões da CLI Migrate to Containers para Windows foi atualizado para corrigir essa vulnerabilidade. Recomendamos que você faça upgrade manual da CLI do Migrate to Containers para a seguinte versão ou mais recente:
Quais vulnerabilidades estão sendo abordadas?Usando o usuário administrador local, criado pelo software Migrate to Containers, a vulnerabilidade CVE-2024-9858 permite que um invasor tenha acesso de administrador a máquinas Windows afetadas. |
Média | CVE-2024-9858 |
GCP-2024-057
Publicado em: 03/10/2024
Atualizado em: 19/11/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 19/11/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 15/10/2024: foram adicionadas versões de patch para o GDC (VMware). Os níveis de gravidade do GKE e do GDC (VMware) foram atualizados. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média | CVE-2024-45016 |
GCP-2024-056
Publicado em: 27/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma cadeia de vulnerabilidades (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) que poderia resultar na execução remota de código foi descoberta no sistema de impressão CUPS usado por algumas distribuições do Linux. Um invasor poderá explorar essa vulnerabilidade se os serviços do CUPS estiverem escutando na porta UDP 631 e puderem se conectar a ela. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Nenhuma |
GCP-2024-055
Publicado em: 24/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de tráfego de solicitações HTTP no Looker permitiu que um invasor não autorizado capturasse respostas HTTP destinadas a usuários legítimos. Há duas versões do Looker hospedadas:
As instâncias do Looker hospedadas pelo cliente foram consideradas vulneráveis e precisam ser atualizadas para uma das versões abaixo. Essa vulnerabilidade foi corrigida em todas as versões com suporte do Looker hospedado pelo cliente, que estão disponíveis na página de download do Looker. O que devo fazer?
Quais vulnerabilidades estão sendo abordadas?A vulnerabilidade CVE-2024-8912 permite que um invasor envie cabeçalhos de solicitação HTTP criados para o Looker, o que pode resultar na interceptação de respostas HTTP destinadas a outros usuários. Essas respostas podem conter informações sensíveis. Essa vulnerabilidade só pode ser explorada em determinadas configurações específicas. |
Média | CVE-2024-8912 |
GCP-2024-054
Publicado em: 23/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Foi descoberto um problema de segurança
em clusters do Kubernetes com os nós do Windows em que
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média | CVE-2024-5321 |
GCP-2024-053
Publicado em: 19/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Ao analisar campos desconhecidos nas bibliotecas Protobuf Java Full e Lite, uma mensagem criada de forma maliciosa pode causar um erro StackOverflow e levar a uma falha no programa. O que devo fazer? Estamos trabalhando para resolver esse problema e lançamos uma mitigação que já está disponível. Recomendamos que você use as versões mais recentes dos seguintes pacotes de software:
Quais vulnerabilidades são corrigidas por esse patch? Essa vulnerabilidade é uma possível negação de serviço. Analisar grupos aninhados como campos desconhecidos com o analisador DiscardUnknownFieldsParser ou Java Protobuf Lite, ou em relação a campos de mapa do Protobuf, cria recursões ilimitadas que podem ser usadas indevidamente por um invasor. |
Pontuação do CVSS4.0: 8,7 Alta |
CVE-2024-7254 |
GCP-2024-052
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs expõem o Cloud Service Mesh a vulnerabilidades exploráveis:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Média a alta |
GCP-2024-051
Publicado em: 18/09/2024
| Descrição | Gravidade | Observações |
|---|---|---|
|
O VMware divulgou várias vulnerabilidades na VMSA-2024-0019 que afetam os componentes do vCenter implantados nos ambientes dos clientes. Impacto no VMware Engine
O que devo fazer?Nenhuma ação é necessária no momento. |
Crítica |
GCP-2024-050
Publicado em: 04/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma nova vulnerabilidade de execução remota de código (CVE-2024-38063) foi descoberta no Windows. Um invasor pode explorar essa vulnerabilidade remotamente enviando pacotes IPv6 especialmente criados para um host. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Nenhuma | CVE-2024-38063 |
GCP-2024-049
Publicado em: 21/08/2024
Atualizado em: 01/11/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 01/11/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 21/10/2024: foram adicionadas versões de patch e atualizada a gravidade para o GDC (VMware). As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-36978 |
GCP-2024-048
Publicado em: 20/08/2024
Atualizado em: 30/10/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 30/10/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 25/10/2024: foram adicionadas versões de patch e atualizada a gravidade para o GDC (VMware). As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-41009 |
GCP-2024-047
Publicado em: 19/08/2024
Atualizado em: 30/10/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 30/10/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 21/10/2024: foram adicionadas versões de patch e atualizada a gravidade para o GDC (VMware). As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-39503 |
GCP-2024-046
Publicado em: 05/08/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A AMD notificou o Google sobre três novas vulnerabilidades de firmware (duas de risco médio e uma de risco alto) que afetam o SEV-SNP nas CPUs AMD EPYC de terceira geração (Milan) e quarta geração (Genoa). O Google corrigiu os recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração. O que devo fazer? Nenhuma ação do cliente é necessária. As correções já foram aplicadas à frota de servidores do Google. Para mais informações, consulte o boletim de segurança da AMD AMD-SN-3011. |
Média para alta |
GCP-2024-045
Publicado em: 17/07/2024
Atualizado em: 19/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 19/09/2024: adicionamos versões de patch para o software GDC para VMware. Atualização de 21/08/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26925 |
GCP-2024-044
Publicado em: 16/07/2024
Atualizado em: 30/10/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 30/10/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 21/10/2024: foram adicionadas versões de patch e atualizada a gravidade para o GDC (VMware). As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-36972 |
GCP-2024-043
Publicado em: 16/07/2024
Atualizado em: 02/10/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 02/10/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 20/09/2024: adicionamos versões de patch para o software GDC para VMware. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26921 |
GCP-2024-042
Publicado em: 15/07/2024
Atualizado em: 18/07/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 18/07/2024: esclarecemos que os clusters do Autopilot na configuração padrão não são afetados. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26809 |
GCP-2024-041
Publicado em: 08/07/2024
Atualizado em: 16/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 16/09/2024: adicionamos versões de patch para o software GDC para VMware. Atualização de 19/07/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta |
GCP-2024-040
Publicado em: 01/07/2024
Atualizado em: 16/07/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualizações de 16/07/2024: Alguns clientes do acesso VPC sem servidor podem ser afetados por uma vulnerabilidade no OpenSSH (CVE-2024-6387). Em caso de exploit bem-sucedido, ela pode permitir que um invasor remoto e não autenticado execute código arbitrário como raiz na máquina virtual de destino. Uma exploração é considerada difícil. Por exemplo, os clientes não podem acessar as VMs, e elas não têm IPs públicos. Não estamos cientes de tentativas de exploração. O que devo fazer? As implantações do acesso VPC sem servidor são atualizadas automaticamente pelo Google sempre que possível. No entanto, verifique se o agente de serviço gerenciado pelo Google tem o papel necessário. Caso contrário, o conector de acesso VPC sem servidor ainda poderá estar vulnerável. Recomendamos que você migre para a saída direta de VPC ou implante um novo conector e exclua o antigo para garantir que tenha a atualização necessária com a correção. Atualização de 11/07/2024: adição de versões de patch para o software GDC para VMware, GKE na AWS e GKE no Azure. Para mais detalhes, consulte os seguintes boletins na documentação do GKE:
Atualização de 10/07/2024:
Atualizações de 09/07/2024: Alguns clientes do ambiente flexível do App Engine podem ser afetados por uma vulnerabilidade no OpenSSH (CVE-2024-6387). Em caso de exploit bem-sucedido, ela pode permitir que um invasor remoto e não autenticado execute código arbitrário como raiz na máquina virtual de destino. O que devo fazer? O Google já atualizou de modo automático as implantações do ambiente flexível quando possível. No entanto, alguns clientes que desativaram o agente de serviço gerenciado pelo Google, ou fizeram mudanças nas APIs do Google Cloud ou em outras configurações padrão, não foram atualizados e ainda podem estar vulneráveis. Implante uma nova versão do app para receber a atualização com a correção. As implantações atualizadas vão informar a versão ssh Quais vulnerabilidades estão sendo abordadas? A vulnerabilidade CVE-2024-6387, que permite que um invasor remoto e não autenticado execute um código arbitrário como raiz na máquina invadida. Atualizações de 08/07/2024: Os clusters do Dataproc no Google Compute Engine que executam a versão de imagem 2.2 (todos os sistemas operacionais) e 2.1 (somente Debian) foram afetados por uma vulnerabilidade no OpenSSH (CVE-2024-6387). Em caso de exploit bem-sucedido, ela pode permitir que um invasor remoto não autenticado execute código arbitrário como raiz na máquina de destino. As versões de imagem 2.0 e 1.5 do Dataproc no Google Compute Engine, bem como a versão de imagem 2.1 do Dataproc que não é executada no Debian, não são afetadas. Os clusters do Dataproc com a autenticação pessoal ativada não são afetados. O Dataproc sem servidor também não é afetado. O que devo fazer? Atualize seus clusters do Dataproc no Google Compute Engine para uma das seguintes versões:
Se não for possível atualizar seus clusters do Dataproc para
uma das versões acima, recomendamos usar a ação de inicialização
disponível neste local:
Siga estas instruções para especificar ações de inicialização para o Dataproc. A ação de inicialização precisa ser executada em todos os nós (mestres e workers) para clusters preexistentes. Atualizações de 03/07/2024:
Atualizações de 02/07/2024:
Recentemente, uma vulnerabilidade de execução remota de código, a CVE-2024-6387, foi descoberta no OpenSSH. Ela explora uma disputa que pode ser usada para acessar um shell remoto, o que dá aos invasores acesso raiz. No momento da publicação, acreditamos que a exploração da vulnerabilidade seja difícil e leve várias horas por máquina a ser invadida. Não estamos cientes de tentativas de exploração. Para receber instruções e mais detalhes, consulte os seguintes boletins:
|
Crítica | CVE-2024-6387 |
GCP-2024-039
Publicado em: 28/06/2024
Atualizado em: 25/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 25/09/2024: adicionamos versões de patch para o software GDC para VMware. Atualização de 20/08/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26923 |
GCP-2024-038
Publicado em: 26/06/2024
Atualizado em: 17/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 17/09/2024: adicionamos versões de patch para o software GDC para VMware. Atualização de 06/08/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26924 |
GCP-2024-037
Publicado em: 18/06/2024
| Descrição | Gravidade | Observações |
|---|---|---|
|
A VMware divulgou várias vulnerabilidades na VMSA-2024-0012 que afetam os componentes do vCenter implantados nos ambientes dos clientes. Impacto no Google Cloud VMware Engine
O que devo fazer?Nenhuma ação é necessária no momento. |
Crítica |
GCP-2024-036
Publicado em: 18/06/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26584 |
GCP-2024-035
Publicado em: 12/06/2024
