עדכוני האבטחה הדחופים הבאים קשורים למוצרי Google Cloud .
רוצים לקבל עדכוני אבטחה דחופים מהדף הזה? תוכלו להירשם לפיד ה-XML הזה.
GCP-2026-072
תאריך פרסום: 24 באוקטובר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
שתי נקודות חולשה בליבה של PHP, CVE-2026-109618 ו-CVE-2026-109619 ("PHP2Shell"), מאפשרות לתוקף לא מאומת להריץ קוד מרחוק בשרת שפועלת בו גרסת PHP פגיעה. הן תוקנו בגרסאות PHP הבאות: 8.2.35, 8.3.36, 8.4.27 ו-8.5.12. אין גרסה קבועה ל-PHP בגרסה 8.1 או גרסאות קודמות. ההשפעה על Apigee מוגבלת לפורטלים של מפתחי Apigee שמבוססים על Drupal, שהלקוחות פורסים ומפעילים. מוצרים אחרים של Apigee לא משתמשים ב-PHP ולא מושפעים מהבעיה. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף של Apigee. |
קריטית |
CVE-2026-109618 CVE-2026-109619 |
GCP-2026-071
תאריך פרסום: 23 באוקטובר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ביום שבת, 17 באוקטובר 2026, Google קיבלה דיווח מחוקר אבטחה על פריצה למפתחות פרטיים שמשויכים לשמונה אישורים של רשות אישורים (CA) משנית של eMudhra, כולל אישורים בחתימה צולבת של AAA Certificate Services. לכן, אישורי ה-CA האלה כבר לא מהימנים והם מבוטלים. למרות שתשתית הענן של Google Cloud לא נפגעה, המוצרים, קובצי האימג' הבסיסיים וערכות ה-SDK של הלקוח הבאים של Google Cloud ו-Firebase מושפעים:
מה לעשות?אנחנו ב-Google Cloud מטפלים באופן פעיל בבעיה הזו בתשתית ובשירותי הפלטפורמה שלנו, והתשתית של Google Cloud לא נפרצה. בטלמטריית האבטחה לא נמצאו ראיות לניצול לרעה של עומסי העבודה ב-Google Cloud, ובוצעו פעולות יזומות להפחתת הסיכון בסביבות שמנוהלות על ידי Google כדי לחסום את האישורים של רשות האישורים המושפעת ולבטל את האמון בהם. בסביבות וביחסי תלות שאתם מנהלים ישירות, בצעו את הפעולות הבאות:
בכל שאלה או בקשת עזרה, אפשר לפנות לצוות התמיכה של Google Cloud ולציין את מספר הפנייה #576444463. אילו נקודות חולשה טופלו?המפתחות הפרטיים של שמונה אישורים של רשות אישורים (CA) משנית של eMudhra (emSign) נוצרו באמצעות אקראיות קריפטוגרפית לא מספקת (אנטרופיה חלשה). החולשה הזו מאפשרת לתוקף מרוחק עם גישה לרשת לשחזר מפתחות פרטיים, לזייף אישורי TLS מהימנים ולבצע יירוט מסוג "אדם בתווך" (MitM) נגד לקוחות, קונטיינרים או ערכות SDK של TLS שעדיין לא הסירו את האמון ברשויות האישורים המשניות האלה. |
בינוני |
|
GCP-2026-070
תאריך פרסום: 21 באוקטובר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
שתי נקודות חולשה של הרצת קוד מרחוק נמצאו בשפת PHP בקוד פתוח. למרות ש- Google Cloud עצמה לא פגיעה, משתמשים בשפה הזו שפועלת ב- Google Cloud עלולים להיות פגיעים. גרסאות השפה הבאות מושפעות מנקודת החולשה הזו:
גרסאות ה-framework הבאות כוללות תיקונים לנקודת החולשה הזו:
מה לעשות?הלקוחות צריכים לפעול באופן מיידי כדי להגן על עומסי העבודה שלהם, על ידי פריסה מחדש של עומסי העבודה עם יחסי תלות מעודכנים. יכול להיות שחלק מעומסי העבודה יעודכנו באופן אוטומטי לגרסה האחרונה של PHP, אם הם פועלים ב-Google App Engine Standard או באחת מהפונקציות של Cloud Run או Cloud Run שמופעלים בהן עדכונים אוטומטיים. מידע נוסף זמין בפוסט בבלוג. איך Google יכולה לעזור?לקוחות שמשתמשים ב-Artifact Analysis מקבלים התראות על נקודות החולשה האלה גם בפריטי מידע חדשים וגם בפריטי מידע קיימים, כדי לעזור להם לזהות עומסי עבודה בסיכון. |
קריטית |
GCP-2026-069
תאריך פרסום: 19 באוקטובר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות חולשה באבטחה ב-Istio וב-Envoy Proxy (ISTIO-SECURITY-2026-007). להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
בינונית עד גבוהה |
GCP-2026-068
תאריך פרסום: 14 באוקטובר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
פרצת אבטחה שקשורה להרשאה שגויה ב- מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-27 באוגוסט 2026. אילו נקודות חולשה טופלו?משתמש מאומת יכול להסלים הרשאות ולהתחזות לחשבון שירות בפרויקט Google Cloud . |
קריטית | CVE-2026-85298 |
GCP-2026-067
תאריך פרסום: 12 באוקטובר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Envoy Proxy התגלתה נקודת חולשה שמאפשרת התקפת מניעת שירות (DoS) כשמסנן HTTP (כמו להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה | envoyproxy/envoy#47841 |
GCP-2026-066
תאריך פרסום: 28 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסאות של Application Integration שקדמו ל-30 ביוני 2026, התגלתה נקודת חולשה מסוג Confused Deputy ברכיב Email Task. מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-30 ביוני 2026. אילו נקודות חולשה טופלו?תוקף מאומת יכול לקרוא ולחלץ קבצים פנימיים של Google באמצעות נתיב קובץ מצורף שנוצר במיוחד. |
גבוהה | CVE-2026-81375 |
GCP-2026-065
תאריך פרסום: 28 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
במשימת JavaScript בגרסאות של Application Integration שקדמו ל-28 ביוני 2026, התגלתה נקודת חולשה שקשורה להמרת נתונים לא מהימנים (deserialization). מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-28 ביוני 2026. אילו נקודות חולשה טופלו?משתמש מאומת עם הרשאות רגילות יכול להשתמש בסקריפט שנוצר במיוחד כדי להריץ קוד שרירותי בשרתי הייצור המשותפים. |
קריטית | CVE-2026-81867 |
GCP-2026-064
תאריך פרסום: 28 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסאות של Application Integration שפורסמו לפני 17 ביוני 2026, נמצאה פגיעות שקשורה להרשאה שגויה בהגדרת המשימה. מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-17 ביוני 2026. אילו נקודות חולשה טופלו?משתמש מאומת יכול להשתמש בסוג משימה פנימי בלבד כדי להפעיל קריאות RPC פנימיות שרירותיות מרשת הייצור הפנימית של Google, באמצעות זהות עם הרשאות. |
קריטית | CVE-2026-19759 |
GCP-2026-063
תאריך פרסום: 16 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסה 6.3.85 של Google Security Operations SOAR תוקנה נקודת חולשה שקשורה לניהול הרשאות לא תקין, ולא נדרשת פעולה מצד הלקוחות. נקודת החולשה אפשרה לתוקף מאומת להסלים הרשאות (privilege escalation) להרשאת אדמין ברמת המערכת, באמצעות כותרת אימות פנימית מותאמת אישית. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. כל הלקוחות שודרגו באופן אוטומטי לגרסה המתוקנת: 6.3.85 ואילך. |
קריטית | CVE-2026-15587 |
GCP-2026-062
תאריך פרסום: 11 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Slurm התגלו כמה נקודות חולשה באבטחה שמשפיעות על תוכניות של Cluster Toolkit שמפנות לגרסאות ספציפיות של קובצי אימג'. נקודות החולשה האלה משפיעות על הדימון (daemon) של מה לעשות?להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף של Cluster Toolkit. |
גבוהה |
GCP-2026-061
תאריך פרסום: 9 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
פרצת אבטחה (GHSA-p7v4-vr35-mj6f, הקצאת CVE בהמתנה) בהטמעת CRI של containerd מאפשרת לקונטיינר ששוחזר מנקודת ביקורת לא מהימנה דרך ה-API של כברירת מחדל, אשכולות GKE לא חשופים לנקודות החולשה. תמונות של צומתי GKE לא כוללות את הכלי מה לעשות?לא נדרשת פעולה מיידית מצד הלקוחות באשכולות שמוגדרים כברירת מחדל. אם אתם מתקינים תוכנה של סביבת זמן ריצה בהתאמה אישית או כלי צומת בצמתים שכוללים את הקובץ הבינארי אילו נקודות חולשה טופלו?למידע נוסף, קראו את עדכון האבטחה הדחוף ל-GKE. |
בינוני | GHSA-p7v4-vr35-mj6f |
GCP-2026-060
תאריך פרסום: 4 בספטמבר 2026
תאריך עדכון: 8 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-8 בספטמבר 2026: נוסף קישור לעדכון האבטחה הדחוף של Cluster Toolkit. פגם אבטחה בכלי Slurm מה לעשות?להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-65107 |
GCP-2026-059
תאריך פרסום: 4 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
במחבר ה-HTTP בגרסאות של Integration Connectors שקדמו ל-11 בדצמבר 2025, התגלתה נקודת חולשה שקשורה להרשאה חסרה. מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-11 בדצמבר 2025. אילו נקודות חולשה טופלו?תוקף מאומת יכול להשתמש בקובץ מצורף לא מורשה של חשבון שירות כדי להסלים הרשאות (privilege escalation) ולהשתלט על פרויקט ב- Google Cloud . |
גבוהה | CVE-2026-4644 |
GCP-2026-058
תאריך פרסום: 2 בספטמבר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בדיקה חסרה של הרשאות בפרויקט בממשקי ה-API של GKE Multi-Cloud להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
קריטית |
GCP-2026-057
תאריך פרסום: 26 באוגוסט 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Envoy Proxy התגלו כמה נקודות חולשה. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
בינונית עד גבוהה |
GCP-2026-056
תאריך פרסום: 26 באוגוסט 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסאות של שירות העברת הנתונים ל-BigQuery שקדמו ל-1 במאי 2026, התגלתה נקודת חולשה של אימות קלט לא תקין במנהל ההתקן של JDBC. מה לעשות?לא נדרשת פעולה מצד הלקוחות. נקודת החולשה הזו תוקנה ב-1 במאי 2026. אילו נקודות חולשה טופלו?תוקף מאומת יכול להשתמש בפרמטרים של מחרוזת חיבור JDBC שנוצרו במיוחד כדי להפעיל קוד מרחוק בקונטיינר של המחבר, ולהעלות את ההרשאות בפרויקט של הדייר. |
קריטית | CVE-2026-12717 |
GCP-2026-055
תאריך פרסום: 25 באוגוסט 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
יש פרצת אבטחה קריטית של הרצת קוד מרחוק (RCE) ללא אימות ב-Next.js וב- מה לעשות?שירותי הקצה העורפי שלGoogle Cloud לא מושפעים באופן ישיר, ולא נדרשת פעולה כדי לאבטח את התשתית הבסיסית של Google Cloud . עם זאת, לקוחות שמארחים אפליקציות Next.js ב- Google Cloud צריכים לפעול באופן מיידי כדי לאבטח את עומסי העבודה שלהם. מומלץ לשדרג ידנית את פריסות Next.js לאחת מהגרסאות הבאות (או לגרסה עדכנית יותר) ב-
libheif צריכים לעקוב אחרי תיקונים של מערכת ההפעלה במעלה הזרם ולבנות מחדש את קובצי האימג' הבסיסיים של הקונטיינרים שלהם בהתאם. פורסים מחדש את עומסי העבודה המעודכנים כדי לוודא שהקונטיינרים שפועלים משתמשים בגרסאות המתוקנות.
אילו נקודות חולשה טופלו?נקודות החולשה, GHSA-2xp9-vwfh-vxw4 ו-GHSA-g89c-p67h-r497, מאפשרות לתוקף להריץ קוד שרירותי בהקשר של האפליקציה על ידי אספקת קובץ תמונה מותאם אישית במהלך אופטימיזציה של תמונה ב-Next.js. הבעיה הזו נגרמת בגלל האופן שבו ספריית |
גבוהה | GHSA-2xp9-vwfh-vxw4 GHSA-g89c-p67h-r497 |
GCP-2026-054
תאריך פרסום: 11 באוגוסט 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודת חולשה (CVE-2026-6726, שנקראת גם TCGVRT0010) זוהתה בקוד ההטמעה של קובץ העזר TPM 2.0 של Trusted Computing Group, ומשפיעה על כל הגרסאות שפורסמו של הקוד (v1.16, v1.38, v1.59, v1.83, v184). מה לעשות?לא נדרשת פעולה מצד הלקוחות. Google תעדכן באופן יזום את המערכות שלכם במהלך חלונות זמן לתחזוקה רגילים ומתוכננים. אילו נקודות חולשה טופלו?למידע נוסף, קראו את עדכון האבטחה הדחוף של Compute Engine. |
גבוהה | CVE-2026-6726 |
GCP-2026-053
תאריך פרסום: 11 באוגוסט 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Google מודעת לכמה נקודות חולשה באבטחה שמשפיעות על קושחת Intel® Trust Domain Extensions (TDX), שעלולות לפגוע בתקינות של המכונה הווירטואלית הסודית של האורח. פרצות האבטחה האלה עלולות לאפשר ליריב עם הרשאות מארח לעקוף את בדיקות האימות, לגשת לרישומים מוגבלים או לפענח את הזיכרון של האורח שבדרך כלל מוגן. אילו מוצרים של Google מושפעים? כל Confidential VMs שמבוססות על טכנולוגיית Intel TDX. פעולות מומלצות Google יישמה באופן יזום את שדרוגי הקושחה האלה בצי השרתים שלה כדי לצמצם את נקודות החולשה האלה. לקוחות שלא קיבלו הודעה נפרדת עם המלצה לשדרג לא צריכים לעשות שום דבר. מידע נוסף זמין בהודעות הטכניות של Intel PSIRT: INTEL-TA-01404, INTEL-TA-01428, INTEL-TA-01419, INTEL-TA-01439, INTEL-TA-01442, INTEL-TA-01436. |
גבוהה |
GCP-2026-052
תאריך פרסום: 7 באוגוסט 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
זוהתה נקודת חולשה באבטחה ביחידת ניהול הזיכרון (MMU) של המכונה הווירטואלית מבוססת-הליבה (KVM) מסוג x86, שמשפיעה על הפלטפורמות של Intel ושל AMD. מה לעשות?לא נדרשת פעולה עבור מכונות וירטואליות מנוהלות של Compute Engine. מכיוון שנקודת החולשה נמצאת ב-hypervisor של המארח, Google צמצמה את ההשפעה על כל התשתיות המארחות המושפעות שמבוססות על Intel ו-AMD באופן שקוף באמצעות תיקון פעיל, בלי לדרוש זמן השבתה, הפעלה מחדש או שדרוגים ידניים של המכונות הווירטואליות של הלקוחות. אם אתם מפעילים סביבות וירטואליות בניהול עצמי או מנהלי מכונות וירטואליות (hypervisors) בהתאמה אישית במארח מחוץ לתשתית הרגילה של Compute Engine, אתם צריכים לוודא שקרנל ה-Linux של המארח מעודכן בתיקון ה-upstream ברגע שהוא זמין על ידי ספק ההפצה של מערכת ההפעלה. אילו נקודות חולשה טופלו?זו נקודת חולשה ב-KVM שיכולה להוביל לבריחה ממכונה וירטואלית. לא נצפה ניצול פעיל של הפרצה, והתיקון הזה הוא מאמץ יזום. |
ללא | CVE-2026-64561 |
GCP-2026-051
תאריך פרסום: 31 ביולי 2026
תיאור
עדכון מ-4 באוגוסט 2026: גרסת ההפצה של התיקון של VMware היא 1.33.1200, ולא 1.33.1100 כמו שצוין בעדכון הראשוני.
| תיאור | חוּמרה |
|---|---|
|
התגלו נקודות החולשה הבאות ב-containerd (סביבת זמן הריצה של קונטיינרים ב-GDC). נקודות החולשה האלה מאפשרות לתוקפים עם הרשאות ליצור Pods כדי לעקוף את גבולות האבטחה של Kubernetes ולבצע פריצה למארח, הרעלת מטמון והתקפת מניעת שירות (DoS). למרות שנקודות החולשה האלה קריטיות בהקשר של containerd, כדי לנצל אותן צריך הרשאות באשכול ליצירת Pods, ולכן הן נחשבות כבעלות רמת סיכון גבוהה לפי סיווג נקודות החולשה של GDC (תוכנה בלבד).
