Boletines de seguridad

A continuación, se describen todos los boletines de seguridad relacionados con Cloud Build.

Para recibir los últimos boletines de seguridad, tienes estas opciones:

  • Añade la URL de esta página a tu lector de feeds.
  • Añade la URL del feed directamente a tu lector de feeds: https://cloud.google.com/feeds/cloudbuild-security-bulletins.xml.

GCP-2023-013

Publicación: 08/06/2023

Descripción

Descripción Gravedad Notas

Cuando habilitas la API de Cloud Build en un proyecto, Cloud Build crea automáticamente una cuenta de servicio predeterminada para ejecutar compilaciones en tu nombre. Esta cuenta de servicio antigua de Cloud Build tenía anteriormente el permiso logging.privateLogEntries.list de IAM, que permitía que la compilación tuviera acceso a la lista de registros privados de forma predeterminada. Este permiso se ha revocado de la cuenta de servicio de Cloud Build para cumplir el principio de seguridad de privilegio mínimo.

¿Qué debo hacer?

No es necesario que el usuario haga nada más. Se ha revocado el permiso de gestión de identidades y accesos de la cuenta de servicio antigua de Cloud Build y se ha implementado la corrección.logging.privateLogEntries.list

¿Qué vulnerabilidades mitiga este parche?

Esta vulnerabilidad concedía a las compilaciones el permiso para mostrar los registros privados. Como se ha revocado el permiso logging.privateLogEntries.list de la cuenta de servicio antigua de Cloud Build, las compilaciones ya no tienen acceso para enumerar los registros privados de forma predeterminada.

 Bajo