Atualizado em: 18/07/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 18/07/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE e adicionamos uma versão de patch para a versão 1.27 em pools de nós do Container-Optimized OS. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26584 |
GCP-2024-034
Publicado em: 11/06/2024
Atualizado em: 10/06/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 10/07/2024: foram adicionadas versões de patch para nós do Container-Optimized OS que executam as versões secundária 1.26 e 1.27 e versões de patch para nós do Ubuntu. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26583 |
GCP-2024-033
Publicado em: 10/06/2024
Atualizado em: 26/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 26/09/2024: adicionamos versões de patch para o software GDC para VMware. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2022-23222 |
GCP-2024-032
Publicado em: 04/06/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs expõem o Cloud Service Mesh a vulnerabilidades exploráveis:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
GCP-2024-031
Publicado em: 24/05/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma nova vulnerabilidade (CVE-2024-4323) foi descoberta no Fluent Bit que pode resultar na execução remota de código. As versões 2.0.7 a 3.0.3 do Fluent Bit foram afetadas. O GKE, o GKE no VMware, o GKE na AWS, o GKE no Azure e o GKE em Bare Metal não usam uma versão vulnerável do Fluent Bit e não foram afetados. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Nenhuma | CVE-2024-4323 |
GCP-2024-030
Publicado em: 15/05/2024
Atualizado em: 18/07/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 18/07/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-52620 |
GCP-2024-029
Publicado em: 14/05/2024
Atualizado em: 19/08/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 19/08/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26642 |
GCP-2024-028
Publicado em: 13/05/2024
Atualizado em: 22/05/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/05/2024: adicionamos versões de patch para o Ubuntu As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26581 |
GCP-2024-027
Publicado em: 08/05/2024
Atualizado em: 25/09/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 25/09/2024: adicionamos versões de patch para o software GDC para VMware. Atualização de 15/05/2024: adicionamos versões de patch para os pools de nós do GKE para Ubuntu. Atualização de 09/05/2024: corrigimos a gravidade de Média para Alta e esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26808 |
GCP-2024-026
Publicado em: 07/05/2024
Atualizado em: 06/08/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 06/08/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE. Atualização de 09/05/2024: a gravidade foi corrigida de média para alta. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26643 |
GCP-2024-025
Publicado em: 26/04/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Looker corrigiu vulnerabilidades reportadas por um pesquisador externo no Programa de Recompensa para Descobertas de Vulnerabilidades (VRP) do Google e da Alphabet, mas não encontrou evidências de exploração. Esses problemas já estão resolvidos, e nenhuma ação é necessária para os usuários de clientes hospedados no Looker (Google Cloud Core) e Looker (original). Recomendamos que instâncias auto-hospedadas do produto sejam atualizadas para a versão com suporte mais recente. O que devo fazer? Instâncias hospedadas pelo Looker: instâncias do Looker (Google Cloud Core) e do Looker (original) Nenhuma ação do cliente é necessária. Apenas instâncias auto-hospedadas do Looker Se a instância do Looker for auto-hospedada, recomendamos fazer upgrade para uma das seguintes versões:
Como o problema foi corrigido? O Google desativou o acesso administrativo direto no aplicativo do Looker ao banco de dados interno, removeu privilégios elevados que permitiam o acesso entre locatários e trocou os secrets expostos. Além disso, corrigimos vulnerabilidades de travessia de caminhos que poderiam expor as credenciais de contas de serviço. Também estamos conduzindo uma análise completa do nosso código e sistemas para identificar e resolver possíveis vulnerabilidades semelhantes. |
Crítica |
GCP-2024-024
Publicado em: 25/04/2024
Atualizado em: 18/07/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 18/07/2024: adicionamos versões de patch para pools de nós do Ubuntu no GKE As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-26585 |
GCP-2024-023
Publicado em: 24/04/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs expõem o Cloud Service Mesh a vulnerabilidades exploráveis:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
GCP-2024-022
Publicado em: 03/04/2024
Atualizado em: 17/07/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 17/07/2024: adicionamos versões de patch para o GKE no VMware Atualização de 09/07/2024: adicionamos versões de patch para o GKE em Bare Metal Atualização de 24/04/2024: adicionamos versões de patch para o GKE. Uma vulnerabilidade de negação de serviço (DoS) (CVE-2023-45288) foi descoberta recentemente em várias implementações do protocolo HTTP/2, incluindo o servidor HTTP golang usado pelo Kubernetes. A vulnerabilidade pode levar a um ataque DoS no plano de controle do Google Kubernetes Engine (GKE). Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-45288 |
GCP-2024-021
Publicado em: 03/04/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Compute Engine não é afetado pela CVE-2024-3094, que impacta as versões 5.6.0 e 5.6.1 do pacote xz-utils na biblioteca liblzma e pode comprometer o utilitário OpenSSH. Para mais detalhes, consulte o boletim de segurança do Compute Engine. |
Média | CVE-2024-3094 |
GCP-2024-020
Publicado em: 02/04/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Pesquisadores descobriram uma vulnerabilidade (CVE-2023-48022) no Ray. O Ray é uma ferramenta de terceiros e de código aberto para cargas de trabalho de IA. Como ele não exige autenticação, os invasores podem executar código remotamente enviando jobs para instâncias expostas publicamente. A vulnerabilidade foi contestada pela Anyscale, desenvolvedora do Ray. O Ray afirma que as funções são um recurso principal e pretendido do produto e que a segurança precisa ser implementada fora de um cluster do Ray, já que qualquer exposição não intencional da rede do cluster pode levar a uma violação. Com base na resposta, essa CVE foi contestada e pode não aparecer em verificadores de vulnerabilidades. De qualquer forma, ela está sendo explorada ativamente em ambientes reais, e os usuários precisam configurar o uso conforme sugerido abaixo. O que devo fazer? Siga as práticas recomendadas e diretrizes do Ray, incluindo a execução de código confiável em redes confiáveis, para proteger suas cargas de trabalho do Ray. A implantação do ray.io nas instâncias de nuvem do cliente se enquadra no modelo de responsabilidade compartilhada. A segurança do Google Kubernetes Engine (GKE) tem um blog com informações sobre aumentar a proteção do Ray no GKE. Para mais informações sobre como adicionar autenticação e autorização aos serviços do Ray, consulte a documentação do Identity-Aware Proxy (IAP). Os usuários do GKE podem implementar o IAP seguindo estas orientações ou redirecionando os módulos do Terraform vinculados no blog. |
Alta | CVE-2023-48022 |
GCP-2024-018
Publicado em: 12/03/2024
Atualizado em: 04/04/2024, 06/05/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 06/05/2024: adicionamos versões de patch para os pools de nós do GKE para Ubuntu. Atualização de 04/04/2024: corrigimos as versões mínimas para os pools de nós do Container-Optimized OS do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-1085 |
GCP-2024-017
Publicado em: 06/03/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3611 |
GCP-2024-016
Publicado em: 05/03/2024
| Descrição | Gravidade | Observações |
|---|---|---|
|
A VMware divulgou várias vulnerabilidades na VMSA-2024-0006 que afetam os componentes do ESXi implantados nos ambientes dos clientes. Impacto no Google Cloud VMware EngineSuas nuvens privadas foram atualizadas com uma resolução da vulnerabilidade de segurança. O que devo fazer?Não é necessário ação da sua parte. |
Crítica |
GCP-2024-014
Publicado em: 26/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3776 |
GCP-2024-013
Publicado em: 27/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3610 |
GCP-2024-012
Publicado em: 20/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-0193 |
GCP-2024-011
Publicado em: 15/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu:
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-6932 |
GCP-2024-010
Publicado em: 14/02/2024
Atualizado em: 17/04/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 17/04/2024: adicionamos versões de patch para o GKE no VMware. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-6931 |
GCP-2024-009
Publicado em: 13/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Em 13 de fevereiro de 2024, a AMD divulgou duas vulnerabilidades que afetam o SEV-SNP em CPUs EPYC baseadas nos núcleos Zen de terceira (Milan) e quarta geração (Genoa). As vulnerabilidades permitem que invasores privilegiados acessem dados desatualizados de convidados ou causem uma perda na integridade do convidado. O Google aplicou correções aos recursos afetados, incluindo Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração. O que devo fazer? Nenhuma ação do cliente é necessária. As correções já foram aplicadas à frota de servidores do Google para Google Cloud, incluindo o Compute Engine. Para mais informações, consulte o boletim de segurança AMD-SN-3007 da AMD. |
Moderada |
GCP-2024-008
Publicado em: 12/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O CVE-2023-5528 permite que um invasor crie pods e volumes persistentes em nós do Windows de uma maneira que permita o escalonamento de privilégios de administrador nesses nós. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-5528 |
GCP-2024-007
Publicado em: 08/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs expõem o Cloud Service Mesh a vulnerabilidades exploráveis:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
GCP-2024-006
Publicado em: 05/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Quando um proxy de gerenciamento de APIs da Apigee se conecta a um endpoint de destino ou servidor de destino, o proxy não realiza a validação do nome do host para o certificado apresentado pelo endpoint ou servidor de destino por padrão. Se a validação do nome do host não estiver ativada usando uma das seguintes opções, os proxies da Apigee que se conectam a um endpoint ou servidor de destino poderão estar em risco de um ataque "man-in-the-middle" por um usuário autorizado. Para mais informações, consulte Como configurar o TLS do Edge para o back-end (nuvem e nuvem privada). As implantações de proxy da Apigee nas plataformas da Apigee a seguir foram afetadas:
Para instruções e mais detalhes, consulte o boletim de segurança da Apigee. |
Alta |
GCP-2024-005
Publicado em: 31/01/2024
Atualizado em: 02/04/2024, 06/05/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 06/05/2024: adicionamos versões de patch para o GKE na AWS e no Azure. Atualização de 02/04/2024: adicionamos versões de patch para o GKE em Bare Metal Atualização de 06/03/2024: adicionamos versões de patch para o GKE no VMware Atualização de 28/02/2024: adicionamos versões de patch para o Ubuntu. Atualização de 15/02/2024: esclarecimento que as versões de patch 1.25 e 1.26 do Ubuntu na atualização de 14/02/2024 podem causar nós inativos. Atualização de 14/02/2024: adicionamos versões de patch para o Ubuntu Atualização de 06/02/2024: adicionamos versões de patch para o Container-Optimized OS. Uma vulnerabilidade de segurança, CVE-2024-21626, foi descoberta no Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2024-21626 |
GCP-2024-004
Publicado em: 24/01/2024
Atualizado em: 07/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 07/02/2024: adicionamos versões de patch para o Ubuntu. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-6817 |
GCP-2024-003
Publicado em: 19/01/2024
Atualizado em: 26/01/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 26/01/2024: esclarecimento sobre o número de clusters afetados e as ações que tomamos para ajudar a reduzir o impacto. Para mais detalhes, consulte o boletim de segurança GCP-2024-003. Identificamos vários clusters em que os usuários concederam privilégios do Kubernetes
