安全公告

如需评估独立 AlloyDB Omni 部署的安全状况并规划数据库升级，请查看本页面上的安全政策、漏洞范围、披露做法和联邦信息处理标准 (FIPS) 140-3 加密模块边界：

如需在 Feed 阅读器中接收最新的 AlloyDB Omni 版本说明和安全更新，请订阅 AlloyDB Omni 版本说明 Feed。

范围和严重程度过滤

为了将修复工作流集中在可操作的安全通告上并减少扫描器噪声，AlloyDB Omni 漏洞摘要和详细 CVE 日志遵循以下报告政策：

  • 严格的“严重”和“高”严重级别过滤：漏洞摘要表和详细 CVE 日志仅报告根据美国国家漏洞数据库 (NVD) 和上游供应商严重级别评级评为“严重”和“高”严重级别的 CVE。摘要计数和详细日志中不包含低严重级别和中严重级别的通告。
  • 解耦的数据库内核和控制平面报告：独立的 AlloyDB Omni 安全公告会报告特定于数据库内核容器映像（18.x、17.x、16.x 和 15.x）的漏洞。Kubernetes Operator 和边车容器通告会在AlloyDB Omni on Kubernetes 安全公告中单独跟踪。
  • 按版本隔离：详细的 CVE 日志会使用标准化的 4 列架构（CVE ID、Severity、Impacted images 和 Mitigated in）整理到每个发布版本的专用子页面中。在每个发布日志中， 在后续版本中修复的漏洞会在 Mitigated in 列中显示缓解漏洞的发布版本。

漏洞评估和刷新政策

Google 会定期根据 NVD、Red Hat 安全数据、Debian 安全跟踪器和 Go 漏洞数据库扫描所有已发布的 AlloyDB Omni 容器映像。 发布新版本时，Google 会刷新 AlloyDB Omni 安全公告：

  • 已修复的 CVE：早期 AlloyDB Omni 数据库内核容器映像中存在的漏洞在后续次要版本或补丁版本中得到了缓解。Google 会将安全补丁应用于受支持的 PostgreSQL 主要版本 18、17、16 和 15 的最新次要版本。
  • 被取代的容器映像：当新的 AlloyDB Omni 版本缓解了早期版本中的 CVE 时，Google 会将被取代的容器映像摘要标记为已弃用。始终拉取与最新支持的版本对应的数据库内核映像。

FIPS 140-3 合规性和 CVE 补丁

为了在持续修补次要版本和补丁版本中的安全漏洞的同时，保持符合联邦信息处理标准 (FIPS) 140-3，AlloyDB Omni 将其内部经过 FIPS 验证的加密模块与其外部加密和协议库解耦：

  • 加密模块的 FIPS 验证：美国国家标准与技术研究院 (NIST) 加密模块验证计划 (CMVP) 会对冻结的内部加密模块或提供程序进行认证，并颁发证书编号。修改该经过验证的边界内的任何指令都会改变其嵌入的基于哈希的消息认证码 (HMAC) 完整性校验和，并使证书失效。
  • 部署的 FIPS 合规性：当 AlloyDB Omni 部署在启用了 FIPS 的主机操作系统（例如 Red Hat Enterprise Linux [RHEL] 9，且 /proc/sys/crypto/fips_enabled 文件设置为 1）上运行时，它会以符合 FIPS 140-3 的模式运行。在此模式下，部署会通过 FIPS 验证的模块路由所有与安全相关的加密操作，并启用开机已知答案测试 (KAT) 和 HMAC 完整性检查。它还会强制执行已获批准的 TLS 1.2 或更高版本的传输层安全协议 (TLS) 版本、已获批准的加密套件以及 scram-sha-256 密码身份验证方法。Red Hat 通用基础映像 9 (UBI 9) 数据库内核容器映像 (-ubi9) 已支持 FIPS，您的组织负责在底层主机操作系统上启用和验证 FIPS 模式。
  • FIPS 边界外的 CVE 修补：协议解析和网络库（例如 TLS 状态机、X.509 和 ASN.1 证书解析、HTTP/2 和网络 I/O）位于冻结的 FIPS 模块边界外的外层。由于这些组件位于经过验证的边界之外，因此 Google 会在次要版本和补丁版本中修补外层 CVE，而无需修改内部加密模块或使其 NIST CMVP 认证失效。只有低级加密基元实现本身存在漏洞时，才需要更新内部 FIPS 模块。
下表介绍了 AlloyDB Omni Red Hat UBI 9 数据库内核容器映像 (-ubi9) 中的加密堆栈，包括冻结的内部 FIPS 边界以及在各个版本中进行修补的外部加密和协议层：

加密堆栈 数据库内核容器映像 二进制文件 内部 FIPS 验证模块或提供程序 外部加密和协议层
BoringSSL 和 BoringCrypto alloydbomni (-ubi9) postgres 和 pgbackrest C 二进制文件 Google BoringCrypto 模块 (BCM) 适用于 postgres 和 pgbackrest 的 BoringSSL libssl 以及非 BCM libcrypto 软件包 x509、asn1、pem 和 bio
OpenSSL 3 Red Hat UBI 9 基础操作系统层 alloydbomni (-ubi9) 基础操作系统共享库和实用程序 RHEL 9 OpenSSL FIPS 提供程序 openssl-libs RPM 软件包中的 /lib64/libssl.so.3 和 /lib64/libcrypto.so.3

后续步骤