Sicherheitsbulletins

Im Folgenden werden alle Sicherheitsbulletins im Zusammenhang mit Application Integration beschrieben.

GCP-2026-074

Veröffentlicht: 28.10.2026

Beschreibung

Beschreibung Schweregrad Hinweise

In der Aufgabe SubWorkflow in Application Integration-Versionen vor dem 11. September 2026 wurde eine Sicherheitslücke bei der Deserialisierung nicht vertrauenswürdiger Daten entdeckt.

Was soll ich tun?

Auf Kundenseite sind keine Maßnahmen erforderlich. Diese Sicherheitslücke wurde am 11. September 2026 behoben.

Welche Sicherheitslücken werden behoben?

Ein authentifizierter Nutzer könnte ein bösartig gestaltetes serialisiertes Objekt verwenden, um beliebigen Code auszuführen.

 Kritisch CVE-2026-93327

GCP-2026-068

Veröffentlicht: 14.10.2026

Aktualisiert: 05.11.2026

Beschreibung

Beschreibung Schweregrad Hinweise

Eine Sicherheitslücke aufgrund einer falschen Autorisierung in der AuthConfig-Validierungs- und Integrationsausführungslaufzeit in Application Integration-Versionen vor dem 27. August 2026.

Was soll ich tun?

Auf Kundenseite sind keine Maßnahmen erforderlich, um diese Sicherheitslücke zu schließen. Diese Sicherheitslücke wurde am 27. August 2026 behoben.

Um die Sicherheit gegen Autorisierungslücken zu verbessern, hat Application Integration die Veröffentlichungs- und Testanforderungen aktualisiert:

  • Alle Integrationen: Erfordern die Berechtigung iam.serviceAccounts.actAs für das „Ausführen als“-Dienstkonto.
  • Integrationen, die am oder nach dem 15. Oktober 2026 erstellt wurden: Müssen ein „Ausführen als“-Dienstkonto haben, um geplante oder Ereignistrigger zu verwenden.
  • Vor dem 15. Oktober 2026 erstellte Integrationen: Ab dem 15. Januar 2027 (UTC) ist auch für geplante oder Ereignistrigger ein „Ausführen als“-Dienstkonto erforderlich.

Weitere Informationen finden Sie unter Auf bevorstehende Autorisierungsänderungen vorbereiten.

Welche Sicherheitslücken werden behoben?

Ein authentifizierter Nutzer könnte Berechtigungen eskalieren und die Identität eines Dienstkontos im Projekt Google Cloud übernehmen.

 Hoch CVE-2026-85298

GCP-2026-066

Veröffentlicht: 28.09.2026

Beschreibung Schweregrad Hinweise

In der E-Mail-Aufgabenkomponente in Application Integration-Versionen vor dem 30. Juni 2026 wurde eine Confused Deputy-Sicherheitslücke entdeckt.

Was soll ich tun?

Auf Kundenseite sind keine Maßnahmen erforderlich. Diese Sicherheitslücke wurde am 30. Juni 2026 behoben.

Welche Sicherheitslücken werden behoben?

Ein authentifizierter Angreifer könnte beliebige Google-interne Dateien über einen manipulierten Anhangspfad lesen und exfiltrieren.

 Hoch CVE-2026-81375

GCP-2026-065

Veröffentlicht: 28.09.2026

Beschreibung Schweregrad Hinweise

In Application Integration-Versionen vor dem 28. Juni 2026 wurde eine Sicherheitslücke bei der Deserialisierung nicht vertrauenswürdiger Daten in der JavaScript-Aufgabe entdeckt.

Was soll ich tun?

Auf Kundenseite sind keine Maßnahmen erforderlich. Diese Sicherheitslücke wurde am 28. Juni 2026 behoben.

Welche Sicherheitslücken werden behoben?

Ein authentifizierter Nutzer mit Standardberechtigungen könnte ein speziell erstelltes Skript verwenden, um beliebigen Code auf den freigegebenen Produktionsservern auszuführen.

 Kritisch CVE-2026-81867

GCP-2026-064

Veröffentlicht: 28.09.2026

Beschreibung Schweregrad Hinweise

In der Aufgabenkonfiguration in Application Integration-Versionen vor dem 17. Juni 2026 wurde eine Sicherheitslücke vom Typ „Falsche Autorisierung“ entdeckt.

Was soll ich tun?

Auf Kundenseite sind keine Maßnahmen erforderlich. Diese Sicherheitslücke wurde am 17. Juni 2026 behoben.

Welche Sicherheitslücken werden behoben?

Ein authentifizierter Nutzer könnte einen internen Aufgabentyp verwenden, um beliebige interne RPCs aus dem Google-internen Produktionsnetzwerk unter einer privilegierten Identität auszuführen.

 Kritisch CVE-2026-19759

GCP-2026-044

Veröffentlicht: 25.06.2026

Beschreibung Schweregrad Hinweise

In der JavaScript-Aufgabe von Application Integration, die die Rhino-JavaScript-Engine verwendet hat, wurde eine Sicherheitslücke erkannt. Dies betraf nur Aufgaben, die vor Januar 2025 veröffentlicht wurden.

Was soll ich tun?

Google ist für JavaScript-Aufgaben in Application Integration auf die sicherere V8-JavaScript-Engine umgestiegen. Seit Januar 2025 verwenden alle neu veröffentlichten Integrationen die V8-Engine. Seit dem 30. März 2026 wird die Rhino-Engine nicht mehr unterstützt. Ausführungen mit der Rhino-Engine werden jetzt ebenfalls blockiert.

Wenn Sie Integrationen haben, die vor Januar 2025 veröffentlicht wurden, prüfen Sie Ihre JavaScript-Aufgaben, um sicherzustellen, dass keine mehr auf der Rhino-Engine basiert. Aufgaben, die noch für die Verwendung von Rhino konfiguriert sind, werden nicht mehr ausgeführt und müssen zur V8-Engine migriert werden. Die Migrationsschritte finden Sie unter JavaScript-Aufgaben migrieren.

Welche Sicherheitslücken werden behoben?

Die Sicherheitslücke CVE-2025-0982 ermöglichte es einem Nutzer mit der Berechtigung zum Erstellen und Ausführen von JavaScript-Aufgaben, beliebigen Code in der Ausführungsumgebung von Application Integration auszuführen.

Für die JavaScript-Aufgabe wurde zuvor die Rhino-JavaScript-Engine verwendet, um vom Nutzer bereitgestelltes JavaScript auszuführen. Rhino erlaubte die Verwendung von Java-Reflection und die Änderung von Berechtigungsobjekten im Arbeitsspeicher, was kombiniert werden konnte, um den Java-Sicherheitsmanager zu umgehen und die vorgesehene Ausführungs-Sandbox zu verlassen. Google hat dieses Problem behoben, indem im Januar 2025 auf die V8-JavaScript-Engine umgestellt wurde. Die Rhino-Engine wird am 30. März 2026 vollständig eingestellt und blockiert.

 Hoch CVE-2025-0982