ao grupo Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média |
GCP-2024-002
Publicado em: 17/01/2024
Atualizado em: 20/02/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 20/02/2024: adicionamos versões de patch para o GKE no VMware. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios em nós do Container-Optimized OS.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-6111 |
GCP-2024-001
Publicado em: 09/01/2024Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Várias vulnerabilidades foram descobertas no firmware UEFI TianoCore EDK II. Esse firmware é usado em VMs do Google Compute Engine. Se exploradas, elas podem permitir uma violação da inicialização segura, o que forneceria medições falsas no processo de inicialização segura, inclusive quando usadas em VMs protegidas. O que devo fazer?Você não precisa fazer nada. O Google corrigiu essa vulnerabilidade no Compute Engine, e todas as VMs estão protegidas contra ela. Quais vulnerabilidades são corrigidas por esse patch?O patch mitigou as seguintes vulnerabilidades:
|
Média |
GCP-2023-051
Publicado em: 28/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3609 |
GCP-2023-050
Publicado em: 27/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3389 |
GCP-2023-049
Publicado em: 20/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3090 |
GCP-2023-048
Publicado em: 15/12/2023
Atualizado em: 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3390 |
GCP-2023-047
Publicado em: 14/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Um invasor que comprometeu o contêiner de registro do Fluent Bit pode combinar esse acesso com os privilégios elevados exigidos pelo Cloud Service Mesh (em clusters que o ativaram) para aumentar os privilégios no cluster. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média |
GCP-2023-046
Publicado em: 22/11/2023
Atualizado em: 04/03/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 04/03/2024: adicionamos versões do GKE para o GKE no VMware. Atualização de 22/01/2024: adicionamos versões de patch do Ubuntu As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-5717 |
GCP-2023-045
Publicado em: 20/11/2023
Atualizado em: 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-5197 |
GCP-2023-044
Publicado em: 15/11/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Em 14 de novembro, a AMD divulgou várias vulnerabilidades que afetam várias CPUs de servidor da AMD. Especificamente, as vulnerabilidades afetam as CPUs de servidor EPYC que usam a geração 2 "Rome", a geração 3 "Milan" e a geração 4 "Genoa" do Zen Core. O Google aplicou correções aos recursos afetados, incluindo o Google Cloud, para garantir a proteção dos clientes. Até o momento, não foram encontradas ou informadas ao Google evidências de exploração. O que devo fazer? Nenhuma ação do cliente é necessária. As correções já foram aplicadas à frota de servidores do Google para Google Cloud, incluindo o Google Compute Engine. Quais vulnerabilidades estão sendo abordadas? O patch mitigou as seguintes vulnerabilidades:
Para mais informações, consulte o aviso de segurança da AMD AMD-SN-3005: "Aviso de segurança da instrução INVD da AMD", também publicado como CacheWarp, e AMD-SN-3002: "Vulnerabilidades do servidor AMD – novembro de 2023". |
Moderada |
GCP-2023-043
Publicado em: 14/11/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A Intel divulgou uma vulnerabilidade de CPU em alguns processadores. Para garantir a proteção dos clientes, o Google tomou medidas para reduzir o risco na frota de servidores, incluindo o Google Compute Engine para Google Cloude dispositivos Chrome OS. Detalhes da vulnerabilidade:
O que devo fazer? Nenhuma ação do cliente é necessária. A mitigação fornecida pela Intel para os processadores afetados foi aplicada à frota de servidores do Google, incluindo o Google Compute Engine para Google Cloud. No momento, o Google Distributed Cloud Edge exige uma atualização do OEM. O Google vai corrigir esse produto assim que a atualização for disponibilizada, e este boletim será atualizado de acordo. Os dispositivos Chrome OS com os processadores afetados receberam a correção de modo automático como parte das versões 119, 118 e 114 (LTS). Quais vulnerabilidades estão sendo abordadas? CVE-2023-23583. Para mais detalhes, consulte o Aviso de segurança INTEL-SA-00950 da Intel. |
Alta | CVE-2023-23583 |
GCP-2023-042
Publicado em: 13/11/2023
Atualizado em: 15/11/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 15/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-4147 |
GCP-2023-041
Publicado em: 08/11/2023
Atualizado em: 21/11/2023, 05/12/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 05/12/2023: foram adicionadas outras versões do GKE para pools de nós do Container-Optimized OS. Atualização de 21/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-4004 |
GCP-2023-040
Publicado em: 06/11/2023
Atualizado em: 21/11/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 21/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-4921 |
GCP-2023-039
Publicado em: 06/11/2023
Atualizado em: 21/11/2023, 16/11/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. Atualização de 16/11/2023: a vulnerabilidade associada a este boletim de segurança é a CVE-2023-4622. A CVE-2023-4623 foi listada incorretamente como a vulnerabilidade em uma versão anterior do boletim de segurança. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-4622 |
GCP-2023-038
Publicado em: 06/11/2023
Atualizado em: 21/11/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 21/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-4623 |
GCP-2023-037
Publicado em: 06/11/2023
Atualizado em: 21/11/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 21/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-4015 |
GCP-2023-036
Publicado em: 30/10/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Deep Learning VM Images é um conjunto de imagens de máquinas virtuais pré-empacotadas com um framework de aprendizado profundo pronto para ser executado. Recentemente, uma vulnerabilidade de gravação fora do limite foi descoberta na função "ReadHuffmanCodes()" da biblioteca "libwebp". Isso pode afetar as imagens que usam essa biblioteca. OGoogle Cloud verifica continuamente as imagens públicas e atualiza os pacotes para garantir que as distribuições com patch sejam incluídas nas versões mais recentes disponíveis para a adoção pelo cliente. O Deep Learning VM Image foi atualizado para garantir que as imagens de VM mais recentes incluam as distribuições com patch. Os clientes que adotam as imagens de VM mais recentes não ficam expostos a essa vulnerabilidade. O que devo fazer? Os clientes doGoogle Cloud que usam imagens de VM publicadas precisam verificar se estão adotando as imagens mais recentes e se os ambientes estão atualizados de acordo com o modelo de responsabilidade compartilhada. A CVE-2023-4863 pode ser explorada por um invasor que queira executar códigos arbitrários. Essa vulnerabilidade foi identificada no Google Chrome antes da 116.0.5845.187 e em "libwebp" antes da 1.3.2 e está listada na CVE-2023-4863. |
Alta | CVE-2023-4863 |
GCP-2023-035
Publicado em: 26/10/2023
Atualizado em: 21/11/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 21/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128 |
GCP-2023-034
Publicado em: 25/10/2023
Atualizado em: 27/10/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A VMware divulgou várias vulnerabilidades na VMSA-2023-0023 que afetam os componentes do vCenter implantados nos ambientes dos clientes. Impacto no Cloud Customer Care
O que devo fazer?Nenhuma ação é necessária no momento. |
Crítica | CVE-2023-34048, CVE-2023-34056 |
GCP-2023-033
Publicado em: 24/10/2023
Atualizado em: 21/11/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados e as cargas de trabalho do GKE Sandbox não são afetadas. Atualização de 21/11/2023: esclarecemos que apenas as versões secundárias listadas precisam ser atualizadas para uma versão corrigida correspondente do GKE. As seguintes vulnerabilidades foram descobertas no kernel do Linux e podem levar a um escalonamento de privilégios nos nós do Container-Optimized OS e do Ubuntu.
Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3777 |
GCP-2023-032
Publicado em: 13/10/2023
Atualizado em: 03/11/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 03/11/2023: adicionamos um problema conhecido relacionado ao Apigee Edge para nuvem privada. Uma vulnerabilidade de negação de serviço (DoS) foi descoberta recentemente em várias implementações do protocolo HTTP/2 (CVE-2023-44487), incluindo o serviço de entrada da Apigee (Cloud Service Mesh) usado pela Apigee X e Apigee híbrida. A vulnerabilidade pode levar a um DoS da funcionalidade de gerenciamento de APIs da Apigee. Para instruções e mais detalhes, consulte o boletim de segurança da Apigee. |
Alta | CVE-2023-44487 |
GCP-2023-031
Publicado em: 10/10/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Um ataque de negação de serviço pode afetar o plano de dados quando o protocolo HTTP/2 é usado. Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta | CVE-2023-44487 |
GCP-2023-030
Publicado em: 10/10/2023
Atualizado em: 20/03/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 20/03/2024: adicionamos versões de patch para o GKE na AWS e o GKE no Azure com os patches mais recentes para CVE-2023-44487. Atualização de 20/02/2024: adicionamos versões de patch para o GKE no VMware. Atualização de 09/11/2023: adicionamos a CVE-2023-39325. As versões do GKE foram atualizadas com os patches mais recentes para CVE-2023-44487 e CVE-2023-39325. Uma vulnerabilidade de negação de serviço (DoS) foi descoberta recentemente em várias implementações do protocolo HTTP/2 (CVE-2023-44487), incluindo o servidor HTTP golang usado pelo Kubernetes. A vulnerabilidade pode levar a um ataque DoS no plano de controle do Google Kubernetes Engine (GKE). Os clusters do GKE com redes autorizadas configuradas são protegidos pela limitação do acesso à rede, mas todos os outros clusters são afetados. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-44487, CVE-2023-39325 |
GCP-2023-029
Publicado em: 03/10/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O TorchServe é usado para hospedar modelos de machine learning PyTorch para previsão on-line. A Vertex AI fornece contêineres pré-criados de disponibilização do modelo PyTorch que dependem do TorchServe. Recentemente, foram descobertas no TorchServe vulnerabilidades que permitiriam a um invasor assumir o controle de uma implantação do TorchServe se a API de gerenciamento de modelos for exposta. Os clientes com modelos PyTorch implantados na Vertex AI Online Prediction não são afetados por essas vulnerabilidades, porque a Vertex AI não expõe a API de gerenciamento de modelos do TorchServe. Os clientes que usam o TorchServe fora da Vertex AI precisam tomar precauções para garantir que as implantações sejam configuradas com segurança. O que devo fazer? Os clientes da Vertex AI com modelos implantados usando contêineres de veiculação pré-criados do PyTorch da Vertex AI não precisam fazer nada para resolver as vulnerabilidades, já que as implantações da Vertex AI não expõem o servidor de gerenciamento do TorchServe à Internet. Os clientes que usam os contêineres pré-criados do PyTorch em outros contextos ou que usam uma distribuição personalizada ou de terceiros do TorchServe devem fazer o seguinte:
Quais vulnerabilidades estão sendo abordadas? A API de gerenciamento do TorchServe está vinculada a A CVE-2023-43654 e a CVE-2022-1471 permitem que um usuário com acesso à API de gerenciamento carregue modelos de fontes arbitrárias e execute código remotamente. As mitigações para esses dois problemas estão incluídas no TorchServe 0.8.2: o caminho de execução do código remoto é removido e um aviso é emitido se o valor padrão de |
Alta | CVE-2023-43654, CVE-2022-1471 |
GCP-2023-028
Publicado em: 19/09/2023
Atualizado em: 29/05/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
| Atualização de 29/05/2024: os novos feeds não
usam mais a conta de serviço compartilhada, mas ela
permanece ativa para os feeds atuais e evita interrupções no serviço. As mudanças na fonte em feeds mais antigos são bloqueadas
para evitar o uso indevido da conta de serviço compartilhada. Os clientes podem continuar usando
os feeds antigos normalmente, desde que não mudem a fonte.
