安全公告
下文介绍了与 Application Integration 相关的所有安全公告。
GCP-2026-068
发布日期： 2026-10-14
说明
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
在 2026 年 8 月 27 日之前的 Application Integration 版本中， 该怎么做？客户无需采取任何操作。此漏洞已于 2026 年 8 月 27 日修复。 解决了哪些漏洞？经过身份验证的用户可以提升权限并冒充项目中的 Google Cloud 服务帐号。 |
严重 | CVE-2026-85298 |
GCP-2026-066
发布日期： 2026-09-28
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
在 2026 年 6 月 30 日之前的 Application Integration 版本中，电子邮件任务组件中发现了一个混淆代理漏洞。 该怎么做？客户无需采取任何操作。此漏洞已于 2026 年 6 月 30 日修复。 解决了哪些漏洞？经过身份验证的攻击者可以使用精心设计的附件路径读取和窃取任意 Google 内部文件。 |
高 | CVE-2026-81375 |
GCP-2026-065
发布日期： 2026-09-28
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
在 2026 年 6 月 28 日之前的 Application Integration 版本中，JavaScript 任务中发现了一个反序列化不受信任数据漏洞。 该怎么做？客户无需采取任何操作。此漏洞已于 2026 年 6 月 28 日修复。 解决了哪些漏洞？具有标准权限的经过身份验证的用户可以使用精心设计的脚本在共享生产服务器上运行任意代码。 |
严重 | CVE-2026-81867 |
GCP-2026-064
发布日期： 2026-09-28
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
在 2026 年 6 月 17 日之前的 Application Integration 版本中，任务 配置中发现了一个授权不正确漏洞。 该怎么做？客户无需采取任何操作。此漏洞已于 2026 年 6 月 17 日修复。 解决了哪些漏洞？经过身份验证的用户可以使用仅限内部使用的任务类型，以特权身份从 Google 内部生产网络执行任意内部 RPC。 |
严重 | CVE-2026-19759 |
GCP-2026-044
发布日期： 2026-06-25
| 说明 | 严重级别 | 备注 |
|---|---|---|
|
Application Integration 的 JavaScript 任务（使用 Rhino JavaScript 引擎）中检测到了一个漏洞。这只会影响在 2025 年 1 月之前发布的任务。 该怎么做？Google 已将 Application Integration 中的 JavaScript 任务迁移到更安全的 V8 JavaScript 引擎。自 2025 年 1 月起，所有新发布的集成都使用 V8 引擎，并且截至 2026 年 3 月 30 日，Rhino 引擎已完全弃用。现在，使用 Rhino 引擎的执行也会被阻止。 如果您有在 2025 年 1 月之前发布的集成，请检查您的 JavaScript 任务，以确认没有任务仍依赖于 Rhino 引擎。任何仍配置为使用 Rhino 的任务都将无法再执行，并且必须迁移到 V8 引擎。如需了解迁移步骤，请参阅 迁移 JavaScript 任务。 解决了哪些漏洞？漏洞 CVE-2025-0982 允许有权编写和运行 JavaScript 任务的用户在 Application Integration 执行环境中执行任意代码。 JavaScript 任务之前使用 Rhino JavaScript 引擎运行用户提供的 JavaScript。Rhino 允许使用 Java 反射和修改内存中的权限对象，这些操作可以组合起来绕过 Java 安全管理器并逃离预期的执行沙盒。Google 在 2025 年 1 月迁移到 V8 JavaScript 引擎，并在 2026 年 3 月 30 日完全弃用并阻止 Rhino 引擎，从而解决了此问题。 |
高 | CVE-2025-0982 |