מה לעשות?ב-GDC software only on bare metal, התיקונים הבאים יכילו פתרונות לבעיות שקשורות לנקודות החולשה:
בתוכנת GDC ב-VMware בלבד, התיקונים הבאים יכילו תיקונים לנקודות החולשה:
|
גבוהה |
GCP-2026-050
תאריך פרסום: 29 ביולי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2026-0006, דווחו ל-Broadcom באופן פרטי כמה נקודות חולשה ב-VMware ESXi וב-vCenter. אנחנו בתהליך של החלת התיקונים הנדרשים שסופקו על ידי Broadcom. אין פתרונות עקיפים ידועים לפרצות האבטחה שדווחו. אחרי התיקון, הפריסות של VMware Engine אמורות להריץ את vCenter ו-ESXi 8.0 U3k. מה לעשות?Google ממליצה ללקוחות לעקוב אחרי עומסי העבודה שלהם ב-VMware Engine כדי לזהות פעילויות חריגות. |
קריטית |
|
GCP-2026-049
תאריך פרסום: 22 ביולי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב- Google Cloud Looker התגלתה פרצת אבטחה מסוג XSS (cross-site scripting) שמשתקפת. תוקף יכול ליצור כתובת URL זדונית, שאם אדמין מאומת יפתח אותה, התוקף יוכל להריץ סקריפטים שרירותיים בשמו ואולי לפרוץ לחשבון האדמין. מה לעשות?במכונות שמתארחות ב-Looker, לא נדרשת פעולה. אם אתם מארחים את המכונות של Looker בעצמכם, עדכנו אותן בהקדם האפשרי. הפרצה הזו תוקנה בכל הגרסאות הנתמכות של Looker למכונות באירוח עצמי. הגרסאות הבאות עודכנו כדי לתקן את נקודת החולשה הזו:
אילו נקודות חולשה טופלו?מידע נוסף זמין במאמר CVE-2026-15810. |
גבוהה | CVE-2026-15810 |
GCP-2026-048
תאריך פרסום: 13 ביולי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
טופלה נקודת חולשה של הסלמת הרשאות ב-Developer Connect. בעבר, בחיבורים של GitLab Enterprise ו-Bitbucket מרכז נתונים, כשהסודות של Secret Manager אוחזרו, ההרשאות נבדקו רק מול פרטי הכניסה של סוכן השירות של Developer Connect (P4SA). עכשיו, ב-Developer Connect מתבצע אימות שלחשבון המשתמש שמבצע את הקריאה ול-P4SA יש את ההרשאות הנדרשות בסודות שאליהם מפנים. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף של Developer Connect. |
בינוני |
GCP-2026-047
תאריך פרסום: 13 ביולי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
במאגרים ב-BigQuery, ב-Dataform וב-Colab Enterprise התגלתה נקודת חולשה שקשורה להרשאות חסרות. מה לעשות?לא נדרשת פעולה מצד הלקוחות. Google כבר הפעילה אמצעי הגנה בכל המוצרים והשירותים שהושפעו. אילו נקודות חולשה טופלו?במהלך יצירת המאגר, תוקף מאומת יכול להסלים את ההרשאות שלו ולהשתלט על מאגרים של דיירים אחרים. |
קריטית |
CVE-2026-14934 |
GCP-2026-046
תאריך פרסום: 6 ביולי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
זוהתה נקודת חולשה בווירטואליזציה בהגדרות של דפדוף צללים (shadow paging) ב-KVM x86 ובווירטואליזציה בתצורה מקוננת. תוקף שמפעיל מכונה וירטואלית עם וירטואליזציה בתצורה משולבת יכול לעקוף את הבידוד של גבולות ה-hypervisor ולפגוע במארח הפיזי שמתחתיו. לכן, כל מכונה וירטואלית מסוג x86 (בין אם היא בתצורה משולבת ובין אם לא) שמתארחת בשרת מבוסס-Intel שתומך בווירטואליזציה בתצורה משולבת, חשופה לפגיעה. מה לעשות?Google פורסת תיקונים חמים (hotpatches) בשידור חי של Hypervisor בכל השרתים המארחים המנוהלים של Compute Engine ברחבי העולם. לא נדרשת פעולה עבור מכונות וירטואליות מנוהלות של Compute Engine או אשכולות של Google Kubernetes Engine. התיקון מתבצע באופן שקוף ברמת ה-hypervisor של המארח הפיזי, ולכן לא נדרשים השבתה, הפעלה מחדש או שדרוגים ידניים של המכונות הווירטואליות של הלקוח. לקוחות שמפעילים סביבות וירטואליות בניהול עצמי או היפרוויזורים של מארחים בהתאמה אישית מחוץ לתשתית המנוהלת הרגילה של Compute Engine, צריכים לוודא שהליבה של מארח Linux מעודכנת בתיקון במעלה הזרם ברגע שהוא זמין על ידי ספק מערכת ההפעלה שלהם. אילו נקודות חולשה טופלו?נקודת החולשה (CVE-2026-53359) מנצלת שגיאת use-after-free בדפדוף הצללים של x86 ובשגרות התרגום של טבלת הדפים המקוננים. Google לא זיהתה ראיות לניצול פעיל של לקוחות בסביבות ייצור. כדי לצמצם את הסיכון ולזהות ניסיונות ניצול לרעה, הטמענו תיקונים בזמן אמת ומעקב ברמת המארח בכל העולם. |
גבוהה/S0 |
CVE-2026-53359 (Januscape) |
GCP-2026-045
תאריך פרסום: 29 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
זוהתה נקודת חולשה ב-Envoy Proxy, שבה פענוח חסום של QPACK יכול לגרום להתקפת מניעת שירות (DoS) נגד מחסנית HTTP/3. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה | GHSA-p7c7-7c47-pwch |
GCP-2026-044
תאריך פרסום: 25 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
זוהתה נקודת חולשה במשימת JavaScript של Application Integration, שהשתמשה במנוע Rhino JavaScript. הבעיה הזו השפיעה רק על משימות שפורסמו לפני ינואר 2025. פרטים והוראות זמינים בעדכון האבטחה הדחוף של Application Integration. |
גבוהה | CVE-2025-0982 |
GCP-2026-043
תאריך פרסום: 24 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Firebase Studio נמצאה נקודת חולשה שבה ה-RPC של לא נדרשת פעולה כדי לצמצם את נקודת החולשה הזו, כי התיקון נפרס בשירות לקצה העורפי. כאמצעי זהירות, משתמשים ששמרו מידע רגיש, כמו מפתחות API (לדוגמה, |
גבוהה | CVE-2026-12715 |
GCP-2026-042
תאריך פרסום: 24 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
טופלה נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Cloud Build. בעבר, בחיבורים של GitLab Enterprise ו-Bitbucket Data Center, כשהסודות של Secret Manager אוחזרו, ההרשאות נבדקו רק מול פרטי הכניסה של סוכן השירות של Cloud Build (P4SA). עכשיו Cloud Build מאמת שלחשבון המשתמש שמבצע את הקריאה ול-P4SA יש את ההרשאות הנדרשות בסודות שאליהם מפנים. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Build. |
נמוכה |
GCP-2026-041
תאריך פרסום: 24 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה נערכה חקירת אבטחה בנוגע לנקודות חולשה ב-log4j (CVE-2026-34480 ו-CVE-2026-34477) שדווחו ב-Apigee Edge for Private Cloud. Google קבעה ש-Apigee Edge for Private Cloud לא פגיע לפרצות האלה. לא נדרשת פעולה מצד הלקוחות. למידע נוסף, קראו את עדכון האבטחה הדחוף ל-Apigee. |
גבוהה |
CVE-2026-34480 CVE-2026-34477 |
GCP-2026-040
תאריך פרסום: 23 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Envoy Proxy התגלו כמה נקודות חולשה. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
בינונית עד גבוהה |
CVE-2026-47692 CVE-2026-47207 CVE-2026-47205 CVE-2026-47220 CVE-2026-47221 CVE-2026-48044 CVE-2026-48090 CVE-2026-47778 CVE-2026-47204 CVE-2026-48497 CVE-2026-48706 CVE-2026-48743 CVE-2026-47775 CVE-2026-48042 |
GCP-2026-039
תאריך פרסום: 22 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
פרצת אבטחה ב-Cloud Logging הייתה יכולה לאפשר לתוקפים להשתלט על יעדים של sink ביומן, על ידי יצירה מחדש של קטגוריית היעד של Cloud Storage בפרויקט שבשליטת התוקף. הבעיה הזו עלולה לגרום לניתוב רציף של יומנים רגישים לצד שלישי לא מורשה. מידע נוסף זמין בעדכון האבטחה הדחוף של Google Cloud Observability. |
בינוני |
GCP-2026-038
תאריך פרסום: 22 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נמצאה נקודת חולשה ב-App Engine, שבה פעולת ה-API הפרטי של לא נדרשת שום פעולה. נקודת החולשה הזו תוקנה. |
גבוהה | CVE-2026-8934 |
GCP-2026-037
תאריך פרסום: 18 ביוני 2026
תאריך עדכון: 20 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-20 ביוני 2026: נוספו גרסאות תיקונים של GKE שמכילות את התיקונים לתמונות צמתים של מערכת הפעלה שמותאמת לקונטיינרים, לגרסאות המשניות 1.35 ו-1.36. התיקונים לתמונות של צומתי Ubuntu עדיין בהמתנה ובתהליך. עדכון מ-19 ביוני 2026: נוספו גרסאות תיקונים של GKE שמכילות את התיקונים לתמונות צמתים של מערכת הפעלה שמותאמת לקונטיינרים, לגרסאות משניות מ-1.30 עד 1.34. אנחנו עובדים על תיקונים לתמונות של צומתי Ubuntu ולגרסאות המשנה 1.35 ו-1.36 של תמונות של צומתי מערכת הפעלה שמותאמת לקונטיינרים. ב-containerd (סביבת זמן הריצה של קונטיינרים ב-GKE) התגלו כמה נקודות חולשה. נקודות החולשה האלה מאפשרות לתוקפים עם הרשאות ליצור Pods, לעקוף את גבולות האבטחה של Kubernetes ולבצע פריצה למארח, הרעלת מטמון והתקפת מניעת שירות (DoS). להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
קריטית |
CVE-2026-50195 CVE-2026-53488 CVE-2026-53492 CVE-2026-53489 CVE-2026-47262 |
GCP-2026-036
תאריך פרסום: 9 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ARM פרסמה את CVE-2025-10263, בעיה ארכיטקטונית שמשפיעה על חלק מליבות ARM ומאפשרת לתוקף לעקוף שלבי תרגום או הגנות GPT בתנאים מסוימים. הפרצה הזו מאפשרת לתוקף ברמת חריגה נמוכה יותר לכתוב לזיכרון שבבעלות רמת חריגה גבוהה יותר, וכך להרחיב את ההרשאות. הבעיה הזו לא משפיעה על קריאות מהזיכרון. למידע נוסף, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-10263 |
GCP-2026-035
תאריך פרסום: 8 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נמצאה נקודת חולשה ב-Envoy שבה עיבוד בקשות HTTP/2 במורד הזרם מאפשר ללקוח מרוחק לא מאומת לגרום לצריכת זיכרון מוגזמת, שעלולה להוביל לסיום OOM של תהליך Envoy ולהתקפת מניעת שירות. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה | CVE-2026-47774 |
GCP-2026-034
תאריך פרסום: 20 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Apigee נמצאה נקודת חולשה שבה הפרמטר |
גבוהה | CVE-2026-2264 |
GCP-2026-033
תאריך פרסום: 14 במאי 2026
תאריך עדכון: 16 ביולי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-16 ביולי 2026: הגרסאות הבאות של GKE עודכנו עם קוד לתיקון נקודת החולשה הזו ב-Ubuntu. לשדרג את מאגרי הצמתים של Ubuntu לגרסאות הבאות או לגרסאות חדשות יותר:
בליבה של Linux נמצאה נקודת חולשה שמאפשרת בריחה מקונטיינר, CVE-2026-46300, שנקראת Fragnesia. היא מאפשרת לתוקף מקומי לא מורשה להסלים את ההרשאות שלו להרשאות root במארח. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | CVE-2026-46300 |
GCP-2026-032
תאריך פרסום: 12 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חברת AMD זיהתה פרצת אבטחה ברמת החומרה במעבדים עם מיקרו-ארכיטקטורה Zen 2 (כולל סדרות EPYC ו-Ryzen), שכוללת פגיעה פוטנציאלית במטמון של מיקרו-פעולות (OP). בתנאים מסוימים, הבעיה הזו (AMD-SN-7052 / CVE-2025-54518) עלולה להוביל לעקיפת גבולות האבטחה או לגישה לא מורשית לנתונים. לפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine. |
גבוהה | CVE-2025-54518 |
GCP-2026-031
תאריך פרסום: 12 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חוקרים גילו נקודת חולשה בקושחה של AMD. בגלל היעדר הגנה, מנהל מכונות וירטואליות (hypervisor) זדוני יכול להריץ קוד שרירותי ב-AMD Secure Processor (ASP). הפגיעות הזו מאפשרת להסלים את הרשאות הקריאה והכתיבה של Memory Mapped I/O (MMIO), מה שפוגע בסודיות ובתקינות של אורחי SEV-SNP. לפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine. |
בינוני |
GCP-2026-030
תאריך פרסום: 11 במאי 2026
תאריך עדכון: 24 ביוני 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-24 ביוני 2026: נוספו גרסאות תיקונים ל-GKE. עדכון מ-20 במאי 2026: נוספה נקודת החולשה CVE-2026-43500 ונוספו מזהי CVE לנתיבי ניצול לרעה. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-43284 |
GCP-2026-029
תאריך פרסום: 7 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
מיקרוסופט מעדכנת את אישורי האתחול המאובטח שהונפקו במקור ב-2011 כדי לוודא שמכשירי Windows ימשיכו לאמת תוכנות אתחול מהימנות. התוקף של האישורים הישנים האלה יתחיל לפוג ביוני 2026. מכשירים שלא קיבלו את האישורים החדשים יותר של 2023 ימשיכו לפעול כרגיל, ועדכוני Windows רגילים ימשיכו להיות מותקנים. עם זאת, המכשירים האלה לא יוכלו יותר לקבל הגנות אבטחה חדשות לתהליך האתחול המוקדם, כולל עדכונים למנהל האתחול של Windows, למסדי נתונים של אתחול מאובטח, לרשימות ביטולים או להפחתת סיכונים של נקודות חולשה חדשות שהתגלו ברמת האתחול. בנוסף, תוקף האישורים של האתחול המאובטח יפוג החל מיוני 2026, וזה ישפיע על מערכות Linux שמשתמשות באתחול מאובטח. מה לעשות?Google ממליצה ללקוחות לעדכן את המכונות הווירטואליות של Windows על ידי ביצוע הפעולות המתאימות, כפי שמומלץ על ידי מיקרוסופט. הפצות כמו Ubuntu, Red Hat ו-Fedora כבר פועלות כדי לספק חבילות מעודכנות שחתומות באמצעות המפתח החדש של 2023. כדי לפתור שגיאות ואזהרות במכונות וירטואליות של VMware כשתוקף האישורים של האתחול המאובטח עומד לפוג, אפשר לעיין גם במסמכי התיעוד של Broadcom. אחרי יוני 2026, יכול להיות שיהיו תקלות במערכות שלא כוללות את עדכוני האישורים של 2023 במהלך התקנות של מערכת הפעלה חדשה או במהלך עדכון של קושחת מנהל האתחול הקיים. |
לצורך מידע | Broadcom KB 423893 |
GCP-2026-028
תאריך פרסום: 5 במאי 2026
תאריך עדכון: 27 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
CVE-2026-31431, שנקראת גם Copy Fail, היא נקודת חולשה חמורה של הסלמת הרשאות ברמה המקומית (LPE) בליבה (kernel) של Linux, שמאפשרת למשתמש לא מורשה לקבל גישת root. היא נחשפה בסוף אפריל 2026, והיא נובעת מפגם לוגי בתת-המערכת הקריפטוגרפית של הליבה (algif_aead) שהוצגה ב-2017. מה לעשות?Google ממליצה ללקוחות להגן על המכונות הווירטואליות של Linux Guest על ידי עדכון הליבה בכל המכונות הווירטואליות של Linux. הפצות עיקריות פרסמו או משיקות תיקונים. |