Os clientes podem configurar o Google Security Operations para ingerir dados de buckets do Cloud Storage de propriedade do cliente usando um feed de ingestão. Até pouco tempo, o Google Security Operations fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão ao bucket. Uma oportunidade existia para que a instância do Google Security Operations de um cliente pudesse ser configurada para ingerir dados do bucket do Cloud Storage de outro cliente. Depois de realizar uma análise de impacto, não encontramos nenhuma exploração atual ou anterior dessa vulnerabilidade. A vulnerabilidade estava presente em todas as versões do Google Security Operations anteriores a 19 de setembro de 2023. O que devo fazer? Em 19 de setembro de 2023, o Google Security Operations foi atualizado para resolver essa vulnerabilidade. Nenhuma ação do cliente é necessária. Quais vulnerabilidades estão sendo abordadas? Antes, o Google Security Operations fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão a um bucket. Como diferentes clientes concederam permissão à mesma conta de serviço do Google Security Operations para o bucket, havia um vetor de exploração que permitia que o feed de um cliente acessasse o bucket de outro quando um feed estava sendo criado ou modificado. Esse vetor de exploração exigia conhecimento sobre o URI do bucket. Agora, durante a criação ou modificação de feeds, o Google Security Operations usa contas de serviço exclusivas para cada cliente. |
Alta |
GCP-2023-027
Publicado em: 11/09/2023| Descrição | Gravidade | Observações |
|---|---|---|
|
As atualizações do VMware vCenter Server lidam com várias vulnerabilidades de corrupção de memória (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896) Impacto no Customer CareVMware vCenter Server (vCenter Server) e VMware Cloud Foundation (Cloud Foundation). O que devo fazer?Os clientes não são afetados, e nenhuma ação é necessária. |
Média |
GCP-2023-026
Publicado em: 06/09/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Três vulnerabilidades (CVE-2023-3676, CVE-2023-3955 e CVE-2023-3893) foram descobertas no Kubernetes, em que um usuário que pode criar pods em nós do Windows pode ter acesso a privilégios de administrador nesses nós. Essas vulnerabilidades afetam as versões do Kubelet para Windows e o proxy CSI do Kubernetes. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-3676, CVE-2023-3955, CVE-2023-3893 |
GCP-2023-025
Publicado em: 08/08/2023| Descrição | Gravidade | Observações |
|---|---|---|
|
A Intel anunciou recentemente o aviso de segurança INTEL-SA-00828 que afeta algumas das famílias de processadores. Recomendamos que você avalie os riscos com base na orientação. Impacto no Google Cloud VMware EngineNossa frota usa as famílias de processadores afetados. Na nossa implantação, todo o servidor é dedicado a um cliente. Portanto, nosso modelo de implantação não adiciona nenhum risco à sua avaliação dessa vulnerabilidade. Estamos trabalhando com nossos parceiros para conseguir os patches necessários e vamos implantá-los com prioridade em toda a frota usando o processo de upgrade padrão nas próximas semanas. O que devo fazer?Você não precisa fazer nada. Estamos trabalhando para fazer upgrade de todos os sistemas afetados. |
Alta |
GCP-2023-024
Publicado em: 08/08/2023
Atualizado em: 10/08/2023, 04/06/2024
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 04/06/2024: os seguintes produtos ausentes foram atualizados para corrigir essa vulnerabilidade:
Atualização de 10/08/2023: adicionamos o número da versão LTS do ChromeOS. A Intel divulgou uma vulnerabilidade em alguns processadores (CVE-2022-40982). Para garantir a proteção dos clientes, o Google tomou medidas para reduzir o risco na frota de servidores, incluindo o Google Cloud. Detalhes da vulnerabilidade:
O que devo fazer?
Nenhuma ação do cliente é necessária. Todos os patches disponíveis já foram aplicados à frota de servidores do Google para o Google Cloud, incluindo o Google Compute Engine. No momento, os seguintes produtos exigem outras atualizações de parceiros e fornecedores.
O Google vai corrigir esses produtos assim que os patches forem disponibilizados, e este boletim será atualizado de acordo. Os clientes do Google Chromebook e do ChromeOS Flex receberam automaticamente as mitigações fornecidas pela Intel nas versões Stable (115), LTS (108), Beta (116) e LTC (114). Os clientes do Chromebook e do ChromeOS Flex com versões mais antigas devem considerar atualizá-las e migrar para as versões Stable ou LTS para garantir o recebimento dessa e de outras correções de vulnerabilidade. Quais vulnerabilidades estão sendo abordadas? CVE-2022-40982: para mais informações, consulte o Aviso de segurança INTEL-SA-00828 da Intel. |
Alta | CVE-2022-40982 |
GCP-2023-023
Publicado em: 08/08/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A AMD divulgou uma vulnerabilidade em alguns processadores (CVE-2023-20569). Para garantir a proteção dos clientes, o Google tomou medidas para reduzir o risco na frota de servidores, incluindo o Google Cloud. Detalhes da vulnerabilidade:
O que devo fazer?
Os usuários de VMs do Compute Engine devem considerar adotar as mitigações fornecidas pelo SO se executarem código não confiável na instância. Recomendamos que os clientes entrem em contato com os fornecedores de SO para orientações mais específicas. As correções já foram aplicadas à frota de servidores do Google para Google Cloud, incluindo o Google Compute Engine. Quais vulnerabilidades estão sendo abordadas? CVE-2023-20569: para mais informações, consulte AMD SB-7005. |
Moderada | CVE-2023-20569 |
GCP-2023-022
Publicado em: 03/08/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Google identificou uma vulnerabilidade nas implementações do gRPC em C++ nas versões anteriores à 1.57. Uma vulnerabilidade de negação de serviço foi encontrada na implementação do gRPC em C++. Esses problemas foram corrigidos nas versões 1.53.2, 1.54.3, 1.55.2, 1.56.2 e 1.57. O que devo fazer? Confira se você está usando as versões mais recentes dos seguintes pacotes de software:
Quais vulnerabilidades estão sendo abordadas? As correções minimizam as seguintes vulnerabilidades:
| Alta | CVE-2023-33953 |
GCP-2023-021
Atualizado em: 26/07/2023
Publicado em: 25/07/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs expõem o Cloud Service Mesh a vulnerabilidades exploráveis:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
GCP-2023-020
Atualizado em: 26/07/2023
Publicado em: 24/07/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A AMD lançou uma atualização de microcódigo que aborda uma vulnerabilidade de segurança de hardware (CVE-2023-20593). O Google aplicou as correções necessárias para essa vulnerabilidade à frota de servidores, incluindo servidores do Google Cloud Platform. Os testes indicam que não há impacto no desempenho dos sistemas. O que devo fazer? Nenhuma ação do cliente é necessária, já que as correções foram aplicadas à frota de servidores do Google para o Google Cloud Platform. Quais vulnerabilidades estão sendo abordadas? A CVE-2023-20593 aborda uma vulnerabilidade em algumas CPUs AMD. Confira mais informações neste link. | Alta | CVE-2023-20593 |
GCP-2023-019
Publicado em: 18/07/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma nova vulnerabilidade (CVE-2023-35945) foi descoberta no Envoy,
em que resposta especialmente criada de um serviço upstream
não confiável pode causar uma negação de serviço por esgotamento da memória. Ela é causada pelo codec HTTP/2
do Envoy, que pode vazar um mapa de cabeçalho
e estruturas de contabilidade ao receber Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. | Alta | CVE-2023-35945 |
GCP-2023-018
Publicado em: 27/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma nova vulnerabilidade (CVE-2023-2235) foi descoberta no kernel do Linux que pode levar a um escalonamento de privilégios no nó. Os clusters do GKE Autopilot são afetados porque os nós do GKE Autopilot sempre usam imagens de nó do Container-Optimized OS. Os clusters do GKE Standard com versões 1.25 ou posteriores que executam imagens de nó do Container-Optimized OS também são afetados. Os clusters do GKE não serão afetados se estiverem executando apenas imagens de nós do Ubuntu ou versões anteriores à 1.25 ou usarem o GKE Sandbox. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-2235 |
GCP-2023-017
Publicado em: 26/06/2023
Atualizado em: 11/07/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 11/07/2023: novas versões do GKE foram atualizadas para incluir as versões mais recentes do Ubuntu que corrigem a vulnerabilidade CVE-2023-31436. Uma nova vulnerabilidade (CVE-2023-31436) foi descoberta no kernel do Linux que pode levar a um escalonamento de privilégios no nó. Os clusters do GKE, incluindo os clusters do Autopilot, foram afetados. Os clusters do GKE que usam o GKE Sandbox não são afetados. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-31436 |
GCP-2023-016
Publicado em: 26/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Várias vulnerabilidades foram descobertas no Envoy, que é usado no Cloud Service Mesh. Elas permitem que um invasor mal-intencionado cause uma negação de serviço ou falha no Envoy. Elas foram relatadas separadamente como GCP-2023-002. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487 |
GCP-2023-015
Publicado em: 20/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma nova vulnerabilidade, CVE-2023-0468, foi descoberta no kernel do Linux. Ela pode permitir que um usuário sem privilégios aumente os privilégios para raiz quando "io_poll_get_ownership" continuar aumentando "req->poll_refs" em cada "io_poll_wake" até um overflow para 0. Isso executa fput req->file duas vezes e causa um problema de refcount do arquivo struct. Os clusters do GKE, incluindo os clusters do Autopilot, com o Container-Optimized OS que usam a versão do kernel 5.15 do Linux são afetados. Os clusters do GKE que usam imagens do Ubuntu ou o GKE Sandbox não são afetados. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média | CVE-CVE-2023-0468 |
GCP-2023-014
Atualizado em: 11/08/2023
Publicado em: 15/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 11/08/2023: adicionamos versões de patch para o GKE no VMware, o GKE na AWS, o GKE no Azure e o Google Distributed Cloud Virtual para Bare Metal. Foram descobertos dois novos problemas de segurança no Kubernetes em que os usuários podem iniciar contêineres que ignoram as restrições da política ao usar contêineres efêmeros e o ImagePolicyWebhook (CVE-2023-2727) ou o plug-in de admissão ServiceAccount (CVE-2023-2728). Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média | CVE-2023-2727, CVE-2023-2728 |
GCP-2023-013
Publicado em: 08/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Quando você ativa a API Cloud Build em um projeto,
o Cloud Build cria de modo automático uma conta de serviço padrão
para executar builds em seu nome. Essa conta de serviço tinha a permissão do IAM Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Build. |
Baixa |
GCP-2023-010
