安全公告

选择文档版本：

如需评估 Red Hat Enterprise Linux (RHEL) 和 Rocky Linux 上 AlloyDB Omni RPM 编排器部署的安全状况并规划升级，请查看本页面上的安全政策、漏洞范围和常见漏洞和披露 (CVE) 披露做法。

如需在 Feed 阅读器中接收最新的 AlloyDB Omni 版本说明和安全更新，请订阅 AlloyDB Omni 版本说明 Feed。

范围和严重程度过滤

为了将修复工作流集中在可操作的安全通告上并减少扫描器噪声，AlloyDB Omni 漏洞摘要和详细 CVE 日志遵循以下报告政策：

  • 严格的“严重”和“高”严重级别过滤：漏洞摘要表和详细 CVE 日志仅报告根据美国国家漏洞数据库 (NVD) 和上游供应商严重级别评级评为“严重”和“高”严重级别的 CVE。摘要计数和详细日志中不包含低严重级别和中严重级别的通告。
  • 按版本隔离：详细的 CVE 日志会使用标准化的 4 列架构（CVE ID、Severity、AlloyDB Omni version 和 Mitigated in）整理到每个发布版本的专用子页面中。在每个发布日志中， 在后续版本中修复的漏洞会在 Mitigated in 列中显示缓解漏洞的发布版本。

漏洞评估和刷新政策

Google 会定期根据 NVD、Red Hat 安全数据和 Go 漏洞数据库扫描所有已发布的 AlloyDB Omni RPM 编排器和数据库 RPM 软件包。 发布新版本时，Google 会刷新 AlloyDB Omni 安全公告：

  • 已修复的 CVE：早期 AlloyDB Omni RPM 编排器或数据库 RPM 软件包中存在的漏洞已在后续次要版本或补丁版本中得到缓解。Google 会将安全补丁应用于受支持的 PostgreSQL 主要版本 18 的最新次要版本，以及受支持的最新 AlloyDB Omni RPM 编排器版本。
  • 适用于 RPM 部署的主机操作系统软件包：使用 RPM 编排器部署 AlloyDB Omni 时，AlloyDB Omni 会提供 PostgreSQL 数据库内核和捆绑的扩展程序软件包。您的主机 Linux 发行版会管理系统库（例如 openssl-libs、glibc、libevent、systemd）和 Linux 内核。通过在 RHEL 或 Rocky Linux 主机上运行 sudo dnf update --security，定期应用主机操作系统安全更新。

FIPS 140-3 合规性和 CVE 补丁

为了在持续修补次要版本和补丁版本中的安全漏洞的同时，保持符合联邦信息处理标准 (FIPS) 140-3，AlloyDB Omni 将其内部经过 FIPS 验证的加密模块与其外部加密和协议库解耦：

  • 加密模块的 FIPS 验证：美国国家标准与技术研究院 (NIST) 加密模块验证计划 (CMVP) 会对冻结的内部加密模块或提供程序进行认证，并颁发证书编号。修改该经过验证的边界内的任何指令都会改变其嵌入的基于哈希的消息认证码 (HMAC) 完整性校验和，并使证书失效。
  • 部署的 FIPS 合规性：当 AlloyDB Omni 部署在启用了 FIPS 的主机操作系统（例如 /proc/sys/crypto/fips_enabled 文件设置为 1 的 RHEL 9）上运行时，它会以符合 FIPS 140-3 的模式运行。在此模式下，部署会通过 FIPS 验证的模块路由所有与安全相关的加密操作，并启用开机已知答案测试 (KAT) 和 HMAC 完整性检查。它还会强制执行已获批准的 TLS 1.2 或更高版本的传输层安全协议 (TLS) 版本、已获批准的加密套件以及 scram-sha-256 密码身份验证方法。AlloyDB Omni RPM 编排器和数据库 RPM 软件包已支持 FIPS，您的组织负责在底层主机操作系统上启用和验证 FIPS 模式。如需了解详情，请参阅安全性和 FIPS 合规性。
  • FIPS 边界外的 CVE 修补：协议解析和网络库（例如 TLS 状态机、X.509 和 ASN.1 证书解析、HTTP/2 和网络 I/O）位于冻结的 FIPS 模块边界外的外层。由于这些组件位于经过验证的边界之外，因此 Google 会在次要版本和补丁版本中修补外层 CVE，而无需修改内部加密模块或使其 NIST CMVP 认证失效。只有低级加密基元实现本身存在漏洞时，才需要更新内部 FIPS 模块。
对于 RHEL 或 Rocky Linux 上的 RPM Orchestrator 部署，alloydbomni18 数据库软件包会动态链接到 openssl-libs RPM 软件包中的主机操作系统 OpenSSL 3 库，并在主机内核上启用 FIPS 模式时使用主机 RHEL 9 OpenSSL FIPS 提供程序。在主机操作系统上应用 openssl-libs 安全更新可修复外层 TLS 和 X.509 漏洞，同时保留经过认证的 OpenSSL FIPS 提供程序边界。

后续步骤