גבוהה | CVE-2026-31431 |
GCP-2026-027
תאריך פרסום: 1 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-23351 |
GCP-2026-026
תאריך פרסום: 30 באפריל 2026
תאריך עדכון: 4 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-4 במאי 2026: נוספו גרסאות תיקונים ל-GKE. נקודת חולשה בליבה (kernel) של Linux (CVE-2026-31431) מאפשרת לתוקף מקומי לא מורשה לכתוב למטמון הדפים של המערכת, מה שעלול להוביל להסלמת הרשאות (privilege escalation) ברמה המקומית ולפירצה בקונטיינר. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-31431 |
GCP-2026-025
תאריך פרסום: 30 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-23274 |
GCP-2026-024
תאריך פרסום: 28 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38248 |
GCP-2026-023
תאריך פרסום: 28 באפריל 2026
תאריך עדכון: 7 במאי 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-7 במאי 2026: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-23074 |
GCP-2026-022
תאריך פרסום: 16 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-23209 |
GCP-2026-021
תאריך פרסום: 14 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חברת AMD דיווחה על נקודת חולשה בקושחה שלה, שעלולה לאפשר ל-hypervisor זדוני להורות ל-IOMMU לכתוב בזיכרון האורח של מכונות שמופעל בהן AMD SEV-SNP, ולפגוע בתקינות הנתונים של האורח. Google השיקה פתרון זמני למכונות וירטואליות סודיות פגיעות שמופעל בהן AMD SEV-SNP. מה לעשות?לא נדרשת פעולה מצד הלקוחות. ההפחתה כבר הוחלה על מכונות של Confidential VM שבהן מופעל AMD SEV-SNP. למידע נוסף, קראו את הייעוץ של AMD בנושא AMD-SB-3016. |
בינוני |
GCP-2026-020
תאריך פרסום: 14 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-23231 |
GCP-2026-019
תאריך פרסום: 14 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חוקרים גילו נקודת חולשה בקושחה של AMD שמאפשרת ל-hypervisor זדוני לשנות את הגדרות ה-BIOS ואת הגדרות הניתוב של קלט/פלט ממופה-זיכרון (MMIO), וכך לפגוע בסודיות ובתקינות של מכונות וירטואליות חסויות עם אורחי AMD SEV-SNP. לפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine. |
בינוני | CVE-2025-54510 |
GCP-2026-018
תאריך פרסום: 7 באפריל 2026
תאריך עדכון: 15 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-15 באפריל 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-23111 |
GCP-2026-017
תאריך פרסום: 2 באפריל 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2026-23273 |
GCP-2026-016
תאריך פרסום: 27 במרץ 2026
תאריך עדכון: 31 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-31 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38616 |
GCP-2026-015
תאריך פרסום: 27 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת החולשה הבאה בליבה (kernel) של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים: לפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine: |
גבוהה | CVE-2026-23268 |
GCP-2026-014
תאריך פרסום: 14 במרץ 2026
תאריך עדכון: 25 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38678 |
GCP-2026-013
תאריך פרסום: 11 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודות החולשה הבאות התגלו ב-Envoy Proxy:
ב-Istio התגלו נקודות החולשה הבאות:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
בינונית עד גבוהה |
GCP-2026-012
תאריך פרסום: 20 בפברואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב- Google Cloud Vertex AI, זוהתה נקודת חולשה שקשורה למתן שמות צפויים לקטגוריות ב-Vertex AI Experiments, מגרסה 1.21.0 עד גרסה 1.133.0 (לא כולל). פעולות מומלצות הלקוחות לא צריכים לעשות שום דבר כדי להפחית את ההשפעה. CVE-2026-2473 מאפשר לתוקף מרוחק לא מאומת להשיג הרצה של קוד מרחוק בין דיירים, גניבת מודלים והרעלה באמצעות יצירה מראש של קטגוריות Cloud Storage עם שמות צפויים (Bucket Squatting). נקודת החולשה הזו זוהתה ב-Vertex AI Experiments בגרסה 1.21.0. השבתות זמניות של אותות אכיפה כבר הוחלו על גרסה 1.133.0 ואילך. |
גבוהה | CVE-2026-2473 |
GCP-2026-011
תאריך פרסום: 20 בפברואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Google google-cloud-aiplatform (Vertex AI Python SDK Visualization) ב-Exclusively-Hosted-Service זוהתה פרצת אבטחה XSS (cross-site scripting) מאוחסנת ב-_genai/_evals_visualization. פעולות מומלצות כדי לקבל את התיקון, הלקוחות יצטרכו לעדכן את ה-Python SDK של google-cloud-aiplatform לגרסה 1.131.0 (שהושקה ב-16 בדצמבר 2025) או לגרסה חדשה יותר. CVE-2026-2472 מאפשר לתוקף מרוחק לא מאומת להריץ קוד JavaScript שרירותי בסביבת Jupyter או Colab של הקורבן, באמצעות הזרקת רצפי בריחה (escape sequences) של סקריפטים לתוצאות של הערכת מודלים או לנתוני JSON של מערכי נתונים. נקודת החולשה הזו זוהתה ב-Google google-cloud-aiplatform (Vertex AI Python SDK) לפני גרסה 1.131.0. |
גבוהה | CVE-2026-2472 |
GCP-2026-010
תאריך פרסום: 13 בפברואר 2026
תיאור
| תיאור | רמת סיכון | הערות | ||||||
|---|---|---|---|---|---|---|---|---|
|
זוהתה נקודת חולשה בפלטפורמת Apigee שעלולה לאפשר לגורם זדוני עם הרשאות ברמת אדמין או מפתח בסביבת Apigee שלו להרחיב את ההרשאות ולגשת לנתונים של דיירים אחרים. באופן ספציפי, נקודת חולשה בטכנולוגיית ארגז החול של Apigee אפשרה להשתמש בנקודת קצה (endpoint) מקומית של קישור כדי לגשת לאסימונים של חשבון שירות (P4SA) בפרויקט של דייר (tenant) של לקוח. באמצעות הזהות הזו, תוקף יכול באופן תיאורטי לקרוא מטא-נתונים של ניתוח נתונים או לשנות רשומות מעקב פנימיות בארגונים אחרים (דיירים) ב-Apigee. פעולות מומלצות מבצעים את הפעולות הבאות בכל אחד מהמוצרים המושפעים: Apigeeלקוחות שמשתמשים בגרסת Google Cloud של Apigee לא צריכים לעשות שום דבר. תיקוני נקודות החולשה הוחלו על גרסה 1-16-0-apigee-3 של Apigee. Apigee Hybridכדי לפתור את נקודת החולשה הזו, הלקוחות צריכים להפעיל את צינור עיבוד הנתונים לניתוח שמבוסס על Pub/Sub ולשדרג לגרסה היברידית נתמכת:
| גבוהה | CVE-2025-13292 |
GCP-2026-009
תאריך פרסום: 13 בפברואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסאות של ממשק המשתמש של Observability Analytics שנוצרו לפני ינואר 2026, אפשר להגדיר הרצה אוטומטית של שאילתות SQL. פרצת אבטחה יכולה לאפשר לתוקף ליצור כתובת URL של שאילתה, שאם מישהו עם פרטי כניסה יפתח אותה, היא תוכל לגשת לתוכן של טבלה או לגרום לעלות שאילתה. מידע נוסף זמין בעדכון האבטחה הדחוף של Google Cloud Observability. |
גבוהה |
GCP-2026-008
תאריך פרסום: 10 בפברואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
יש כמה נקודות חולשה שמשפיעות על הקושחה של Intel® TDX. נקודות החולשה האלה כוללות פגמים שונים, כולל מרוצי תהליכים (CVE-2025-30513, CVE-2025-31944), קריאות מחוץ לתחום (CVE-2025-32007, CVE-2025-27940), שימוש במשתנה שלא אותחל (CVE-2025-32467) וחשיפת מידע רגיש במהלך ביצוע זמני (CVE-2025-27572). ביחד, הבעיות האלה עלולות לאפשר חשיפת מידע, הסלמת הרשאות או התקפת מניעת שירות (DoS). בדרך כלל, כדי לנצל את הפרצה נדרשת גישה של משתמש עם הרשאות במערכת. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. כל התיקונים הרלוונטיים הוחלו על Fleet השרתים של Google. למידע נוסף, קראו את הייעוץ הטכני של Intel בנושא PSIRT INTEL-TA-01397. |
גבוהה |
GCP-2026-007
תאריך פרסום: 9 בפברואר 2026
תאריך עדכון: 25 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-40297 |
GCP-2026-006
תאריך פרסום: 29 בינואר 2026
תאריך עדכון: 20 בפברואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-20 בפברואר 2026: נוספו גרסאות תיקונים ל-GKE. זוהו כמה נקודות חולשה באבטחה בספריית OpenSSL. הממצא המשמעותי ביותר הוא CVE-2025-15467, נקודת חולשה קריטית שעלולה לאפשר התקפות של הפעלת קוד מרחוק (RCE) או התקפות מניעת שירות (DoS) באמצעות וקטורים מבוססי-רשת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-15467 |
GCP-2026-005
תאריך פרסום: 28 בינואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודת החולשה הזו משפיעה על גרסאות של ממשק ניתוח נתוני היומן ושל ממשק מרכז הבקרה של Cloud Monitoring שנוצרו לפני ינואר 2026. מידע נוסף זמין בעדכון האבטחה הדחוף של Google Cloud Observability. |
גבוהה |
GCP-2026-004
תאריך פרסום: 14 בינואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Compute Engine התגלתה נקודת חולשה במעבדי Arm נבחרים שמשפיעה על מכונות וירטואליות מסוג C4A ו-A4X:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine. |
בינוני | CVE-2025-0647 |
GCP-2026-003
תאריך פרסום: 9 בינואר 2026
תאריך עדכון: 25 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-39964 |
GCP-2026-002
תאריך פרסום: 7 בינואר 2026
תאריך עדכון: 25 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-40215 |
GCP-2026-001
תאריך פרסום: 7 בינואר 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-40214 |
GCP-2025-076
תאריך פרסום: 8 בדצמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Cloud Data Fusion התגלתה נקודת החולשה הבאה:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Data Fusion. |
גבוהה | CVE-2025-9571 |
GCP-2025-075
תאריך פרסום: 7 בדצמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
פרצת אבטחה בתכונה של השילובים בהתאמה אישית ב-Google Security Operations SOAR מאפשרת למשתמש מאומת עם תפקיד IDE להפעיל קוד מרחוק (RCE) בשרת. הפרצה נבעה מאימות לא מספיק של קוד חבילת Python, מה שאיפשר לתוקף להעלות חבילה עם קובץ פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. כל הלקוחות שודרגו באופן אוטומטי לגרסה המתוקנת: 6.3.64 ואילך. |
גבוהה | CVE-2025-13428 |
GCP-2025-074
תאריך פרסום: 5 בדצמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-39965 |
GCP-2025-073
Published:2025-12-03
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודות החולשה הבאות התגלו ב-Envoy Proxy:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
בינוני |
GCP-2025-072
תאריך פרסום: 4 בדצמבר 2025
תאריך עדכון: 5 בדצמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מתאריך 4 בדצמבר 2025: עכשיו יש כלל של חומת אש ליישומי אינטרנט (WAF). במסגרות React ו-Next.js בקוד פתוח נמצאה נקודת חולשה שמאפשרת הרצת קוד מרחוק. למרות ש- Google Cloud עצמו לא פגיע, משתמשים של המסגרות האלה שפועלות ב- Google Cloud עלולים להיות פגיעים. גרסאות ה-framework הבאות מושפעות מנקודת החולשה הזו:
גרסאות ה-framework הבאות כוללות תיקונים לנקודת החולשה הזו:
מידע נוסף על נקודות החולשה האלה זמין בהמלצות של React ובהמלצות של Vercel. הלקוחות צריכים לפעול באופן מיידי כדי להגן על עומסי העבודה שלהם, על ידי פריסה מחדש של עומסי העבודה עם יחסי תלות מעודכנים. איך Google יכולה לעזור?הוספנו כלל של חומת אש ליישומי אינטרנט (WAF) ב-Cloud Armor, שנועד לזהות ולחסום ניסיונות ניצול קשורים. הכלל החדש הזה נועד להגן על האפליקציות והשירותים שפונים לאינטרנט ומשתמשים במאזני עומסים גלובליים או אזוריים של אפליקציות (ALB). מומלץ לפרוס את הכלל הזה כאמצעי זמני להפחתת הסיכון בזמן שמעדכנים את עומסי העבודה. הוראות להחלת הכלל הזה זמינות בפוסט הזה בבלוג. ללקוחות שמשתמשים ב-App Engine Standard, ב-Cloud Functions, ב-Cloud Run Functions, ב-Cloud Run, ב-Firebase Hosting או ב-Firebase App Hosting, כבר נאכף כלל להגבלת הניצול לרעה באמצעות בקשות לדומיינים בהתאמה אישית ולדומיינים שמוגדרים כברירת מחדל. לקוחות שמשתמשים ב-Artifact Analysis יקבלו התראות על נקודות החולשה האלה גם בפריטי מידע חדשים וגם בפריטי מידע קיימים, כדי לעזור להם לזהות עומסי עבודה בסיכון. עדכון האבטחה הדחוף הזה יעודכן כשיהיה מידע חדש. |
קריטית | CVE-2025-55182 |
GCP-2025-071
תאריך פרסום: 2 בדצמבר 2025
תאריך עדכון: 25 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. עדכון מ-11 בדצמבר 2025: נוספו גרסאות תיקונים ודירוג חומרה ל-GDC (VMware). התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-40019 |
GCP-2025-070
תאריך פרסום: 2 בדצמבר 2025
תאריך עדכון: 25 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. עדכון מ-11 בדצמבר 2025: נוספו גרסאות תיקונים ודירוג חומרה ל-GDC (VMware). התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-40018 |
GCP-2025-069
תאריך פרסום: 24 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו כמה בעיות אבטחה ב-runc, רכיב תוכנה בקוד פתוח שמשמש להפעלת קונטיינרים. המתקפות שנחשפו בנקודות החולשה האלה (CVE-2025-31133, CVE-2025-52565 ו-CVE-2025-52881) מאפשרות לתוקף לבצע בריחה מלאה מקונטיינר במאגרי ה-Worker ובמשימות של Cloud Run, וכך להשיג הרשאות root מחוץ לקונטיינר במכונה שבארגז החול. גורם עם הרשאות לפריסת קובץ אימג' זדוני של קונטיינר יכול לנצל את נקודות החולשה האלה כדי לקבל גישה לקונטיינרים אחרים במכונה של Cloud Run בארגז החול.