Publicado em: 07/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Google identificou três novas vulnerabilidades na implementação do gRPC em C++. Elas serão publicadas em breve como CVE-2023-1428, CVE-2023-32731 e CVE-2023-32732. Em abril, encontramos duas vulnerabilidades nas versões 1.53 e 1.54. A primeira era uma vulnerabilidade de negação de serviço que acontecia durante a implementação do gRPC em C++, e a outra era relacionada à exfiltração de dados. Corrigimos esses problemas nas versões 1.53.1, 1.54.2 e posteriores. Em março, nossas equipes descobriram outra vulnerabilidade de negação de serviço durante a implementação do gRPC em C++ ao executarem testes de fuzzing de rotina. O problema foi encontrado na versão 1.52 e foi corrigido nas versões 1.52.2 e 1.53. O que devo fazer?Confira se você está usando as versões mais recentes dos seguintes pacotes de software:
Quais vulnerabilidades serão corrigidas?As correções minimizam as seguintes vulnerabilidades:
Recomendamos que você faça upgrade para as versões mais recentes dos pacotes de software listados acima. |
Alta (CVE-2023-1428, CVE-2023-32731). Média (CVE-2023-32732) | CVE-2023-1428, CVE-2023-32731, CVE-023-32732 |
GCP-2023-009
Publicado em: 06/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma nova vulnerabilidade (CVE-2023-2878) foi encontrada no secret-store-csi-driver, em que um ator com acesso aos registros do driver podia ler tokens de conta de serviço. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Nenhuma | CVE-2023-2878 |
GCP-2023-008
Publicado em: 05/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma nova vulnerabilidade (CVE-2023-1872) foi descoberta no kernel do Linux que pode levar a um escalonamento de privilégios para raiz no nó. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-1872 |
GCP-2023-007
Publicado em: 02/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Recentemente foi descoberta uma vulnerabilidade no Cloud SQL para SQL Server que
permitia que contas de administrador de clientes criassem gatilhos no
banco de dados OGoogle Cloud resolveu o problema corrigindo a vulnerabilidade de segurança até 1º de março de 2023. O Google Cloud não encontrou instâncias de cliente comprometidas. Para instruções e mais detalhes, consulte o boletim de segurança do Cloud SQL. |
Alta |
GCP-2023-005
Publicado em: 18/05/2023
Atualizado em: 06/06/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 06/06/2023: novas versões do GKE foram atualizadas para incluir as versões mais recentes do Ubuntu que corrigem CVE-2023-1281 e CVE-2023-1829. Duas novas vulnerabilidades (CVE-2023-1281, CVE-2023-1829) foram descobertas no kernel do Linux, o que pode levar a um escalonamento de privilégios na raiz do nó. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-1281 CVE-2023-1829 |
GCP-2023-004
Publicado em: 26/04/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Duas vulnerabilidades (CVE-2023-1017 e CVE-2023-1018) foram descobertas no módulo de plataforma confiável (TPM, na sigla em inglês) 2.0. Elas poderiam permitir que um invasor sofisticado explorasse uma leitura/gravação de 2 bytes fora dos limites em determinadas VMs do Compute Engine. Para instruções e mais detalhes, consulte o boletim de segurança do Compute Engine. |
Média |
GCP-2023-003
Publicado em: 11/04/2023
Atualizado em: 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Duas novas vulnerabilidades, CVE-2023-0240 e CVE-2023-23586, foram descobertas no kernel do Linux que poderiam permitir que um usuário sem privilégios aumentasse os privilégios. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2023-0240, CVE-2023-23586 |
GCP-2023-002
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs expõem o Cloud Service Mesh a vulnerabilidades exploráveis:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
GCP-2023-001
Publicado em: 01/03/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Uma nova vulnerabilidade (CVE-2022-4696) foi descoberta no kernel do Linux que pode levar a um escalonamento de privilégios no nó. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2022-4696 |
GCP-2022-026
Publicado em: 11/01/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Duas novas vulnerabilidades (CVE-2022-3786 e CVE-2022-3602) que podem causar uma falha foram descobertas no OpenSSL v3.0.6. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média |
GCP-2022-025
Publicado em: 21/12/2022
Atualizado em: 19/01/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 19/01/2023: adicionamos informações de que a versão 1.21.14-gke.14100 do GKE está disponível. Duas novas vulnerabilidades (CVE-2022-3786 e CVE-2022-3602) que podem causar uma falha foram descobertas no OpenSSL v3.0.6. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Média |
GCP-2022-024
Publicado em: 09/11/2022
Atualizado em: 19/01/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 19/01/2023: adicionamos informações de que a versão 1.21.14-gke.14100 do GKE está disponível. Atualização de 16/12/2022: adicionamos versões de patch para o GKE e o GKE no VMware. Duas novas vulnerabilidades (CVE-2022-2585 e CVE-2022-2588) foram descobertas no kernel do Linux que podem levar a uma invasão completa do contêiner para raiz do nó. Para instruções e mais detalhes, consulte: |
Alta |
GCP-2022-023
Publicado em: 04/11/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Foi descoberta uma vulnerabilidade de segurança, CVE-2022-39278, no Istio. Ela é usada no Cloud Service Mesh, o que permite que um invasor ataque o plano de controle. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2022-39278 |
GCP-2022-022
Publicado em: 28/10/2022
Atualizado em: 14/12/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 14/12/2022: adicionamos versões de patch para o GKE e o GKE no VMware. Foi descoberta uma nova vulnerabilidade, a CVE-2022-20409, no kernel do Linux que poderia permitir que um usuário sem privilégios tenha o privilégio de execução do sistema. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2022-20409 |
GCP-2022-021
Publicado em: 27/10/2022
Atualizado em: 19/01/2023, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 19/01/2023: adicionamos informações de que a versão 1.21.14-gke.14100 do GKE está disponível. Atualização de 15/12/2022: informações atualizadas de que a versão 1.21.14-gke.9400 do Google Kubernetes Engine está com lançamento pendente e pode ser substituída por um número de versão mais recente. Atualização de 22/11/2022: adicionamos versões de patch para o GKE no VMware, o GKE na AWS e o GKE no Azure. Uma nova vulnerabilidade (CVE-2022-3176) foi descoberta no kernel do Linux que pode levar ao escalonamento de privilégios locais. Com essa vulnerabilidade, um usuário sem privilégios pode realizar uma invasão de contêiner completa com acesso root no nó. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta | CVE-2022-3176 |
GCP-2022-020
Publicado em: 05/10/2022
Atualizado em: 12/10/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O plano de controle Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta | CVE-2022-39278 |
GCP-2022-019
Publicado em: 22/09/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de análise de mensagens e gerenciamento de memória nas implementações do ProtocolBuffer em C++ e Python pode causar uma falha de falta de memória (OOM) ao processar uma mensagem especialmente criada. Ela pode levar a uma negação de serviço (DoS) em serviços que usam as bibliotecas. O que devo fazer?Confira se você está usando as versões mais recentes dos seguintes pacotes de software:
Quais vulnerabilidades são corrigidas por esse patch?O patch reduz os riscos da seguinte vulnerabilidade:
Uma pequena mensagem especialmente elaborada que faz com que o serviço em execução
aloque grandes quantidades de RAM. Por ser uma solicitação pequena,
é fácil aproveitar a vulnerabilidade
e esgotar os recursos. Sistemas C++ e Python que consomem protobufs não confiáveis
ficariam vulneráveis a ataques de DoS se tiverem um
objeto |
Média | CVE-2022-1941 |
GCP-2022-018
Publicado em: 01/08/2022
Atualizado em: 14/09/2022, 21/12/2023
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 21/12/2023: esclarecemos que os clusters do GKE Autopilot na configuração padrão não são afetados. Atualização de 14/09/2022: adicionamos versões de patch para o GKE no VMware, o GKE na AWS e o GKE no Azure. Uma nova vulnerabilidade (CVE-2022-2327) foi descoberta no kernel do Linux que pode levar ao escalonamento de privilégios locais. Com essa vulnerabilidade, um usuário sem privilégios pode realizar uma invasão de contêiner completa com acesso raiz no nó. Para receber instruções e mais detalhes, consulte os seguintes boletins: | Alta | CVE-2022-2327 |
GCP-2022-017
Publicado em: 29/11/2022
Atualizado em: 22/11/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/11/2022: as cargas de trabalho que usam o GKE Sandbox não são afetadas por essas vulnerabilidades. Atualização de 21/07/2022: mais informações sobre o GKE no VMware. Uma nova vulnerabilidade (CVE-2022-1786) foi descoberta na versão 5.10 e 5.11 do kernel do Linux. Ela permite que um usuário sem privilégios com acesso local ao cluster consiga realizar uma invasão total do contêiner com acesso raiz no nó. Apenas os clusters que executam o Container-Optimized OS são afetados. As versões do GKE Ubuntu usam a versão 5.4 ou 5.15 do kernel e não são afetadas. Para instruções e mais detalhes, consulte: |
Alta | CVE-2022-1786 |
GCP-2022-016
Publicado em: 23/06/2022
Atualizado em: 22/11/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/11/2022: os clusters do Autopilot não são afetados pela CVE-2022-29581, mas são vulneráveis à CVE-2022-29582 e CVE-2022-1116. Foram detectadas três novas vulnerabilidades de corrupção de memória (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116) no kernel do Linux. Essas vulnerabilidades permitem que um usuário sem privilégios com acesso local ao cluster realize uma invasão total do contêiner com acesso root no nó. Todos os clusters do Linux (Container-Optimized OS e Ubuntu) são afetados. Para receber instruções e mais detalhes, consulte os seguintes boletins: |
Alta |
GCP-2022-015
Publicado em: 09/06/2022
Atualizado em: 10/06/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 10/06/2022: as versões do Cloud Service Mesh foram atualizadas. Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. As seguintes CVEs do Envoy e do Istio expõem o Cloud Service Mesh e o Istio no GKE a vulnerabilidades que podem ser exploradas remotamente:
Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Crítica |
GCP-2022-014
Publicado em: 26/04/2022
Atualizado em: 22/11/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/11/2022: os clusters do GKE Autopilot e as cargas de trabalho em execução no GKE Sandbox não são afetados. Atualização de 12/05/2022: as versões do GKE na AWS e do GKE no Azure foram atualizadas. Para instruções e mais detalhes, consulte:
