Boletines de seguridad
A continuación, se describen todos los boletines de seguridad relacionados con Application Integration.
GCP-2026-074
Publicado: 28 de octubre de 2026
Descripción
| Descripción | Gravedad | Notas |
|---|---|---|
|
Se descubrió una vulnerabilidad de deserialización de datos no confiables
en la tarea ¿Qué debo hacer?No se requiere ninguna acción del cliente. Esta vulnerabilidad se corrigió el 11 de septiembre de 2026. ¿Qué vulnerabilidades se abordan?Un usuario autenticado podría usar un objeto serializado creado con fines maliciosos para ejecutar código arbitrario. |
Crítico | CVE-2026-93327 |
GCP-2026-068
Publicado: 14 de octubre de 2026
Actualizada: 24 de octubre de 2026
Descripción
| Descripción | Gravedad | Notas |
|---|---|---|
|
Una vulnerabilidad de autorización incorrecta en el entorno de ejecución de validación y ejecución de la integración de ¿Qué debo hacer?No se requiere ninguna acción por parte del cliente para resolver esta vulnerabilidad. Esta vulnerabilidad se corrigió el 27 de agosto de 2026. Para mejorar la seguridad contra las vulnerabilidades de autorización,
a partir del 15 de octubre de 2026, Application Integration
requiere el permiso ¿Qué vulnerabilidades se abordan?Un usuario autenticado podría aumentar los privilegios y actuar en nombre de una cuenta de servicio en el proyecto de Google Cloud . |
Alta | CVE-2026-85298 |
GCP-2026-066
Publicado: 28 de septiembre de 2026
| Descripción | Gravedad | Notas |
|---|---|---|
|
Se descubrió una vulnerabilidad de diputado confundido en el componente de tarea de correo electrónico en las versiones de Application Integration anteriores al 30 de junio de 2026. ¿Qué debo hacer?No se requiere ninguna acción del cliente. Esta vulnerabilidad se corrigió el 30 de junio de 2026. ¿Qué vulnerabilidades se abordan?Un atacante autenticado podría leer y robar archivos internos de Google arbitrarios con una ruta de acceso de archivo adjunto diseñada. |
Alta | CVE-2026-81375 |
GCP-2026-065
Publicado: 28 de septiembre de 2026
| Descripción | Gravedad | Notas |
|---|---|---|
|
Se descubrió una vulnerabilidad de deserialización de datos no confiables en la tarea de JavaScript en las versiones de Application Integration anteriores al 28 de junio de 2026. ¿Qué debo hacer?No se requiere ninguna acción del cliente. Esta vulnerabilidad se corrigió el 28 de junio de 2026. ¿Qué vulnerabilidades se abordan?Un usuario autenticado con permisos estándar podría usar una secuencia de comandos especialmente diseñada para ejecutar código arbitrario en los servidores de producción compartidos. |
Crítico | CVE-2026-81867 |
GCP-2026-064
Publicado: 28 de septiembre de 2026
| Descripción | Gravedad | Notas |
|---|---|---|
|
Se descubrió una vulnerabilidad de autorización incorrecta en la configuración de la tarea en las versiones de Application Integration anteriores al 17 de junio de 2026. ¿Qué debo hacer?No se requiere ninguna acción del cliente. Esta vulnerabilidad se corrigió el 17 de junio de 2026. ¿Qué vulnerabilidades se abordan?Un usuario autenticado podría usar un tipo de tarea solo interno para ejecutar RPC internas arbitrarias desde la red de producción interna de Google con una identidad con privilegios. |
Crítico | CVE-2026-19759 |
GCP-2026-044
Publicado: 25 de junio de 2026
| Descripción | Gravedad | Notas |
|---|---|---|
|
Se detectó una vulnerabilidad en la tarea de JavaScript de Application Integration, que usaba el motor de JavaScript Rhino. Esto solo afectó a las tareas publicadas antes de enero de 2025. ¿Qué debo hacer?Google realizó la transición al motor de JavaScript V8, que es más seguro, para las tareas de JavaScript en Application Integration. Desde enero de 2025, todas las integraciones publicadas recientemente usan el motor V8 y, a partir del 30 de marzo de 2026, el motor Rhino dejó de estar disponible por completo. También se bloquean las ejecuciones que usan el motor Rhino. Si tienes integraciones publicadas antes de enero de 2025, revisa tus tareas de JavaScript para confirmar que ninguna dependa del motor Rhino. Las tareas que aún estén configuradas para usar Rhino ya no se ejecutarán y deberán migrarse al motor V8. Para conocer los pasos de migración, consulta Migra tareas de JavaScript. ¿Qué vulnerabilidades se abordan?La vulnerabilidad, CVE-2025-0982, permitía que un usuario con autorización para crear y ejecutar tareas de JavaScript ejecutara código arbitrario dentro del entorno de ejecución de Application Integration. La tarea de JavaScript usaba anteriormente el motor de JavaScript Rhino para ejecutar el JavaScript proporcionado por el usuario. Rhino permitía el uso de la reflexión de Java y la modificación de objetos de permisos en la memoria, que se podían combinar para omitir el administrador de seguridad de Java y escapar de la zona de pruebas de ejecución prevista. Google solucionó este problema migrando al motor de JavaScript V8 en enero de 2025 y, luego, retirando y bloqueando por completo el motor Rhino el 30 de marzo de 2026. |
Alta | CVE-2025-0982 |