מאגרי Worker, משימות ומספר מוגבל של שירותים שעדיין לא עודכנו חשופים לפגיעה. אנחנו מכינים עדכון שיושק בתחילת ינואר. העלון הזה יעודכן כשההשקה תסתיים. אם נתקלתם בבעיות שקשורות לנקודת החולשה הזו, אתם יכולים לדווח עליהן לתוכנית התגמולים על זיהוי נקודות חולשה ב-Cloud בכתובת g.co/vrp. |
גבוהה |
GCP-2025-068
תאריך פרסום: 21 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Looker תוקנה נקודת חולשה שיכלה לאפשר לתוקף עם הרשאות צפייה ב-Looker ליצור כתובת URL זדונית. אם אדמין ב-Looker היה פותח את כתובת ה-URL הזו, היה מופעל סקריפט שהתוקף סיפק. כדי לנצל את הפרצה, צריך להתקין לפחות תוסף אחד של Looker במכונה. נמצא שגם מופעים שמתארחים ב-Looker וגם מופעים באירוח עצמי חשופים לפגיעות. הבעיה הזו כבר טופלה במכונות שמתארחות ב-Looker. פעולות מומלצות thought מכונות שמתארחות ב-Looker: לא נדרשת פעולה מצד הלקוחות. רק במכונות Looker באירוח עצמי: אם המכונה של Looker מתארחת באירוח עצמי, מומלץ לשדרג את המכונות של Looker בהקדם האפשרי. הפרצה הזו תוקנה בכל הגרסאות הנתמכות של Looker למכונות באירוח עצמי. הגרסאות הבאות עודכנו כדי להגן מפני נקודת החולשה הזו:
אפשר להוריד את הגרסאות האלה של Looker בדף ההורדה של Looker: https://download.looker.com/ |
גבוהה | CVE-2025-12739 |
GCP-2025-067
תאריך פרסום: 19 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Looker תוקנה נקודת חולשה שעלולה הייתה לאפשר לתוקף להשתלט על חשבון Looker במופע של Looker שהוגדר עם אימות OIDC, בגלל נורמליזציה של מחרוזת כתובת אימייל. נמצא שגם מופעים שמתארחים ב-Looker וגם מופעים באירוח עצמי חשופים לפגיעות. הבעיה הזו כבר טופלה במכונות שמתארחות ב-Looker. פעולות מומלצות thought מכונות שמתארחות ב-Looker: לא נדרשת פעולה מצד הלקוחות. רק במכונות Looker באירוח עצמי: אם המכונה שלכם ב-Looker מתארחת באופן עצמאי, מומלץ לשדרג את המכונות ב-Looker בהקדם האפשרי לאחת מהגרסאות הבאות:
אפשר להוריד את הגרסאות האלה של Looker בדף ההורדה של Looker: https://download.looker.com/ הערה: גרסאות 25.12 ואילך לא מושפעות מבעיית האבטחה הזו. |
גבוהה | CVE-2025-12414 |
GCP-2025-066
תאריך פרסום: 10 בנובמבר 2025
תאריך עדכון: 27 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-27 בנובמבר 2025: נוספו גרסאות תיקונים ל-GKE ול-GDC (שרת פיזי). שלוש נקודות חולשה של פירצה בקונטיינר התגלו ב-
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
GCP-2025-065
תאריך פרסום: 6 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חוקרים גילו נקודת חולשה ב-AMD SEV-SNP (דפדוף מאובטח בתצוגת עץ) במכונות AMD Milan. מתקפה כזו יכולה לאפשר ל-hypervisor זדוני לשנות את ערכי האתחול של ה-RMP, וכתוצאה מכך לפגוע בתקינות הזיכרון של האורח ב-AMD SEV-SNP. Google השיקה פתרון שמונע את הבעיה הזו. מה לעשות?הלקוחות לא צריכים לעשות שום דבר כדי להפחית את ההשפעה. כבר יישמנו אמצעי הגנה במכונות Confidential VM עם AMD SEV-SNP. עם זאת, במכונות של Confidential VM עם AMD SEV-SNP משתמשים עכשיו בפורמט אימות בגרסה 4. לקוחות שמשתמשים בספרייה go-sev-guest כדי לנתח דוחות אימות צריכים לעדכן לגרסה go-sev-guest v0.14.0 ואילך. אם אתם משתמשים במנתחים משלכם, הפורמט של דוח האימות מוגדר על ידי מפרט ה-ABI של קושחת SEV Secure Nested Paging. אילו נקודות חולשה טופלו?למידע נוסף, קראו את הייעוץ של AMD בנושא AMD-SB-3020. |
בינוני | CVE-2025-0033 |
GCP-2025-064
תאריך פרסום: 28 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודות החולשה הבאות התגלו ב-Envoy Proxy:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
בינוני |
GCP-2025-063
תאריך פרסום: 28 באוקטובר 2025
תאריך עדכון: 17 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-17 בנובמבר 2025: נוספו גרסאות תיקונים לצומתי GKE של Ubuntu. עדכון מ-30 באוקטובר 2025: נוספו גרסאות תיקונים ודירוג חומרה לתוכנת GDC ל-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-39682 |
GCP-2025-062
תאריך פרסום: 22 באוקטובר 2025
תאריך עדכון: 30 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-30 באוקטובר 2025: נוספו גרסאות תיקונים לצומתי Ubuntu ב-GKE, וגרסאות תיקונים ודירוג חומרה לתוכנת GDC ל-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-58240 |
GCP-2025-061
תאריך פרסום: 21 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נמצאה נקודת חולשה שמאפשרת הרצת קוד מרחוק ב-Valkey וב-Redis בקוד פתוח. כתוצאה מכך, כל הגרסאות שנתמכות ב-Memorystore for Redis, ב-Memorystore for Redis Cluster וב-Memorystore for Valkey מושפעות. כברירת מחדל, נכסי Memorystore של Google Cloud לא חשופים לאינטרנט הציבורי, ולכן הסיכון של נקודת החולשה הזו נמוך למשתמשי Memorystore שפועלים לפי השיטות המומלצות לאבטחה של Google Cloud. מה צריך לעשות?Google התחילה להחיל תיקונים באופן אוטומטי, והתהליך צפוי להסתיים ב-6 בנובמבר 2025. לא צריך לעשות שום דבר כדי לקבל את התיקון הזה. אם אתם רוצים להחיל את התיקונים האלה על האשכולות או המכונות של Memorystore לפני 6 בנובמבר 2025, אתם יכולים להשתמש בתחזוקה בשירות עצמי כדי לבצע את הפעולות הבאות:
|
קריטית | CVE-2025-49844 |
GCP-2025-060
תאריך פרסום: 21 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חברת Oracle פרסמה התראת אבטחה שמאשרת ש-Oracle E-Business Suite (EBS) חשופה לניצול לרעה ללא אימות. מה לעשות?Google לא משתמשת ב-Oracle EBS, ולכן היא לא מושפעת מנקודת החולשה הזו. Google Cloud |
נמוכה | CVE-2025-61882 |
GCP-2025-059
תאריך פרסום: 21 באוקטובר 2025
תאריך עדכון: 22 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 באוקטובר 2025: נוסף קישור ל-CVE. ב-23 בספטמבר 2025, גילינו בעיה טכנית ב-Vertex AI API שגרמה לכך שמספר מוגבל של תשובות נותבו באופן שגוי בין נמענים במודלים מסוימים של צד שלישי, כשנעשה שימוש בבקשות סטרימינג. הבעיה נפתרה. המודלים של Google, כמו Gemini, לא הושפעו.
חלק מהפרוקסי הפנימיים לא טיפלו כמו שצריך בבקשות HTTP עם כותרת פעולות מומלצות
יישמנו תיקונים כדי לטפל כראוי בנוכחות של הכותרת התיקונים הופצו למודלים שונים בלוחות זמנים נפרדים. המודלים של Anthropic תוקנו עד 26 בספטמבר בשעה 00:45 (שעון קיץ פסיפי), וכל הפלטפורמות תוקנו עד 28 בספטמבר בשעה 19:10 (שעון קיץ פסיפי). המודלים המושפעים ב-Vertex AI API וזמן הפתרון מפורטים בהמשך:
|
בינוני | CVE-2025-11915 |
GCP-2025-058
תאריך פרסום: 20 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלה פגם בהוראת RDSEED במעבדי AMD Zen 5 (Turin). ההוראה הזו משמשת ליצירת מספרים אקראיים קריפטוגרפיים. בתנאים מסוימים של עומס על המערכת, גרסאות 16 ו-32 ביט של RDSEED עלולות להיכשל בלי להציג הודעה, מה שעלול לפגוע באפליקציות שמסתמכות על יצירת מספרים אקראיים. לקוחות שמשתמשים בגרסת 64 ביט של RDSEED לא מושפעים. מה לעשות?חברת AMD בודקת את נקודת החולשה.