Duas vulnerabilidades de segurança, CVE-2022-1055 e CVE-2022-27666, foram descobertas no kernel do Linux. Cada um deles pode fazer com que um invasor local realize uma invasão de contêiner, um escalonamento de privilégios no host ou ambos. Essas vulnerabilidades afetam todos os sistemas operacionais dos nós do GKE (Container-Optimized OS e Ubuntu). Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Alta |
CVE-2022-1055 CVE-2022-27666 |
GCP-2022-013
Publicado em: 11/04/2022
Atualizado em: 22/04/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de segurança, CVE-2022-23648, foi descoberta no processamento da travessia de caminhos de contêineres na especificação do volume de imagem OCI. Os contêineres lançados pela implementação da CRI em contêiner com uma configuração de imagem especialmente criada podem conseguir acesso completo de leitura para arquivos e diretórios arbitrários no host. Essa vulnerabilidade pode ignorar qualquer restrição baseada em políticas na configuração do contêiner (incluindo uma política de segurança de pods do Kubernetes). Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Média | CVE-2022-23648 |
GCP-2022-012
Publicado em: 07/04/2022
Atualizado em: 22/11/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 22/11/2022: para clusters do GKE nos modos Standard e Autopilot, as cargas de trabalho que usam o GKE Sandbox não são afetadas. Uma vulnerabilidade de segurança, CVE-2022-0847, foi descoberta nas versões 5.8 e posteriores do kernel do Linux. Ela permite possivelmente escalonar privilégios de contêiner para acesso raiz. Essa vulnerabilidade afeta os seguintes produtos:
Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Alta | CVE-2022-0847 |
GCP-2022-011
Publicado em: 22/03/2022
Atualizado em: 11/08/2022
Descrição
| Descrição | Gravidade |
|---|---|
|
Atualização de 11/08/2022: adicionamos mais informações sobre a configuração de várias linhas de execução simultâneas (SMT, na sigla em inglês). A SMT deveria estar desativada, mas estava ativada nas versões listadas. Se você ativou a SMT manualmente para um pool de nós no modo sandbox, a SMT permanecerá ativada manualmente, apesar desse problema. Há uma configuração incorreta com várias linhas de execução simultâneas (SMT, na sigla em inglês), também conhecida como Hyper-threading, nas imagens do GKE Sandbox. A configuração incorreta deixa os nós potencialmente expostos a ataques de canal lateral, como amostragem de dados de microarquitetura (MDS, na sigla em inglês). Para mais contexto, consulte a documentação do GKE Sandbox. Não recomendamos o uso das seguintes versões afetadas:
Para instruções e mais detalhes, consulte o boletim de segurança do GKE. |
Média |
GCP-2022-010
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A seguinte CVE do Istio expõe o Cloud Service Mesh a uma vulnerabilidade que pode ser explorada remotamente:
Para receber instruções e mais detalhes, consulte o seguinte boletim de segurança: |
Alta |
GCP-2022-009
Publicado em: 01/03/2022Descrição
| Descrição | Gravidade |
|---|---|
|
Alguns caminhos inesperados para acessar a VM do nó em clusters do Autopilot GKE podem ter sido usados para escalonar privilégios no cluster. Esses problemas foram corrigidos e nenhuma outra ação é necessária. As correções resolvem problemas reportados pelo nosso Programa de recompensa para descobertas de vulnerabilidades. Para instruções e mais detalhes, consulte o boletim de segurança do GKE. |
Baixa |
GCP-2022-008
Publicado em: 23/02/2022
Atualizado em: 28/04/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 28/04/2022: adicionamos versões do GKE no VMware que corrigem essas vulnerabilidades. Para mais detalhes, consulte o boletim de segurança do GKE no VMware. O projeto Envoy descobriu recentemente algumas vulnerabilidades. Todos os problemas listados abaixo foram corrigidos na versão 1.21.1 do Envoy.
O que devo fazer? Os usuários do Envoy que gerenciam os próprios Envoys precisam usar a versão 1.21.1. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam. Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (oGoogle Cloud fornece os binários do Envoy). Nesses casos, os produtos do Google Cloud serão atualizados para 1.21.1. |
Alta |
CVE-2022-23606 CVE-2022-21655 CVE-2021-43826 CVE-2021-43825 CVE-2021-43824 CVE-2022-21654 CVE-2022-21657 CVE-2022-21656 |
GCP-2022-007
Publicado em: 22/02/2022Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs do Envoy e do Istio expõem o Cloud Service Mesh e o Istio no GKE a vulnerabilidades que podem ser exploradas remotamente:
Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Alta |
GCP-2022-006
Publicado em: 14/02/2022Atualizado em: 16/05/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 16/05/2022: adicionamos a versão 1.19.16-gke.7800 ou mais recente do GKE à lista de versões que corrigem essa vulnerabilidade. Para mais detalhes, consulte o boletim de segurança do GKE. Atualização de 12/05/2022: as versões do GKE, GKE no VMware, GKE na AWS e GKE no Azure foram atualizadas. Para instruções e mais detalhes, consulte:
Uma vulnerabilidade de segurança, CVE-2022-0492,
foi descoberta na função |
Baixa |
Para instruções e mais detalhes, consulte: |
GCP-2022-005
Publicado em: 11/02/2022Atualizado em: 15/02/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de segurança, CVE-2021-43527, foi descoberta em qualquer binário que vincule às versões vulneráveis do libnss3 encontradas nas versões NSS (Serviços de segurança de rede) anteriores à 3.73 ou 3.68.1. Aplicativos que usam NSS para validação de certificados ou outro recurso TLS, X.509, OCSP ou CRL podem ser afetados, dependendo de como o NSS é usado/configurado. Para instruções e mais detalhes, consulte: |
Média | CVE-2021-43527 |
GCP-2022-004
Publicado em: 04/02/2022Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de segurança, CVE-2021-4034, foi descoberta no pkexec, parte do pacote do kit de políticas do Linux (polkit) que permite que um usuário autenticado execute um ataque de escalonamento de privilégios. O PolicyKit geralmente é usado apenas em sistemas Linux para computadores, permitindo que usuários não raiz realizem ações como reiniciar o sistema, instalar pacotes, reiniciar serviços etc., conforme regido por uma política. Para instruções e mais detalhes, consulte: |
Nenhuma | CVE-2021-4034 |
GCP-2022-002
Publicado em: 01/02/2022Atualizado em: 25/02/2022
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 25/02/2022: as versões do GKE foram atualizadas. Para instruções e mais detalhes, consulte: Atualização de 23/02/2022: as versões do GKE e do GKE no VMware foram atualizadas. Para instruções e mais detalhes, consulte: Atualização de 04/02/2022: a data de início do lançamento das versões de patch do GKE foi 2 de fevereiro. Três vulnerabilidades de segurança, CVE-2021-4154, CVE-2021-22600 e CVE-2022-0185. foram descobertas no kernel do Linux. Cada uma delas pode levar a uma invasão de contêiner, escalonamento de privilégios no host ou ambos. Essas vulnerabilidades afetam todos os sistemas operacionais do nó (COS e Ubuntu) no GKE, GKE no VMware, GKE na AWS (geração atual e anterior) e GKE no Azure. Os pods que usam o GKE Sandbox não estão sujeitos a essas vulnerabilidades. Para mais detalhes, consulte as Notas da versão do COS. Para instruções e mais detalhes, consulte: |
Alta |
GCP-2022-001
Publicado em: 06/01/2022Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
Um possível problema de negação de serviço em O que devo fazer? Confira se você está usando as versões mais recentes dos seguintes pacotes de software:
Os usuários do Protobuf "javalite" (normalmente Android) não são afetados. Quais vulnerabilidades são corrigidas por esse patch? O patch reduz os riscos da seguinte vulnerabilidade: Uma falha de implementação na forma como campos desconhecidos são analisados em Java. Um payload malicioso pequeno (~800 KB) pode ocupar o analisador por vários minutos ao criar muitos objetos de curta duração que causam pausas frequentes e repetidas na coleta de lixo. |
Alta | CVE-2021-22569 |
GCP-2021-024
Publicado em: 21/10/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Um problema de segurança foi encontrado no controlador ingress-nginx do Kubernetes, CVE-2021-25742. Os snippets personalizados do ingress-nginx permitem a recuperação de tokens e secrets da conta de serviço no ingress-nginx em todos os namespaces. Para instruções e mais detalhes, consulte: | Nenhuma | CVE-2021-25742 |
GCP-2021-019
Publicado em: 29/09/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Há um problema conhecido em que a atualização de um recurso Para instruções e mais detalhes, consulte o boletim de segurança do GKE. |
Baixa |
GCP-2021-022
Publicado em: 22/09/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade foi descoberta no módulo LDAP do GKE Enterprise Identity Service (AIS) do GKE nas versões 1.8 e 1.8.1 do VMware, em que uma chave de semente usada na geração de chaves é previsível. Com essa vulnerabilidade, um usuário autenticado pode adicionar declarações arbitrárias e escalonar privilégios indefinidamente. Para instruções e mais detalhes, consulte o boletim de segurança do GKE no VMware. |
Alta |
GCP-2021-021
Publicado em: 22/09/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de segurança, CVE-2020-8561, foi descoberta no Kubernetes. Nela, é possível fazer determinados webhooks para redirecionar solicitações kube-apiserver para redes privadas desse servidor de API. Para instruções e mais detalhes, consulte: |
Média | CVE-2020-8561 |
GCP-2021-023
Publicado em: 21/09/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o alerta de segurança do VMware VMSA-2021-0020, o VMware recebeu relatórios de várias vulnerabilidades no vCenter. O VMware disponibilizou atualizações para corrigir essas vulnerabilidades nos produtos afetados. Já aplicamos os patches fornecidos pelo VMware à pilha do vSphere no Google Cloud VMware Engine, de acordo com os alertas de segurança do VMware. Essa atualização aborda as vulnerabilidades de segurança descritas em CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 e CVE-2021-22010. Outros problemas de segurança não críticos serão abordados no próximo upgrade da pilha do VMware (de acordo com o aviso enviado com antecedência em julho. Mais detalhes serão fornecidos em breve no cronograma específico do upgrade). Impacto no VMware EngineCom base em nossas investigações, nenhum cliente foi afetado. O que devo fazer?Como os clusters do VMware Engine não são afetados por essa vulnerabilidade, nenhuma outra ação é necessária. |
Crítica |
GCP-2021-020
Publicado em: 17/09/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Alguns balanceadores de carga do Google Cloud com roteamento para um serviço de back-end com o Identity-Aware Proxy (IAP) podem ter ficado vulneráveis a uma parte não confiável em condições limitadas. As correções abordam um problema informado no Programa de recompensa para descobertas de vulnerabilidades. Nesse caso, os servidores:
Além disso, um usuário na sua organização precisa ter clicado em um link criado especificamente por uma parte não confiável. Esse problema já foi resolvido. O IAP foi atualizado para emitir cookies somente a hosts autorizados a partir de 17 de setembro de 2021. Um host é considerado autorizado se corresponder a pelo menos um nome alternativo do requerente (SAN, na sigla em inglês) em um dos certificados instalados nos balanceadores de carga. O que fazer
Alguns usuários podem receber uma resposta "HTTP 401 Unauthorized" com um código de erro 52 do IAP ao tentar acessar apps ou serviços. Esse código de erro significa que o cliente enviou um cabeçalho |
Alta |
GCP-2021-018
Publicado em: 15/09/2021Atualizado em: 20/09/2021
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Foi descoberto recentemente um problema de segurança no Kubernetes, CVE-2021-25741, em que um usuário pode criar um contêiner com montagens de volume de subcaminho para acessar arquivos e diretórios fora do volume, incluindo no sistema de arquivos do host. Para instruções e mais detalhes, consulte: |
Alta | CVE-2021-25741 |
GCP-2021-017
Publicado em: 01/09/2021Atualizado em: 23/09/3021
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 23/09/2021: contêineres em execução no GKE Sandbox não são afetados por essa vulnerabilidade em ataques originados no contêiner. Duas vulnerabilidades de segurança, CVE-2021-33909 e CVE-2021-33910, foram descobertas no kernel do Linux que podem levar a uma falha no SO ou um escalonamento para o acesso raiz por um usuário sem privilégios. Essa vulnerabilidade afeta todos os sistemas operacionais dos nós do GKE (COS e Ubuntu). Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Alta | CVE-2021-33909, CVE-2021-33910 |
GCP-2021-016
Publicado em: 24/08/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
As seguintes CVEs do Envoy e do Istio expõem o Cloud Service Mesh e o Istio no GKE a vulnerabilidades que podem ser exploradas remotamente:
Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Alta |
GCP-2021-015
Publicado em: 13/07/2021Atualizado em: 15/07/2021
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Foi descoberta uma nova vulnerabilidade de segurança, a CVE-2021-22555,
em que um usuário malicioso com privilégios Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Alta | CVE-2021-22555 |
GCP-2021-014
Publicado em: 05/07/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A Microsoft publicou um boletim de segurança sobre uma vulnerabilidade de execução remota de código (RCE, na sigla em inglês), CVE-2021-34527, que afeta o spooler de impressão nos servidores do Windows. O CERT Coordination Center (CERT/CC) publicou uma nota de atualização sobre uma vulnerabilidade relacionada, chamada de "PrintNightmare", que também afeta os spoolers de impressão do Windows. PrintNightmare: Vulnerabilidade do spooler de impressão crítica do Windows Para instruções e mais detalhes, consulte o boletim de segurança do GKE. |
Alta | CVE-2021-34527 |
GCP-2021-012
Publicado em: 24/06/2021Atualizado em: 09/07/2021
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Recentemente, o projeto Istio anunciou uma vulnerabilidade de segurança em que as credenciais especificadas no campo Gateway e no DestinationRule credentialName podem ser acessadas de diferentes namespaces. Para instruções específicas do produto e mais detalhes, consulte:
|
Alta | CVE-2021-34824 |
GCP-2021-011
Publicado em: 04/06/2021Atualizado em: 19/10/2021
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualização de 19/10/2021: Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança:
A comunidade de segurança divulgou
recentemente uma nova vulnerabilidade de segurança, a
CVE-2021-30465,
encontrada no Para o GKE, como a exploração dessa vulnerabilidade requer a capacidade de criar pods, classificamos a gravidade dessa vulnerabilidade como média. Para instruções e mais detalhes, consulte o boletim de segurança do GKE. |
Média | CVE-2021-30465 |
GCP-2021-010
Publicado em: 25/05/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança do VMware VMSA-2021-0010, a execução remota de código e as vulnerabilidades de desvio de autenticação no vSphere Client (HTML5) foram relatadas de modo privado ao VMware. O VMware disponibilizou atualizações para corrigir essas vulnerabilidades nos produtos VMware afetados. Aplicamos os patches fornecidos pelo VMware na pilha vSphere de acordo com o aviso de segurança do VMware. Essa atualização aborda as vulnerabilidades de segurança descritas na CVE-2021-21985 e na CVE-2021-21986. As versões de imagem em execução na nuvem particular do VMware Engine não refletem nenhuma alteração no momento para indicar os patches aplicados. Não se preocupe, os patches adequados foram instalados e seu ambiente está protegido contra essas vulnerabilidades. Impacto no VMware EngineCom base nas nossas investigações, nenhum cliente foi afetado. O que devo fazer?Como os clusters do VMware Engine não são afetados por essa vulnerabilidade, nenhuma outra ação é necessária. |
Crítica |
GCP-2021-008
Publicado em: 17/05/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que um cliente externo pode acessar
serviços inesperados no cluster, ignorando as
verificações de autorização, quando um gateway está
configurado com a configuração de roteamento Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
CVE-2021-31921 |
GCP-2021-007
Publicado em: 17/05/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que um caminho de solicitação HTTP com várias
barras ou caracteres de barra de escape ( Para instruções e mais detalhes, consulte o boletim de segurança do Cloud Service Mesh. |
Alta |
CVE-2021-31920 |
GCP-2021-006
Publicado em: 11/05/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Recentemente, o projeto Istio divulgou uma nova vulnerabilidade de segurança (CVE-2021-31920). O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que uma solicitação HTTP com várias barras ou caracteres de barra de escape pode ignorar a política de autorização do Istio quando regras de autorização com base em caminho forem usadas. Para instruções e mais detalhes, consulte: |
Alta |
CVE-2021-31920 |
GCP-2021-005
Publicado em: 11/05/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade reportada mostrou que o Envoy não decodifica sequências
de barras com escape O que devo fazer?
Se os servidores de back-end tratarem Quais mudanças comportamentais foram introduzidas?As opções normalize_path e juntar barras adjacentes do Envoy foram ativadas para resolver outras vulnerabilidades comuns de confusão de caminho em produtos baseados no Envoy. |
Alta |
CVE-2021-29492 |
GCP-2021-004
Publicado em: 06/05/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Os projetos do Envoy e do Istio recentemente anunciaram várias novas vulnerabilidades de segurança (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258), que permitem que um invasor derrube o Envoy. Os clusters do Google Kubernetes Engine não executam o Istio por padrão e não são vulneráveis. Se o Istio tiver sido instalado em um cluster e configurado para expor serviços à Internet, esses serviços poderão ficar vulneráveis a ataques de negação de serviço. O Google Distributed Cloud Virtual para Bare Metal e o GKE no VMware usam o Envoy por padrão no Ingress. Portanto, os serviços do Ingress podem ficar vulneráveis à negação de serviço. Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Média |
GCP-2021-003
Publicado em: 19/04/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O projeto do Kubernetes anunciou recentemente uma nova vulnerabilidade de segurança, CVE-2021-25735, que pode permitir que as atualizações de nó ignorem um webhook de admissão de validação.
Em um cenário em que um invasor tem privilégios
suficientes e em que um webhook de admissão de validação foi implementado que
usa propriedades de objetos Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Média |
GCP-2021-002
Publicado em: 05/03/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
De acordo com o aviso de segurança da VMware VMSA-2021-0002, o VMware recebeu relatórios de várias vulnerabilidades no VMware ESXi e no vSphere Client (HTML5). O VMware disponibilizou atualizações para corrigir essas vulnerabilidades nos produtos do VMware afetados. Aplicamos as soluções alternativas documentadas oficialmente da pilha do vSphere de acordo com o aviso de segurança do VMware. Essa atualização aborda as vulnerabilidades de segurança descritas na CVE-2021-21972, CVE-2021-21973 e CVE-2021-21974. Impacto no VMware EngineCom base nas nossas investigações, nenhum cliente foi afetado. O que devo fazer?Como os clusters do VMware Engine não são afetados por essa vulnerabilidade, nenhuma outra ação é necessária. |
Crítica |
GCP-2021-001
Publicado em: 28/01/2021Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade foi descoberta recentemente
no utilitário A infraestrutura que executa o Compute Engine não é afetada por essa vulnerabilidade. Nenhum cluster do Google Kubernetes Engine (GKE), GKE no VMware, GKE na AWS e Google Distributed Cloud Virtual para Bare Metal é afetado por essa vulnerabilidade. Para receber instruções e mais detalhes, consulte os seguintes boletins de segurança: |
Nenhuma | CVE-2021-3156 |
GCP-2020-015
Publicado em: 07/12/2020Atualizado em: 22/12/2020
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Atualizado em 22/12/2021: o comando para
o GKE na seguinte seção
deve usar gcloud container clusters update –no-enable-service-externalips Atualizado em 15/12/2021: no GKE, a seguinte mitigação já está disponível:
Para mais informações, consulte Como aumentar a proteção do cluster. O projeto Kubernetes descobriu recentemente uma nova vulnerabilidade de segurança, CVE-2020-8554, que pode permitir que um invasor que tenha permissões para criar um serviço do Kubernetes do tipo LoadBalancer ou ClusterIP intercepte o tráfego de rede proveniente de outros pods no cluster. Essa vulnerabilidade em si não concede permissões a um invasor para criar um serviço do Kubernetes. Todos os clusters do Google Kubernetes Engine (GKE), GKE no VMware e GKE na AWS são afetados por essa vulnerabilidade. O que devo fazer?Para instruções e mais detalhes, consulte: |
Média |
CVE-2020-8554 |
GCP-2020-014
Publicado em: 20/10/2020Atualizado em: 20/10/2020
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Recentemente, foram descobertos vários problemas do Kubernetes que permitem a exposição de dados secretos quando as opções de registro detalhado estão ativadas. Os problemas são os seguintes:
O que devo fazer?Nenhuma outra ação é necessária devido aos níveis de registro detalhado padrão do GKE. |
Nenhuma |
Impacto noGoogle Cloud
Consulte os detalhes por produto abaixo.
Produto |
Impacto |
|---|---|
O Google Kubernetes Engine (GKE) não foi afetado. |
|
O GKE On-Prem não é afetado. |
|
O GKE na AWS não é afetado. |
GCP-2020-013
Publicado em: 29/09/2020Descrição
A Microsoft divulgou a seguinte vulnerabilidade:
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
CVE-2020-1472— Uma vulnerabilidade no Windows Server permite que invasores usem o protocolo remoto Netlogon para executar um aplicativo especialmente desenvolvido em um dispositivo na rede. |
Pontuação base do NVD: 10 (crítico) |
Para mais informações, consulte a divulgação da Microsoft.