חשוב לציין שליבת Linux בגרסת 64 ביט משתמשת בגרסת 64 ביט הבטוחה של הוראת RDSEED, והיא מזינה את המספרים האקראיים שמתקבלים מ- אם יש לכם קוד אפליקציה שיוצר מספרים אקראיים בעצמו באמצעות ההוראה RDSEED, חשוב לדעת שגרסאות 16 ביט ו-32 ביט של ההוראה לא מאובטחות. גרסת ה-64 ביט של ההוראה בטוחה. באילו נקודות חולשה התיקונים האלה מטפלים?נקודת החולשה הזו מאפשרת לתוקפים לגרום לכשל שקט ב-RDSEED, שעלול לפגוע ביצירת מספרים אקראיים באפליקציות. |
גבוהה | CVE-2025-62626 |
GCP-2025-057
תאריך פרסום: 17 באוקטובר 2025
תאריך עדכון: 11 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-11 בנובמבר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-27 באוקטובר 2025: נוספו גרסאות תיקונים ודירוג חומרה לתוכנת GDC ל-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38618 |
GCP-2025-056
תאריך פרסום: 16 באוקטובר 2025
תאריך עדכון: 24 במרץ 2026
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-24 במרץ 2026: נוספו גרסאות תיקונים לצומתי Ubuntu עם GKE. עדכון מ-13 בנובמבר 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-39946 |
GCP-2025-055
תאריך פרסום: 15 באוקטובר 2025
תאריך עדכון: 11 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-11 בנובמבר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-16 באוקטובר 2025: נוספו גרסאות תיקונים ודירוג חומרה לתוכנת GDC ל-VMware התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38617 |
GCP-2025-054
תאריך פרסום: 14 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2025-0015 של VMware, Broadcom קיבלה דיווחים פרטיים על כמה נקודות חולשה ב-VMware Aria Operations וב-VMware Tools. יש תיקונים לנקודות החולשה האלה במוצרי Broadcom שמושפעים מהן. פעולות מומלצות מומלץ לשדרג ל-VMware Aria Automation 8.18.5 ול-VMware Tools 13.0.5. |
חשוב |
GCP-2025-053
תאריך פרסום: 30 בספטמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Looker Studio תוקנו נקודות חולשה שדווחו על ידי חוקר חיצוני דרך תוכנית התגמולים על זיהוי נקודות חולשה באבטחה (VRP) של Google ו-Alphabet, אבל לא נמצאו ראיות לניצול לרעה. הבעיות האלה נפתרו ואין צורך בפעולה מצד המשתמשים. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. אילו נקודות חולשה טופלו? נקודות החולשה אפשרו גישה לא מורשית לנתונים דרך דוחות משותפים, מקורות נתונים עם פרטי כניסה של צופים, Studio Linking API ו-Conversational Analytics. |
גבוהה |
GCP-2025-052
תאריך פרסום: 30 בספטמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Looker תוקנו נקודות חולשה שדווחו על ידי חוקר חיצוני דרך תוכנית התגמולים על זיהוי נקודות חולשה באבטחה (VRP) של Google ו-Alphabet, אבל לא נמצאו ראיות לניצול שלהן. הבעיות האלה נפתרו, ולקוחות Looker (Google Cloud core) ו-Looker (original) שמתארחים ב-Looker לא צריכים לעשות שום דבר. מומלץ לעדכן מכונות Looker באירוח עצמי לגרסה הנתמכת העדכנית ביותר. פעולות מומלצות מכונות באירוח של Looker: מכונות של Looker (Google Cloud core) ו-Looker (original) לא נדרשת פעולה מצד הלקוחות. רק במכונות Looker באירוח עצמי אם המכונה של Looker מתארחת אצלכם, מומלץ לשדרג את המכונות של Looker לאחת מהגרסאות הבאות:
הערה: גרסאות 25.14 ואילך לא מושפעות מבעיות האבטחה האלה. אילו נקודות חולשה טופלו? הפרצות אפשרו למשתמשים עם הרשאות מפתח ב-Looker לגשת גם למערכת הבסיסית שמארחת את Looker וגם למסד הנתונים הפנימי שלה. |
גבוהה |
GCP-2025-051
תאריך פרסום: 11 בספטמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חוקרים גילו נקודת חולשה באבטחה שמשפיעה על מעבדי Intel ועל כל מעבדי AMD Zen. נקודת החולשה הזו מאפשרת לתוקף לקרוא נתונים רגישים על ידי ניצול של נקודות חולשה ידועות בהרצה ספקולטיבית. פעולות מומלצות לא נדרשת פעולה בשלב הזה, כי Google החילה תיקונים על הנכסים המושפעים, כולל Google Cloud, כדי לצמצם את הבעיה בלי לשבש את הפעילות ב-fleet. אילו נקודות חולשה טופלו? מידע נוסף זמין בפוסט בבלוג של COMSEC. |
גבוהה | CVE-2025-40300 |
GCP-2025-050
תאריך פרסום: 10 בספטמבר 2025
תאריך עדכון: 11 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-11 בנובמבר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-15 באוקטובר 2025: נוספו גרסאות תיקונים ודירוג חומרה לתוכנת GDC ל-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38500 |
GCP-2025-049
תאריך פרסום: 10 בספטמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נמצאה נקודת חולשה קריטית בגרסאות 6.3.54.0 ו-6.3.53.2 של Google Security Operations SOAR. משתמש מאומת עם הרשאות להעלות קובצי ZIP (לדוגמה, כשמייבאים תרחישים לדוגמה) יכול להעלות ארכיון ZIP שיכול לכתוב קבצים במיקומים שרירותיים במערכת הקבצים של השרת. המערכת לחילוץ קבצים מארכיוני ZIP לא הצליחה למנוע כתיבה של קבצים בארכיון מחוץ לתיקיית היעד המיועדת שלהם. היא נקראת גם פרצת אבטחה מסוג Directory Traversal או Zip Slip. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. כל הלקוחות שודרגו באופן אוטומטי לגרסה המתוקנת או לגרסה חדשה יותר: 6.3.54.1 או 6.3.53.3 אילו נקודות חולשה טופלו? תוקף יכול לנצל את נקודת החולשה הזו כדי להחליף קובצי אפליקציה. תוקף יכול להחליף קובץ JavaScript שמשמש את התכונה ליצירת דוחות, וכך להריץ קוד מרחוק (RCE) במכונה של Google SecOps SOAR. התוקף יכול להריץ קוד משלו בשרת. מידע נוסף זמין בעדכון האבטחה הדחוף Google SecOps GCP-2025-049. |
גבוהה | CVE-2025-9918 |
GCP-2025-048
תאריך פרסום: 2 בספטמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודת החולשה הבאה התגלתה ב-Envoy Proxy:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה | CVE-2025-54588 |
GCP-2025-047
תאריך פרסום: 27 באוגוסט 2025
תאריך עדכון: 25 בספטמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 בספטמבר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38350 |
GCP-2025-046
תאריך פרסום: 23 באוגוסט 2025
תאריך עדכון: 11 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-11 בנובמבר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-15 באוקטובר 2025: נוספו גרסאות תיקונים ודירוג חומרה לתוכנת GDC ל-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38477 |
GCP-2025-045
תאריך פרסום: 21 באוגוסט 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חוקר חיצוני דיווח על נקודת חולשה ב-Dataform API דרך תוכנית התגמולים על זיהוי נקודות חולשה באבטחה (VRP) של Google ו-Alphabet. נקודת החולשה הזו עלולה לאפשר גישה לא מורשית למאגרי המקורות של הקוד ולנתונים של הלקוחות. Google תיקנה במהירות את הבעיה והפיצה את התיקון לכל האזורים. נכון לעכשיו, לא נמצאו ראיות לניצול נקודת החולשה ולא דווח על כך ל-Google. מה לעשות?לא נדרשת פעולה מצד הלקוחות. Google כבר הפעילה אמצעי הגנה בכל המוצרים והשירותים שהושפעו. אילו נקודות חולשה טופלו?מידע נוסף זמין במאמר CVE-2025-9118. |
קריטית | CVE-2025-9118 |
GCP-2025-044
תאריך פרסום: 12 באוגוסט 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Intel דיווחה ל-Google על שתי נקודות חולשה חדשות באבטחה. CVE-2025-21090: נקודת החולשה הזו משפיעה על המעבדים הבאים של Intel:
CVE-2025-22840: נקודת החולשה הזו משפיעה על המעבד הבא של Intel:
מה לעשות?לא נדרשת פעולה מצד הלקוחות לגבי אף אחת מנקודות החולשה. Google תעדכן את המערכות שלכם באופן יזום במהלך חלונות זמן לתחזוקה רגילים ומתוכננים. בשלב הזה, לא נמצאו ראיות לניצול של נקודת החולשה ולא דווח על כך ל-Google. אילו נקודות חולשה טופלו?נקודת החולשה, CVE-2025-21090, מאפשרת לגורם לא מורשה שמשתמש בהוראת המעבד (CPU) של AMX, בשילוב עם הוראת המעבד (CPU) של AVX, להשבית את המכונה המארחת. נקודת החולשה, CVE-2025-22840, מאפשרת לגורם לא מורשה להשתמש בהוראת prefetchit של המעבד (CPU) כדי לטעון תוכן מהזיכרון שאין לו גישה אליו, מה שעלול להוביל להרצת קוד מרחוק. |
בינוני |
GCP-2025-043
תאריך פרסום: 12 באוגוסט 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
יש נקודת חולשה פוטנציאלית של התקפת מניעת שירות (DoS) בהטמעה של השפעהאם אתם מייבאים את מה לעשות?ודאו שאתם משתמשים בגרסאות העדכניות של חבילות התוכנה הבאות:
אילו נקודות חולשה טופלו במסגרת התיקון הזה?התיקון טיפל בנקודת החולשה הבאה:
נקודת החולשה נובעת מרקורסיה בלתי מוגבלת כשקצה העורפי של pure-Python מנתח הודעות מסוימות של מאגר אחסון לפרוטוקולים. תוקף לא מאומת יכול לשלוח הודעה שמכילה קבוצות רקורסיביות, הודעות או סדרה של תגי מידע נוסף זמין בהודעת האבטחה של Protobuf. |
גבוהה CVSS בגרסה 4.0 ציון: 8.2 |
CVE-2025-4565
הבעיה הזו משפיעה רק על לא משנה מה הערך שמוחזר כשבודקים את הקצה העורפי של הטמעת Protobuf, מומלץ לשדרג כי משתנה הסביבה |
GCP-2025-042
תאריך פרסום: 11 באוגוסט 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חוקרים גילו פרצת אבטחה במעבדים ספציפיים של Intel, כולל מעבדים שמבוססים על המיקרו-ארכיטקטורות Skylake, Broadwell ו-Haswell. נקודת החולשה הזו מאפשרת לתוקף לקרוא נתונים רגישים ישירות מהמטמון L1 של המעבד (CPU), שאין לו הרשאה לגשת אליו. נקודת החולשה הזו נחשפה לראשונה ב-CVE-2018-3646 בשנת 2018. כשגילינו את נקודת החולשה הזו, Google יישמה מיד אמצעי הגנה כדי לטפל בסיכונים הידועים. הודעה לגבי נקודת החולשה והתיקונים הראשוניים פורסמה באותו זמן. מאז אנחנו חוקרים את הסיכון שנותר ופועלים עם קהילת Linux כדי לטפל בו. לאחרונה עבדנו עם חוקרי אבטחה מהאקדמיה כדי להעריך את המצב הנוכחי של אמצעי האבטחה של המעבד, וטכניקות פוטנציאליות של התקפות שלא נלקחו בחשבון ב-2018. Google הפעילה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי לצמצם את הבעיה. מה לעשות?לא נדרשת פעולה מצד הלקוחות. כבר הוחלו אמצעי הפחתה על Fleet השרתים של Google. אילו נקודות חולשה טופלו?למידע נוסף, קראו את הייעוץ של Intel בנושא INTEL-SA-00161 ואת CVE-2018-3646. |
גבוהה | CVE-2018-3646 |
GCP-2025-041
תאריך פרסום: 21 ביולי 2025
תאריך עדכון: 10 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 בנובמבר 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצומתי Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-37890 |
GCP-2025-040
תאריך פרסום: 15 ביולי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2025-0013, התקבלו ב-Broadcom דיווחים פרטיים על מספר נקודות חולשה ב-VMware ESXi. כבר תיקנו את נקודות החולשה האלה או שאנחנו בתהליך של החלת התיקונים הנדרשים שסופקו על ידי Broadcom. אין פתרונות עקיפים ידועים לפרצות האבטחה שדווחו. אחרי התיקון, בפריסות של VMware Engine צריכה לפעול גרסה ESXi 7.0U3w או ESXi 8.0U3f ואילך. מה לעשות?Google ממליצה ללקוחות לעקוב אחרי עומסי העבודה שלהם ב-VMware Engine כדי לזהות פעילויות חריגות. |
בינונית עד קריטית |
GCP-2025-039
תאריך פרסום: 15 ביולי 2025
תאריך עדכון: 10 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 בנובמבר 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". עדכון מ-28 באוגוסט 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38083 |
GCP-2025-038
תאריך פרסום: 9 ביולי 2025
תאריך עדכון: 25 בספטמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 בספטמבר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-37752 |
GCP-2025-037
תאריך פרסום: 8 ביולי 2025
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
AMD דיווחה על שתי נקודות חולשה שמשפיעות על מעבדי AMD EPYC מהדור השני (Rome), מהדור השלישי (Milan) ומהדור הרביעי (Genoa). נקודות החולשה מאפשרות לתוקף להסיק נתונים ממאגרים קודמים או ממטמון L1D, מה שעלול לגרום לדליפה של מידע רגיש. Google השיקה פתרון שמונע את דליפת המידע הזו בין מכונות וירטואליות. עדיין קיים סיכוי שתהליכים בתוך מכונה וירטואלית אחת יוכלו לנצל את נקודות החולשה האלה. מה לעשות?אחרי 8 ביולי 2025, אפשר להשתמש בהשבתה זמנית של אותות אכיפה ברמת האורח שמגינה מפני התקפות בתוך האורח במכונות הווירטואליות הבאות:
מידע נוסף זמין בעדכון האבטחה הדחוף של AMD AMD-SB-7029. |
בינוני |
GCP-2025-036
תאריך פרסום: 1 ביולי 2025
תאריך עדכון: 10 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 בנובמבר 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". עדכון מ-21 ביולי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38001 |
GCP-2025-035
תאריך פרסום: 17 ביוני 2025
תאריך עדכון: 10 בנובמבר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 בנובמבר 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". עדכון מ-21 ביולי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-37997 |
GCP-2025-034
תאריך פרסום: 17 ביוני 2025
תאריך עדכון: 21 ביולי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 ביולי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-38000 |
GCP-2025-033
תאריך פרסום: 6 ביוני 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה בעיית אבטחה שבה תוקפים עשויים לעקוף את מגבלות הבידוד של עומסי העבודה באשכולות GKE. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | לא רלוונטי |
GCP-2025-032
תאריך פרסום: 3 ביוני 2025
תאריך עדכון: 21 ביולי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 ביולי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-37798 |
GCP-2025-031
תאריך פרסום: 3 ביוני 2025
תאריך עדכון: 26 באוגוסט 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-26 באוגוסט 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-37797 |
GCP-2025-030
תאריך פרסום: 23 במאי 2025
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2024-0017 של VMware, נקודת חולשה של הזרקת SQL ב-VMware Aria Automation דווחה באופן פרטי ל-VMware. יש תיקונים לנקודת החולשה הזו במוצרי VMware שמושפעים ממנה. מה לעשות?מומלץ לשדרג ל-VMware Aria Automation KB325790. |
חשוב |
GCP-2025-029
תאריך פרסום: 23 במאי 2025
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2025-0006 של VMware, דווחה ל-VMware נקודת חולשה של הסלמת הרשאות מקומית ב-VMware Aria Operations. יש תיקונים לנקודת החולשה הזו במוצרי VMware שמושפעים ממנה. מה לעשות?מומלץ לשדרג ל-VMware Aria Operations 8.18 HF5. |
חשוב |
GCP-2025-028
תאריך פרסום: 23 במאי 2025