Impacto noGoogle Cloud
A infraestrutura que hospeda os produtos do Google Cloud e do Google não é afetada por essa vulnerabilidade. Leia abaixo mais detalhes de acordo com o produto.
Produto |
Impacto |
|---|---|
Compute Engine |
CVE-2020-1472 |
Google Kubernetes Engine |
CVE-2020-1472 |
Serviço gerenciado para o Microsoft Active Directory |
CVE-2020-1472 |
Google Workspace |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Ambiente padrão do App Engine |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Ambiente flexível do App Engine |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Run |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Run functions |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Composer |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Dataflow |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Dataproc |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud SQL |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
GCP-2020-012
Publicado em: 14/09/2020Atualizado em: 17/09/2020
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade foi descoberta recentemente no kernel do Linux, descrita em CVE-2020-14386, que pode permitir que os escapes de contêineres recebam privilégios raiz no nó host. Essa vulnerabilidade afeta todos os nós do GKE. Os pods em execução no GKE Sandbox não são afetados por essa vulnerabilidade. Para instruções e mais detalhes, consulte:
Qual vulnerabilidade é corrigida por esse patch? O patch reduz a seguinte vulnerabilidade: A vulnerabilidade CVE-2020-14386, que permite que contêineres com CAP_NET_RAW gravem de 1 a 10 bytes de memória do kernel e possivelmente escapem o contêiner e recebam privilégios raiz no nó host. Isso é classificado como uma vulnerabilidade de alto nível de gravidade. |
Alta |
GCP-2020-011
Publicado em: 24/07/2020Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de rede, CVE-2020-8558, foi descoberta recentemente no Kubernetes. Às vezes, os serviços se comunicam com outros aplicativos em execução no mesmo pod usando a interface de loopback local (127.0.0.1). Essa vulnerabilidade permite que um invasor com acesso à rede do cluster envie tráfego para a interface de loopback de pods e nós adjacentes. Os serviços que dependem da interface de loopback e não são acessados fora do pod podem ser explorados. Para instruções e mais detalhes, consulte: |
Baixa (GKE e GKE na AWS), |
GCP-2020-010
Publicado em: 27/07/2020Descrição
A Microsoft divulgou a seguinte vulnerabilidade:
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
CVE-2020-1350: os Windows Servers que atendem em uma capacidade de servidor DNS podem ser explorados para executar códigos não confiáveis pela conta do sistema local. |
Pontuação base do NVD: 10,0 (crítico) |
Para mais informações, consulte a divulgação da Microsoft.
Impacto noGoogle Cloud
A infraestrutura que hospeda os produtos do Google Cloud e do Google não é afetada por essa vulnerabilidade. Leia abaixo mais detalhes de acordo com o produto.
Produto |
Impacto |
|---|---|
Compute Engine |
CVE-2020-1350 |
Google Kubernetes Engine |
CVE-2020-1350 |
Serviço gerenciado para o Microsoft Active Directory |
CVE-2020-1350 |
Google Workspace |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Ambiente padrão do App Engine |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Ambiente flexível do App Engine |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Run |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Run functions |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Composer |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Dataflow |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Dataproc |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud SQL |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
GCP-2020-009
Publicado em: 15/07/2020Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de escalonamento de privilégios, CVE-2020-8559, foi descoberta recentemente no Kubernetes. Essa vulnerabilidade permite que um invasor que já tenha comprometido um nó execute um comando em qualquer pod do cluster. Dessa forma, o invasor pode usar o nó já afetado para comprometer outros nós e, possivelmente, ler informações ou causar ações destrutivas. Para que um invasor explore essa vulnerabilidade, é preciso que um nó do cluster já tenha sido comprometido. Essa vulnerabilidade, por si só, não compromete os nós do cluster. Para instruções e mais detalhes, consulte: |
Média |
GCP-2020-008
Publicado em: 19/06/2020Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
DescriçãoAs VMs com o Login do SO ativado podem ser suscetíveis a vulnerabilidades de escalonamento de privilégios. Com essas vulnerabilidades, os usuários que têm permissões do Login do SO sem acesso de administrador podem escalonar para o acesso raiz na VM. Para instruções e mais detalhes, consulte o boletim de segurança do Compute Engine.
|
Alta |
GCP-2020-007
Publicado em: 01/06/2020Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
A vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF, na sigla em inglês) CVE-2020-8555 foi descoberta recentemente no Kubernetes. Ela permite que determinados usuários autorizados vazem até 500 bytes de informações sensíveis da rede do host do plano de controle. O plano de controle do Google Kubernetes Engine (GKE, na sigla em inglês) usa controladores do Kubernetes e, portanto, é afetado por essa vulnerabilidade. Recomendamos que você atualize o plano de controle para a versão mais recente do patch. Não é necessário fazer upgrade do nó. Para instruções e mais detalhes, consulte: |
Média |
GCP-2020-006
Publicado em: 01/06/2020Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Kubernetes divulgou uma vulnerabilidade que permite que um contêiner com privilégios redirecione o tráfego do nó para outro contêiner. O tráfego TLS/SSH mútuo, por exemplo, entre o kubelet e o servidor da API, e o tráfego de aplicativos que usam mTLS não podem ser lidos nem modificados por esse ataque. Todos os nós do Google Kubernetes Engine (GKE) são afetados por essa vulnerabilidade. Recomendamos que você faça o upgrade para a versão mais recente do patch. Para instruções e mais detalhes, consulte: |
Média |
GCP-2020-005
Publicado em: 07/05/2020Descrição
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
Uma vulnerabilidade foi recentemente descoberta no kernel do Linux, descrita em CVE-2020-8835, permitindo que o escape de contêiner receba privilégios de raiz no nó do host. Os nós do Ubuntu do Google Kubernetes Engine (GKE) que executam o GKE 1.16 ou 1.17 são afetados por essa vulnerabilidade. Recomendamos que você faça o upgrade para a versão mais recente do patch o mais rápido possível. Consulte o boletim de segurança do GKE para instruções e mais detalhes. |
Alta |
GCP-2020-004
Publicado em: 31/03/2020Atualizado em: 31/03/2020
Descrição
O Kubernetes divulgou as seguintes vulnerabilidades:
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
CVE-2019-11254 — é uma vulnerabilidade de negação de serviço (DoS) que afeta o servidor da API. |
Média |
Consulte o boletim de segurança do GKE no VMware para instruções e mais detalhes.
GCP-2020-003
Publicado em: 31/03/2020Atualizado em: 31/03/2020
Descrição
O Kubernetes divulgou as seguintes vulnerabilidades:
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
CVE-2019-11254 — é uma vulnerabilidade de negação de serviço (DoS) que afeta o servidor da API. |
Média |
Consulte o boletim de segurança do GKE para instruções e mais detalhes.
GCP-2020-002
Publicado em: 23/03/2020Atualizado em: 23/03/2020
Descrição
O Kubernetes divulgou as seguintes vulnerabilidades:
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
CVE-2020-8551 — é uma vulnerabilidade de negação de serviço (DoS) que afeta o kubelet. |
Média |
|
|
CVE-2020-8552 — é uma vulnerabilidade de negação de serviço (DoS) que afeta o servidor de API. |
Média |
Consulte o boletim de segurança do GKE para instruções e mais detalhes.
GCP-2020-001
Publicado em: 21/01/2020Atualizado em: 21/01/2020
Descrição
A Microsoft divulgou a seguinte vulnerabilidade:
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
CVE-2020-0601 — é uma vulnerabilidade também é conhecida como a vulnerabilidade de spoofing da API Windows Crypto. Ela pode ser explorada para fazer executáveis maliciosos parecerem confiáveis ou permitir que o invasor realize ataques "man-in-the-middle" e descriptografe informações confidenciais nas conexões do usuário com o software afetado. |
Pontuação base do NVD: 8,1 (alta) |
Para mais informações, consulte a divulgação da Microsoft.
Impacto noGoogle Cloud
A infraestrutura que hospeda os produtos do Google Cloud e do Google não é afetada por essa vulnerabilidade. Leia abaixo mais detalhes de acordo com o produto.
Produto |
Impacto |
|---|---|
Compute Engine |
CVE-2020-0601 |
Google Kubernetes Engine |
CVE-2020-0601 |
Serviço gerenciado para o Microsoft Active Directory |
CVE-2020-0601 |
Google Workspace |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Ambiente padrão do App Engine |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Ambiente flexível do App Engine |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Run |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Run functions |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud Composer |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Dataflow |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Dataproc |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
Cloud SQL |
Nenhuma ação do cliente é necessária. Este serviço não é afetado por esta vulnerabilidade. |
GCP 2019-001
Publicado em: 12/11/2019Atualizado em: 12/11/2019
Descrição
A Intel divulgou as seguintes vulnerabilidades:
Vulnerabilidade |
Gravidade |
CVE |
|---|---|---|
|
CVE-2019-11135 — essa vulnerabilidade, chamada TSX Async Abort (TAA, na sigla em inglês), pode ser usada para explorar a execução especulativa em uma transação do TSX. Essa vulnerabilidade permite que os dados sejam possivelmente expostos por meio das mesmas estruturas de dados de microarquitetura expostas pela amostragem de dados de microarquitetura (MDS, na sigla em inglês). |
Média |
|
|
CVE-2018-12207 — essa é uma vulnerabilidade de negação de serviço (DoS) que afeta hosts (não convidados) de máquinas virtuais. Esse problema é conhecido como "Erro de verificação da máquina na alteração de tamanho da página". |
Média |
Para mais informações, consulte as divulgações da Intel:
Impacto noGoogle Cloud
A infraestrutura que hospeda os produtos do Google Cloud e do Google é protegida contra essas vulnerabilidades. Leia abaixo mais detalhes de acordo com o produto.
Produto |
Impacto |
|---|---|
Compute Engine |
CVE-2019-11135 CVE-2018-12207 |
Google Kubernetes Engine |
CVE-2019-11135 CVE-2018-12207 |
Ambiente padrão do App Engine |
Nenhuma outra ação é necessária. |
Ambiente flexível do App Engine |
CVE-2019-11135 CVE-2018-12207 |
Cloud Run |
Nenhuma outra ação é necessária. |
Cloud Run functions |
Nenhuma outra ação é necessária. |
Cloud Composer |
Nenhuma outra ação é necessária. |
Dataflow |
CVE-2019-11135 CVE-2018-12207 |
Dataproc |
CVE-2019-11135 CVE-2018-12207 |
Cloud SQL |
Nenhuma outra ação é necessária. |