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2025-0003 של VMware, התקבלו ב-VMware דיווחים פרטיים על כמה נקודות חולשה ב-VMware Aria Operations for logs וב-VMware Aria Operations. יש תיקונים לנקודת החולשה הזו במוצרי VMware שמושפעים ממנה. מה לעשות?אנחנו ממליצים לשדרג לגרסה 8.18.3 של VMware Aria Operations for Logs ולגרסה 8.18.3 של VMware Aria Operations. |
חשוב |
GCP-2025-027
תאריך פרסום: 16 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
לפני 26 באפריל 2025, זוהתה נקודת חולשה באבטחה בשירות הקלאסי של מאזן העומסים של אפליקציות (ALB). מה לעשות?לא נדרשת פעולה מצד הלקוחות. הבעיה נפתרה בשירות Classic Application Load Balancer ב-26 באפריל 2025. אילו נקודות חולשה טופלו?CVE-2025-4600: תוקפים יכלו להבריח בקשות למאזני עומסים קלאסיים של אפליקציות (ALB) בגלל ניתוח שגוי של גופי מקטעים גדולים מדי. כשמנתחים את גוף הבקשה של בקשת HTTP באמצעות קידוד העברה מקוטע, מאזן העומסים של אפליקציות (ALB) הקלאסי מאפשר גופי מקטעים גדולים מדי. לכן, אפשר היה להסתיר בייטים בנתונים הנגררים האלה, ששרת HTTP במעלה הזרם עלול לפרש בטעות כתו סיום שורה. ב-26 באפריל 2025 טיפלנו בנקודת החולשה הזו בשירות הקלאסי של מאזן העומסים של אפליקציות (ALB), באמצעות שיפור של לוגיקת הניתוח ואימות הקלט. אנחנו פה לשירותךבכל שאלה או בקשת עזרה, אפשר לפנות אל Cloud Customer Care. |
גבוהה | CVE-2025-4600 |
GCP-2025-026
תאריך פרסום: 15 במאי 2025
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2025-0008 של VMware, נקודת חולשה של פרצת אבטחה XSS (cross-site scripting) מבוססת-DOM ב-VMware Aria Automation דווחה באופן פרטי ל-VMware. יש תיקונים לנקודת החולשה הזו במוצרי VMware שמושפעים ממנה. מה לעשות?מומלץ לשדרג ל-VMware Aria Automation 8.18.1 תיקון 2. |
חשוב |
GCP-2025-025
תאריך פרסום: 13 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
Intel הודיעה ל-Google על נקודת חולשה חדשה בערוץ צדדי שמשפיעה על המעבדים הבאים של Intel: CascadeLake, Ice Lake XeonSP, Ice Lake XeonD, Sapphire Rapids ו-Emerald Rapids. Google יישמה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. בשלב הזה, לא נמצאו ראיות לניצול של נקודת החולשה ולא דווח על כך ל-Google. מה לעשות?לא נדרשת פעולה מצד הלקוחות. כדי להגן על הלקוחות, כבר יישמנו תיקונים ב-Fleet השרתים של Google. אילו נקודות חולשה טופלו?CVE-2024-45332. מידע נוסף זמין בהודעת הייעוץ של Intel INTEL-SA-01247. אנחנו פה לשירותךבכל שאלה או בקשת עזרה, אפשר לפנות לCloud Customer Care ולציין את מספר הנושא 417536835. |
גבוהה | CVE-2024-45332 |
GCP-2025-024
תאריך פרסום: 12 במאי 2025
תאריך עדכון: 13 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מהתאריך 13 במאי 2025: בכל שאלה או בקשת עזרה, אפשר לפנות אל Cloud Customer Care ולציין את מספר הנושא 417458390. Intel הודיעה ל-Google על נקודת חולשה חדשה בביצוע ספקולטיבי שמשפיעה על מעבדי Intel Cascade Lake ו-Intel Ice Lake. Google יישמה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. בשלב הזה, לא נמצאו ראיות לניצול ולא דווח על כך ל-Google. מה לעשות?לא נדרשת פעולה מצד הלקוחות. התיקונים כבר הוחלו על Fleet השרתים של Google. ברגע שיהיו זמינים, יופצו אמצעי הגנה נוספים מיצרני ציוד מקורי (OEM) של Intel ומשותפים אחרים של מערכות הפעלה, כדי לצמצם את הפגיעוּת של בחירת יעד עקיפה (ITS) באותו מצב. אחרי שהשבתת אותות האכיפה של מערכת ההפעלה תיושם, לקוחות עם מכונות וירטואליות מדור שלישי או חדש יותר שפועלות לאורך זמן עלולים לחוות ירידה לא מכוונת בביצועים. אילו נקודות חולשה טופלו?CVE-2024-28956. למידע נוסף, קראו את הודעת האבטחה של Intel INTEL-SA-01153. |
גבוהה | CVE-2024-28956 |
GCP-2025-023
תאריך פרסום: 5 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
גילינו וטיפלנו בפרצות אבטחה פוטנציאליות שאפשר לנצל אם לא מטפלים בהן בכללי המדיניות של JavaCallout ו-PythonScript. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Apigee. |
גבוהה | CVE-2023-44487 |
GCP-2025-022
תאריך פרסום: 1 במאי 2025
תאריך עדכון: 22 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 במאי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-21702 |
GCP-2025-021
תאריך פרסום: 29 באפריל 2025
תאריך עדכון: 2 ביוני 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-2 ביוני 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-21971 |
GCP-2025-020
תאריך פרסום: 29 באפריל 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודת חולשה ב-Looker אפשרה למשתמשים עם הרשאות אדמין (באופן ספציפי: נקודת החולשה הזו תוקנה בכל הגרסאות הנתמכות של Looker באירוח בצד הלקוח, שזמינות בדף ההורדה של Looker. מה לעשות?
|
גבוהה |
GCP-2025-019
תאריך פרסום: 25 באפריל 2025
תאריך עדכון: 26 ביוני 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-26 ביוני 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. עדכון מ-22 במאי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-21701 |
GCP-2025-018
תאריך פרסום: 23 באפריל 2025
תאריך עדכון: 9 באוקטובר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-9 באוקטובר 2025: נוספו גרסאות תיקונים לצומתי Ubuntu ב-GKE התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-40364 |
GCP-2025-017
תאריך פרסום: 17 באפריל 2025
תאריך עדכון: 22 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 במאי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-5 במאי 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-21756 |
GCP-2025-016
תאריך פרסום: 16 באפריל 2025
תאריך עדכון: 22 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 במאי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-29 באפריל 2025: נוספה גרסת תיקון לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-52927 |
GCP-2025-015
תאריך פרסום: 15 באפריל 2025
תאריך עדכון: 22 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 במאי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-17 באפריל 2025: נוספו גרסאות תיקונים ל-GDC (VMware). עדכון חומרת הבעיה ב-GDC (VMware) מ"בהמתנה" ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-21700 |
GCP-2025-014
תאריך פרסום: 10 באפריל 2025
תאריך עדכון: 22 במאי 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 במאי 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-5 במאי 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2025-21703 |
GCP-2025-013
תאריך פרסום: 24 במרץ 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
זוהו כמה בעיות אבטחה ב-NGINX Ingress Controller, הבעיות האלה משפיעות על להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
ללא | CVE-2025-1974 |
GCP-2025-012
תאריך פרסום: 19 במרץ 2025
תאריך עדכון: 10 באפריל 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 באפריל 2025: הוספנו גרסאות תיקונים לצומתי Ubuntu GKE ולתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-53164 |
GCP-2025-011
תאריך פרסום: 6 במרץ 2025
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חברת VMware חשפה כמה נקודות חולשה ב-VMSA-2025-0004 שמשפיעות על רכיבי ESXi שפרוסים בסביבות של לקוחות. ההשפעה על VMware Engineהעננים הפרטיים שלכם כבר תוקנו או שהם בתהליך עדכון כדי לטפל בפרצת האבטחה. כחלק משירות VMware Engine, כל הלקוחות מקבלים מארחים ייעודיים של Bare Metal עם דיסקים מקומיים שמחוברים אליהם, שמבודדים פיזית מחומרה אחרת. כלומר, נקודת החולשה מוגבלת למכונות וירטואליות אורחות בענן הפרטי הספציפי שלכם בלבד. העננים הפרטיים שלכם יעודכנו לגרסה 7.0u3s מספר Build 24534642. הגרסה הזו מקבילה ל-7.0U3s: מספר build 24585291. מה לעשות?צריך לפעול לפי ההוראות של Broadcom ושל ספקי האבטחה בנוגע לנקודת החולשה הזו. |
קריטית |
GCP-2025-010
תאריך פרסום: 5 במרץ 2025
תאריך עדכון: 2 ביוני 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-2 ביוני 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-10 באפריל 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-56770 |
GCP-2025-009
תאריך פרסום: 5 במרץ 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בפרויקט Envoy דיווחו לאחרונה על כמה נקודות חולשה חדשות באבטחה (CVE-2024-53269, CVE-2024-53270 ו-CVE-2024-53271) שעלולות לאפשר לתוקף לגרום לקריסת Envoy. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
GCP-2025-008
תאריך פרסום: 19 בפברואר 2025
תאריך עדכון: 10 באפריל 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 באפריל 2025: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. רמת החומרה של תוכנת GDC ל-VMware עודכנה ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-53141 |
GCP-2025-007
תאריך פרסום: 3 בפברואר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Google גילתה נקודת חולשה במעבדים שמבוססים על AMD Zen, שמשפיעה על Confidential VMs שמופעל בהן AMD SEV-SNP. נקודת החולשה הזו מאפשרת לתוקפים עם גישת בסיס במכונה פיזית לפגוע בסודיות ובתקינות של Confidential VMs. Google יישמה תיקונים בנכסים המושפעים, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. נכון לעכשיו, לא נמצאו ראיות לניצול נקודת החולשה ולא דווח על כך ל-Google. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. לקוחות שרוצים לאמת את התיקון יכולים לבדוק את הגרסה של Trusted Computing Base (TCB) בדוח האימות של המכונה הווירטואלית של Confidential VM עם AMD SEV-SNP. אלה הגרסאות המינימליות שכוללות תיקון לנקודת החולשה הזו: SNP TCB SVN: 0x18 0d24
tcb_version {
psp_bootloader_version: 4
snp_firmware_version: 24 (0x18)
microcode_version: 219
}למידע נוסף, קראו את עדכון האבטחה הדחוף של AMD AMD-SB-3019. |
גבוהה |
GCP-2025-006
תאריך פרסום: 23 בינואר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
פרצת אבטחה ב-Google Secret Manager Provider for Secret Store CSI Driver מאפשרת לתוקף עם הרשאות ליצירת Pod ו-Secret במרחב שמות, לחלץ את אסימון חשבון השירות של Kubernetes של מנהל ההתקן של ה-CSI על ידי טעינת נפח זדוני ב-Pod. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2025-005
תאריך פרסום: 22 בינואר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
שרתים שמשתמשים בספריות האימות של Google ובספריות הלקוח של Cloud כדי לבצע אימות ב- Google Cloud באמצעות קובץ תצורה של פרטי כניסה שנשלט על ידי תוקף, עלולים להיות חשופים לזיוף בקשות בצד השרת ולקריאת קבצים שרירותיים. מה לעשות?אם מאשרים הגדרה של פרטי כניסה (קובץ, סטרימינג או JSON של פרטי כניסה) ממקור חיצוני לאימות ב- Google Cloud, צריך לאמת אותה לפני שמספקים אותה לספריות האימות של Google או לספריות הלקוח ב-Cloud. אם תספקו לספריות של Google הגדרת פרטי כניסה שלא אומתה, אתם עלולים לפגוע באבטחה של המערכות והנתונים שלכם. מידע נוסף זמין במאמר אימות הגדרות של פרטי כניסה ממקורות חיצוניים. אילו נקודות חולשה טופלו?חלק מהסוגים של הגדרות פרטי הכניסה כוללים נקודות קצה ונתיבי קבצים, שבהם ספריות האימות משתמשות כדי לקבל אסימון. כששירות או אפליקציה מקבלים הגדרות של פרטי כניסה ממקור חיצוני ומשתמשים בהן עם ספריות אימות של Google או עם ספריות לקוח של Cloud בלי אימות, תוקף יכול לספק הגדרות של פרטי כניסה שמכילות נקודת קצה או נתיב זדוניים. כך התוקף יכול לחלץ נתונים או אסימונים מהשירות או מהמכונה שבה השירות פועל. כדי למנוע את זה, צריך לבצע אימותים של הגדרת פרטי הכניסה ממקור חיצוני, כמו שמתואר בקטע אימות הגדרות של פרטי כניסה ממקורות חיצוניים. כדי ליידע את מפתחי האפליקציות, עדכנו את המסמכים שלנו עם האימותים שצריך לבצע כשמקבלים הגדרות של פרטי כניסה שמתקבלות ממקורות חיצוניים.
|
גבוהה |
GCP-2025-004
תאריך פרסום: 16 בינואר 2025
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2025-0001 של VMware, נקודת חולשה של זיוף בקשות בצד השרת (SSRF) ב-VMware Aria Automation דווחה באופן אחראי ל-VMware. יש תיקונים לנקודת החולשה הזו במוצרי VMware שמושפעים ממנה. מה לעשות?מומלץ לשדרג ל-VMware Aria Automation 8.18.2 HF. |
בינוני |
GCP-2025-003
תאריך פרסום: 9 בינואר 2025
תאריך עדכון: 23 בינואר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-23 בינואר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-50264 |
GCP-2025-002
תאריך פרסום: 9 בינואר 2025
תאריך עדכון: 23 בינואר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-23 בינואר 2025: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-22 בינואר 2025: נוספו גרסאות תיקונים ל-GDC (VMware). רמת החומרה של GDC (VMware) עודכנה לבינונית. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-53057 |
GCP-2025-001
תאריך פרסום: 8 בינואר 2025
תאריך עדכון: 23 בינואר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-23 בינואר 2025: עדכנו את הקטע Affected resources בכרטיסייה GKE. עדכון מהתאריך 8 בינואר 2025: תיקנו את תאריך ההתחלה ושעת ההתחלה של הבעיה. בעיית אבטחה השפיעה על משאבים ב-VPC שבהם מוגדר שער מרובה אשכולות (MCG) של GKE. MCG היא תכונה אופציונלית שמשמשת קבוצה קטנה של לקוחות GKE. אנחנו מודיעים באופן פרטני ללקוחות שהתכונה הייתה מופעלת אצלם בתקופה הזו. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | ללא |
GCP-2024-065
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכוני ה-CVE הבאים חושפים את Cloud Service Mesh לנקודות חולשה שניתן לנצל:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה |
GCP-2024-064
תאריך פרסום: 10 בדצמבר 2024
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2024-0022 של VMware, התקבלו ב-VMware דיווחים על כמה נקודות חולשה ב-VMware Aria Operations. יש עדכונים שמתקנים את נקודות החולשה האלה במוצר VMware שמושפע מהן. מה לעשות?מומלץ לשדרג ל-VMware Aria Operations 8.18.2. |
חשוב |
GCP-2024-063
תאריך פרסום: 6 בדצמבר 2024
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה ב-Vertex AI API שמטפל בבקשות Gemini multimodal, שמאפשרת לעקוף את VPC Service Controls.
תוקף יכול לנצל לרעה את הפרמטר פעולות מומלצות לא צריך לעשות כלום. הטמענו תיקון כדי להחזיר הודעת שגיאה כשכתובת URL של קובץ מדיה מצוינת בפרמטר fileUri ו-VPC Service Controls מופעל. תרחישי שימוש אחרים לא מושפעים. אילו נקודות חולשה טופלו?
Cloud Support API שמטפל בבקשות של Gemini multimodal מאפשר לכלול קובצי מדיה על ידי ציון כתובת ה-URL של קובץ המדיה בפרמטר |
בינוני | CVE-2024-12236 |
GCP-2024-062
תאריך פרסום: 2 בדצמבר 2024
תאריך עדכון: 22 בינואר 2025
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 בינואר 2025: נוספו גרסאות תיקונים ל-GDC (VMware). עדכון חומרת הבעיה ב-GDC (VMware) מ"בהמתנה" ל"גבוהה". עדכון מ-12 בדצמבר 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-46800 |
GCP-2024-061
תאריך פרסום: 25 בנובמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בעיית אבטחה שהתגלתה באשכולות של Kubernetes עלולה לגרום להפעלה של קוד מרחוק באמצעות נפח אחסון של להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-10220 |
GCP-2024-060
תאריך פרסום: 17 באוקטובר 2024
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2024-0020 של VMware, התקבלו ב-VMware דיווחים על מספר נקודות חולשה ב-VMware NSX. גרסת NSX-T שפועלת בסביבת VMware Engine לא מושפעת מ-CVE-2024-38815, מ-CVE-2024-38818 או מ-CVE-2024-38817. מה לעשות?מאחר שהאשכולות של VMware Engine לא מושפעים מנקודת החולשה הזו, אין צורך לבצע פעולות נוספות. |
בינוני |
GCP-2024-059
תאריך פרסום: 16 באוקטובר 2024
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2024-0021 של VMware, נקודת חולשה של הזרקת SQL מאומתת ב-VMware HCX דווחה באופן פרטי ל-VMware. כדי לטפל בנקודת החולשה הזו, יישמנו את ההשבתה הזמנית של אותות האכיפה שאושרה על ידי VMware. התיקון הזה מטפל בנקודת חולשה באבטחה שמתוארת ב-CVE-2024-38814. גרסאות התמונה שפועלות בענן הפרטי של VMware Engine לא משקפות שינוי כלשהו בשלב זה כדי לציין את השינויים שיושמו. הותקנו אמצעי ההגנה המתאימים והסביבה שלכם מאובטחת מפני נקודת החולשה הזו. מה לעשות?מומלץ לשדרג לגרסה 4.9.2 של VMware HCX. |
גבוהה |
GCP-2024-058
תאריך פרסום: 16 באוקטובר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בגרסאות 1.1.0 עד 1.2.2 של Migrate to Containers for Windows נוצר מה לעשות?הגרסאות הבאות של Migrate to Containers CLI ל-Windows עודכנו עם קוד לתיקון נקודת החולשה הזו. מומלץ לשדרג ידנית את ה-CLI של Migrate to Containers לגרסה הבאה או לגרסה חדשה יותר:
אילו נקודות חולשה טופלו?נקודת החולשה, CVE-2024-9858, מאפשרת לתוקף לקבל גישת אדמין למכונות Windows שמושפעות מהבעיה, באמצעות משתמש האדמין המקומי שנוצר על ידי התוכנה Migrate to Containers. |
בינוני | CVE-2024-9858 |
GCP-2024-057
תאריך פרסום: 3 באוקטובר 2024
תאריך עדכון: 19 בנובמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-19 בנובמבר 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-15 באוקטובר 2024: נוספו גרסאות תיקונים ל-GDC (VMware). עדכנו את רמות החומרה של GKE ו-GDC (VMware). התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | CVE-2024-45016 |
GCP-2024-056
תאריך פרסום: 27 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
שרשרת של נקודות חולשה (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) שעלולה לגרום להרצת קוד מרחוק התגלתה במערכת ההדפסה CUPS, שמשמשת בחלק מההפצות של Linux. תוקף יכול לנצל את נקודת החולשה הזו אם שירותי CUPS מאזינים ליציאת UDP 631 והוא יכול להתחבר אליה. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
ללא |
GCP-2024-055
תאריך פרסום: 24 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
פרצת אבטחה מסוג HTTP Request Smuggling ב-Looker אפשרה לתוקף לא מורשה ליירט תגובות HTTP שיועדו למשתמשים לגיטימיים. יש שתי גרסאות של Looker שמתארחות ב-Looker:
נמצאו נקודות חולשה במופעי Looker שמתארחים בצד הלקוח, וצריך לשדרג אותם לאחת מהגרסאות שמפורטות בהמשך. נקודת החולשה הזו תוקנה בכל הגרסאות הנתמכות של Looker באירוח בצד הלקוח, שזמינות בדף ההורדה של Looker. מה לעשות?
אילו נקודות חולשה טופלו?נקודת החולשה, CVE-2024-8912, מאפשרת לתוקף לשלוח כותרות של בקשות HTTP שנוצרו במיוחד ל-Looker, וכתוצאה מכך יכול להיות שתתבצע חסימה של תגובות HTTP שמיועדות למשתמשים אחרים. התשובות האלה יכולות להכיל מידע רגיש. אפשר לנצל את נקודת החולשה הזו רק בהגדרות אישיות ספציפיות. |
בינוני | CVE-2024-8912 |
GCP-2024-054
תאריך פרסום: 23 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה בעיית אבטחה באשכולות של Kubernetes עם צמתים של Windows, שבה להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | CVE-2024-5321 |
GCP-2024-053
תאריך פרסום: 19 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
במהלך ניתוח של שדות לא מוכרים בספריות Protobuf Java Full ו-Lite, הודעה זדונית עלולה לגרום לשגיאת StackOverflow ולהוביל לקריסת התוכנית. פעולות מומלצות עבדנו קשה כדי לפתור את הבעיה, ופרסמנו פתרון שזמין עכשיו. מומלץ להשתמש בגרסאות העדכניות של חבילות התוכנה הבאות:
אילו נקודות חולשה טופלו במסגרת התיקון הזה? נקודת החולשה הזו היא התקפת מניעת שירות (DoS) פוטנציאלית. ניתוח של קבוצות בתצוגת עץ כשדות לא ידועים באמצעות DiscardUnknownFieldsParser או מנתח Java Protobuf Lite, או מול שדות מפה של Protobuf, יוצר רקורסיות בלתי מוגבלות שתוקף יכול לנצל לרעה. |
ציון CVSS4.0 8.7 גבוהה |
CVE-2024-7254 |
GCP-2024-052
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכוני ה-CVE הבאים חושפים את Cloud Service Mesh לנקודות חולשה שניתן לנצל:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
בינונית עד גבוהה |
GCP-2024-051
תאריך פרסום: 18 בספטמבר 2024
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חברת VMware חשפה כמה נקודות חולשה ב-VMSA-2024-0019 שמשפיעות על רכיבי vCenter שנפרסו בסביבות של לקוחות. ההשפעה על VMware Engine
מה לעשות?כרגע לא נדרשת פעולה נוספת. |
קריטית |
GCP-2024-050
תאריך פרסום: 4 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה (CVE-2024-38063) ב-Windows שמאפשרת הפעלת קוד מרחוק. תוקף יכול לנצל את נקודת החולשה הזו מרחוק על ידי שליחת חבילות IPv6 שנוצרו במיוחד למארח. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
ללא | CVE-2024-38063 |
GCP-2024-049
תאריך פרסום: 21 באוגוסט 2024
תאריך עדכון: 1 בנובמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-1 בנובמבר 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-21 באוקטובר 2024: נוספו גרסאות תיקונים ועודכנה רמת החומרה של GDC (VMware). התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-36978 |
GCP-2024-048
תאריך פרסום: 20 באוגוסט 2024
תאריך עדכון: 30 באוקטובר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-30 באוקטובר 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-25 באוקטובר 2024: נוספו גרסאות תיקונים ועודכנה רמת החומרה של GDC (VMware). התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-41009 |
GCP-2024-047
תאריך פרסום: 19 באוגוסט 2024
תאריך עדכון: 30 באוקטובר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-30 באוקטובר 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-21 באוקטובר 2024: נוספו גרסאות תיקונים ועודכנה רמת החומרה של GDC (VMware). התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-39503 |
GCP-2024-046
תאריך פרסום: 5 באוגוסט 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
AMD הודיעה ל-Google על 3 נקודות חולשה חדשות (2 בסיכון בינוני, 1 בסיכון גבוה) בקושחה שמשפיעות על SEV-SNP במעבדי AMD EPYC מדור 3 (Milan) ומדור 4 (Genoa). Google יישמה תיקונים בנכסים שהושפעו, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. בשלב הזה, לא נמצאו ראיות לניצול של נקודת החולשה ולא דווח על כך ל-Google. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. התיקונים כבר הוחלו על Fleet השרתים של Google. למידע נוסף, קראו את עדכון האבטחה הדחוף של AMD AMD-SN-3011. |
בינונית-גבוהה |
GCP-2024-045
תאריך פרסום: 17 ביולי 2024
תאריך עדכון: 19 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-19 בספטמבר 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. עדכון מ-21 באוגוסט 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26925 |
GCP-2024-044
תאריך פרסום: 16 ביולי 2024
תאריך עדכון: 30 באוקטובר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-30 באוקטובר 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-21 באוקטובר 2024: נוספו גרסאות תיקונים ועודכנה רמת החומרה של GDC (VMware). התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-36972 |
GCP-2024-043
תאריך פרסום: 16 ביולי 2024
תאריך עדכון: 2 באוקטובר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-2 באוקטובר 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-20 בספטמבר 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26921 |
GCP-2024-042
תאריך פרסום: 15 ביולי 2024
תאריך עדכון: 18 ביולי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-18 ביולי 2024: הבהרנו שאשכולות Autopilot בהגדרת ברירת המחדל לא מושפעים. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26809 |
GCP-2024-041
תאריך פרסום: 8 ביולי 2024
תאריך עדכון: 16 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-16 בספטמבר 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. עדכון מ-19 ביולי 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
GCP-2024-040
תאריך פרסום: 1 ביולי 2024
תאריך עדכון: 16 ביולי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכונים מתאריך 16 ביולי 2024: יכול להיות שחלק מהלקוחות של "חיבור לרשת (VPC) מאפליקציית serverless" מושפעים מנקודת חולשה ב-OpenSSH (CVE-2024-6387). אם הניצול מצליח, תוקף מרוחק לא מאומת יכול להריץ קוד שרירותי כמשתמש root במכונה הווירטואלית המטורגטת. ההערכה היא שקשה לנצל את הפרצה. לדוגמה, הלקוחות לא יכולים לגשת למכונות הווירטואליות, ולמכונות הווירטואליות אין כתובות IP ציבוריות. לא ידוע לנו על ניסיונות ניצול. פעולות מומלצות Google עדכנה באופן אוטומטי את הפריסות של "חיבור לרשת (VPC) מאפליקציית serverless" כשהיה אפשר. עם זאת, כדאי לוודא שלסוכן השירות שמנוהל על ידי Google יש את התפקיד הנדרש. אם לא, יכול להיות שהחיבור לרשת VPC של הגישה ל-VPC ללא שרת עדיין פגיע. כדי לוודא שהעדכון הנדרש עם התיקון מותקן, מומלץ לעבור לתעבורת נתונים יוצאת של Direct VPC או לפרוס מחבר חדש ולמחוק את המחבר הישן. עדכון מ-11 ביולי 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware, ל-GKE ב-AWS ול-GKE ב-Azure. לפרטים, קראו את העדכונים הבאים במאמרי העזרה של GKE: עדכון מתאריך 10 ביולי 2024:
עדכונים מתאריך 9 ביולי 2024: יכול להיות שחלק מהלקוחות של הסביבה הגמישה ב-App Engine מושפעים מנקודת חולשה ב-OpenSSH (CVE-2024-6387). אם הניצול מצליח, תוקף מרוחק לא מאומת יכול להריץ קוד שרירותי כמשתמש root במכונה הווירטואלית המטורגטת. פעולות מומלצות Google כבר עדכנה באופן אוטומטי את הפריסות בסביבה הגמישה, כשהדבר היה אפשרי. עם זאת, לקוחות שהשביתו את סוכן השירות שמנוהל על ידי Google או ביצעו שינויים בממשקי ה-API של Google Cloud או בהגדרות ברירת מחדל אחרות, לא עודכנו ויכול להיות שהם עדיין חשופים לפגיעות. צריך לפרוס גרסה חדשה של האפליקציה כדי להחיל את העדכון עם התיקון. חשוב לדעת: פריסות מעודכנות ידווחו על גרסת SSH אילו נקודות חולשה טופלו? נקודת החולשה CVE-2024-6387, שמאפשרת לתוקף מרוחק ולא מאומת להריץ קוד שרירותי כ-root במכונה המטורגטת. עדכונים מתאריך 8 ביולי 2024: אשכולות של Managed Service for Apache Spark ב-Google Compute Engine שפועלים בגרסת תמונה 2.2 (כל מערכות ההפעלה) ו-2.1 (Debian בלבד) מושפעים מנקודת חולשה ב-OpenSSH (CVE-2024-6387). אם תוקף מרוחק לא מאומת ינצל את נקודת החולשה הזו, הוא יוכל להריץ קוד שרירותי כמשתמש root במכונה המטורגטת. הבעיה לא משפיעה על גרסאות 2.0 ו-1.5 של קובצי אימג' של Managed Service for Apache Spark ב-Google Compute Engine, וגם לא על גרסה 2.1 של קובצי אימג' של Managed Service for Apache Spark שלא פועלים ב-Debian. אשכולות של Managed Service for Apache Spark שמופעל בהם אימות אישי לא מושפעים. גם Managed Service for Apache Spark Serverless לא מושפע. פעולות מומלצות צריך לעדכן את אשכולות Managed Service for Apache Spark ב-Google Compute Engine לאחת מהגרסאות הבאות:
אם אתם לא יכולים לעדכן את אשכולות Managed Service for Apache Spark לאחת מהגרסאות שלמעלה, מומלץ להשתמש בפעולת האתחול שזמינה במיקום הזה:
כאן מוסבר איך מציינים פעולות אתחול ב-Managed Service for Apache Spark. חשוב לזכור שצריך להריץ את פעולת האיניציאליזציה בכל צומת (מאסטרים ו-workers) באשכולות קיימים. עדכונים מתאריך 3 ביולי 2024:
עדכונים מתאריך 2 ביולי 2024:
לאחרונה התגלתה ב-OpenSSH נקודת חולשה שמאפשרת הרצת קוד מרחוק, CVE-2024-6387. נקודת החולשה מנצלת מרוץ תהליכים שמאפשר לקבל גישה למעטפת מרוחקת, וכך התוקפים יכולים לקבל גישה להרשאות root. בזמן הפרסום, נראה שקשה לנצל את הפרצה ונדרשות כמה שעות לכל מכונה שמותקפת. לא ידוע לנו על ניסיונות ניצול. להוראות ולפרטים נוספים, קראו את העדכונים הבאים:
|
קריטית | CVE-2024-6387 |
GCP-2024-039
תאריך פרסום: 28 ביוני 2024
תאריך עדכון: 25 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 בספטמבר 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. עדכון מ-20 באוגוסט 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26923 |
GCP-2024-038
תאריך פרסום: 26 ביוני 2024
תאריך עדכון: 17 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-17 בספטמבר 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. עדכון מ-6 באוגוסט 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26924 |
GCP-2024-037
תאריך פרסום: 18 ביוני 2024
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חברת VMware חשפה כמה נקודות חולשה ב-VMSA-2024-0012 שמשפיעות על רכיבי vCenter שנפרסו בסביבות של לקוחות. ההשפעה על Google Cloud VMware Engine
מה לעשות?כרגע לא נדרשת פעולה נוספת. |
קריטית |
GCP-2024-036
תאריך פרסום: 18 ביוני 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26584 |
GCP-2024-035
תאריך פרסום: 12 ביוני 2024
תאריך עדכון: 18 ביולי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-18 ביולי 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE, ונוספה גרסת תיקון לגרסה 1.27 במאגרי צמתים של מערכת הפעלה שמותאמת לקונטיינרים. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26584 |
GCP-2024-034
תאריך פרסום: 11 ביוני 2024
תאריך עדכון: 10 ביולי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 ביולי 2024: נוספו גרסאות תיקון לצמתים של מערכת הפעלה שמותאמת לקונטיינרים שפועלות בהם גרסאות משניות 1.26 ו-1.27, ונוספו גרסאות תיקון לצמתים של Ubuntu. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26583 |
GCP-2024-033
תאריך פרסום: 10 ביוני 2024
תאריך עדכון: 26 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-26 בספטמבר 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2022-23222 |
GCP-2024-032
תאריך פרסום: 4 ביוני 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכוני ה-CVE הבאים חושפים את Cloud Service Mesh לנקודות חולשה שניתן לנצל:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה |
GCP-2024-031
תאריך פרסום: 24 במאי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה (CVE-2024-4323) ב-Fluent Bit שעלולה לגרום להרצת קוד מרחוק. הגרסאות המושפעות של Fluent Bit הן 2.0.7 עד 3.0.3. GKE, GKE ב-VMware, GKE ב-AWS, GKE ב-Azure ו-GKE בשרת פיזי לא משתמשים בגרסה פגיעה של Fluent Bit ולא מושפעים. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
ללא | CVE-2024-4323 |
GCP-2024-030
תאריך פרסום: 15 במאי 2024
תאריך עדכון: 18 ביולי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-18 ביולי 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-52620 |
GCP-2024-029
תאריך פרסום: 14 במאי 2024
תאריך עדכון: 19 באוגוסט 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-19 באוגוסט 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26642 |
GCP-2024-028
תאריך פרסום: 13 במאי 2024
תאריך עדכון: 22 במאי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 במאי 2024: נוספו גרסאות תיקונים ל-Ubuntu. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26581 |
GCP-2024-027
תאריך פרסום: 8 במאי 2024
תאריך עדכון: 25 בספטמבר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 בספטמבר 2024: נוספו גרסאות תיקונים לתוכנת GDC ל-VMware. עדכון מ-15 במאי 2024: נוספו גרסאות תיקונים למאגרי צמתים של GKE Ubuntu. עדכון מ-9 במאי 2024: רמת החומרה תוקנה מבינונית לגבוהה, והובהר שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26808 |
GCP-2024-026
תאריך פרסום: 7 במאי 2024
תאריך עדכון: 6 באוגוסט 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-6 באוגוסט 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מהתאריך 09.05.2024: רמת החומרה תוקנה מ"בינונית" ל"גבוהה". התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26643 |
GCP-2024-025
תאריך פרסום: 26 באפריל 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Looker תוקנו נקודות חולשה שדווחו על ידי חוקר חיצוני דרך תוכנית התגמולים על זיהוי נקודות חולשה באבטחה (VRP) של Google ו-Alphabet, אבל לא נמצאו ראיות לניצול לרעה. הבעיות האלה נפתרו, ולקוחות Looker (Google Cloud core) ו-Looker (original) שמתארחים ב-Looker לא צריכים לעשות שום דבר. מומלץ לעדכן מכונות Looker באירוח עצמי לגרסה הנתמכת העדכנית ביותר. פעולות מומלצות מכונות באירוח של Looker: מכונות של Looker (Google Cloud core) ושל Looker (original) לא נדרשת פעולה מצד הלקוחות. רק במכונות Looker באירוח עצמי אם אתם מארחים בעצמכם את המכונה של Looker, אנחנו ממליצים לשדרג את המכונות של Looker לאחת מהגרסאות הבאות:
איך הבעיה תוקנה? Google השביתה את הגישה הישירה של האדמין למסד הנתונים הפנימי מאפליקציית Looker, הסירה את ההרשאות המורחבות שאפשרו גישה בין דיירים והחליפה את הסודות שנחשפו. בנוסף, תיקנו נקודות חולשה שקשורות למעבר בין נתיבים, שעלולות לחשוף את פרטי הכניסה לחשבון השירות. אנחנו גם עורכים בדיקה יסודית של הקוד והמערכות שלנו כדי לזהות ולטפל בנקודות חולשה דומות. |
קריטית |
GCP-2024-024
תאריך פרסום: 25 באפריל 2024
תאריך עדכון: 18 ביולי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-18 ביולי 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-26585 |
GCP-2024-023
תאריך פרסום: 24 באפריל 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכוני ה-CVE הבאים חושפים את Cloud Service Mesh לנקודות חולשה שניתן לנצל:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה |
GCP-2024-022
תאריך פרסום: 3 באפריל 2024
תאריך עדכון: 17 ביולי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-17 ביולי 2024: נוספו גרסאות תיקונים ל-GKE ב-VMware. עדכון מ-9 ביולי 2024: נוספו גרסאות תיקונים ל-GKE בשרת פיזי. עדכון מ-24 באפריל 2024: נוספו גרסאות תיקונים ל-GKE. לאחרונה התגלתה נקודת חולשה של התקפת מניעת שירות (DoS) (CVE-2023-45288) בכמה הטמעות של פרוטוקול HTTP/2, כולל שרת ה-HTTP של golang שמשמש את Kubernetes. נקודת החולשה עלולה להוביל למתקפת מניעת שירות (DoS) במישור הבקרה של Google Kubernetes Engine (GKE). להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-45288 |
GCP-2024-021
תאריך פרסום: 3 באפריל 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Compute Engine לא מושפע מ-CVE-2024-3094, שמשפיע על גרסאות 5.6.0 ו-5.6.1 של חבילת xz-utils בספריית liblzma, ועלול להוביל לפגיעה בכלי OpenSSH. לפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine. |
בינוני | CVE-2024-3094 |
GCP-2024-020
תאריך פרסום: 2 באפריל 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חוקרים גילו נקודת חולשה (CVE-2023-48022) ב-Ray. Ray הוא כלי בקוד פתוח של צד שלישי לעומסי עבודה של AI. מכיוון ש-Ray לא דורש אימות, גורמים זדוניים יכולים להשיג הרצת קוד מרחוק על ידי שליחת משימות למכונות שחשופות לציבור. חברת Anyscale, המפתחת של Ray, ערערה על קיומה של נקודת החולשה. ב-Ray טוענים שהפונקציות האלה הן תכונות ליבה מכוונות של המוצר, ושהאבטחה צריכה להיות מיושמת מחוץ לאשכול Ray, כי כל חשיפה לא מכוונת של אשכול Ray ברשת עלולה להוביל לפריצה. לפי התשובה, ה-CVE הזה שנוי במחלוקת ויכול להיות שהוא לא יופיע בסורקים לבדיקת נקודות חולשה. בכל מקרה, הפרצה מנוצלת באופן פעיל, ועל המשתמשים להגדיר את השימוש שלהם כפי שמוצע בהמשך. פעולות מומלצות כדי לאבטח את עומסי העבודה ב-Ray, חשוב לפעול לפי השיטות המומלצות וההנחיות של Ray, כולל הרצת קוד מהימן ברשתות מהימנות. פריסת ray.io במכונות בענן של הלקוח היא חלק ממודל האחריות המשותפת. בבלוג של צוות האבטחה של Google Kubernetes Engine (GKE) מוסבר איך להקשיח את Ray ב-GKE. במשאבי העזרה בנושא שרת proxy לאימות זהויות (IAP) מוסבר איך מוסיפים אימות והרשאה לשירותי Ray. משתמשי GKE יכולים להטמיע את IAP לפי ההנחיות האלה או באמצעות שימוש חוזר במודולים של Terraform שמקושרים בבלוג. |
גבוהה | CVE-2023-48022 |
GCP-2024-018
תאריך פרסום: 12 במרץ 2024
תאריך עדכון: 4 באפריל 2024, 6 במאי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-6 במאי 2024: נוספו גרסאות תיקונים למאגרי צמתים של Ubuntu ב-GKE. עדכון מ-4 באפריל 2024: תיקנו את הגרסאות המינימליות למאגרי צמתים של מערכת הפעלה שמותאמת לקונטיינרים ב-GKE. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-1085 |
GCP-2024-017
תאריך פרסום: 6 במרץ 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3611 |
GCP-2024-016
תאריך פרסום: 5 במרץ 2024
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
VMware חשפה כמה נקודות חולשה ב-VMSA-2024-0006 שמשפיעות על רכיבי ESXi שנפרסו בסביבות של לקוחות. ההשפעה על Google Cloud VMware Engineהעננים הפרטיים שלכם עודכנו כדי לטפל בפרצת האבטחה. מה לעשות?אתם לא צריכים לעשות שום דבר. |
קריטית |
GCP-2024-014
תאריך פרסום: 26 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3776 |
GCP-2024-013
תאריך פרסום: 27 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3610 |
GCP-2024-012
תאריך פרסום: 20 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-0193 |
GCP-2024-011
תאריך פרסום: 15 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-6932 |
GCP-2024-010
תאריך פרסום: 14 בפברואר 2024
תאריך עדכון: 17 באפריל 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-17 באפריל 2024: נוספו גרסאות תיקונים ל-GKE ב-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-6931 |
GCP-2024-009
תאריך פרסום: 13 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-13 בפברואר 2024, AMD חשפה שתי נקודות חולשה שמשפיעות על SEV-SNP במעבדי EPYC שמבוססים על ליבות Zen מדור שלישי (Milan) ומדור רביעי (Genoa). נקודות החולשה מאפשרות לתוקפים עם הרשאות לגשת לנתונים ישנים של אורחים או לפגוע בתקינות של האורחים. Google יישמה תיקונים בנכסים שהושפעו, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. נכון לעכשיו, לא נמצאו ראיות לניצול נקודת החולשה ולא דווח על כך ל-Google. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. התיקונים כבר הוחלו על Fleet השרתים של Google ב- Google Cloud, כולל Compute Engine. למידע נוסף, קראו את עדכון האבטחה הדחוף של AMD AMD-SN-3007. |
בינוני |
GCP-2024-008
תאריך פרסום: 12 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
CVE-2023-5528 מאפשרת לתוקף ליצור פודים ונפחי אחסון קבועים בצמתים של Windows באופן שמאפשר הסלמת הרשאות אדמין בצמתים האלה. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-5528 |
GCP-2024-007
תאריך פרסום: 8 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכוני ה-CVE הבאים חושפים את Cloud Service Mesh לנקודות חולשה שניתן לנצל:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה |
GCP-2024-006
תאריך פרסום: 5 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
כששרת proxy לניהול API ב-Apigee מתחבר לנקודת קצה (endpoint) של יעד או ל שרת יעד, כברירת מחדל שרת ה-proxy לא מבצע אימות של שם המארח לאישור שמוצג על ידי נקודת הקצה של היעד או שרת היעד. אם אימות שם המארח לא מופעל באמצעות אחת מהאפשרויות הבאות, יכול להיות ששרתי proxy של Apigee שמתחברים לנקודת קצה או לשרת יעד יהיו בסיכון להתקפת אדם באמצע (MITM) על ידי משתמש מורשה. מידע נוסף זמין במאמר הגדרת TLS מ-Edge לקצה העורפי (Cloud ו-ענן פרטי). הפריסות של שרתי proxy של Apigee בפלטפורמות הבאות של Apigee מושפעות:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Apigee. |
גבוהה |
GCP-2024-005
תאריך פרסום: 31 בינואר 2024
תאריך עדכון: 2 באפריל 2024, 6 במאי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-6 במאי 2024: נוספו גרסאות תיקונים ל-GKE ב-AWS ול-GKE ב-Azure. עדכון מ-2 באפריל 2024: נוספו גרסאות תיקונים ל-GKE בשרת פיזי. עדכון מ-6 במרץ 2024: נוספו גרסאות תיקונים ל-GKE on VMware. עדכון מ-28 בפברואר 2024: נוספו גרסאות תיקונים ל-Ubuntu עדכון מ-15 בפברואר 2024: הבהרה שגרסאות התיקונים 1.25 ו-1.26 של Ubuntu בעדכון מ-14 בפברואר 2024 עלולות לגרום לצמתים לא תקינים. עדכון מ-14 בפברואר 2024: נוספו גרסאות תיקון ל-Ubuntu עדכון מ-6 בפברואר 2024: נוספו גרסאות תיקונים למערכת הפעלה שמותאמת לקונטיינרים. נקודת חולשה באבטחה, CVE-2024-21626, התגלתה ב- להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2024-21626 |
GCP-2024-004
תאריך פרסום: 24 בינואר 2024
תאריך עדכון: 7 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-7 בפברואר 2024: נוספו גרסאות תיקונים ל-Ubuntu. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-6817 |
GCP-2024-003
תאריך פרסום: 19 בינואר 2024
תאריך עדכון: 26 בינואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-26 בינואר 2024: הבהרנו את מספר האשכולות שהושפעו ואת הפעולות שביצענו כדי לצמצם את ההשפעה. פרטים נוספים זמינים בעדכון האבטחה הדחוף GCP-2024-003. זיהינו כמה אשכולות שבהם משתמשים העניקו הרשאות Kubernetes לקבוצה להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2024-002
תאריך פרסום: 17 בינואר 2024
תאריך עדכון: 20 בפברואר 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-20 בפברואר 2024: נוספו גרסאות תיקונים ל-GKE ב-VMware. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-6111 |
GCP-2024-001
תאריך פרסום: 9 בינואר 2024תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו כמה נקודות חולשה בקושחה TianoCore EDK II UEFI. הקושחה הזו משמשת במכונות וירטואליות של Google Compute Engine. ניצול של נקודות החולשה האלה עלול לאפשר עקיפה של האתחול המאובטח, וכתוצאה מכך לספק מדידות שגויות בתהליך האתחול המאובטח, כולל כשמשתמשים במכונות וירטואליות מוגנות. מה לעשות?לא נדרשת שום פעולה. Google תיקנה את נקודת החולשה הזו ב-Compute Engine, וכל המכונות הווירטואליות מוגנות מפניה. אילו נקודות חולשה טופלו במסגרת התיקון הזה?התיקון טיפל בנקודות החולשה הבאות:
|
בינוני |
GCP-2023-051
תאריך פרסום: 28 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3609 |
GCP-2023-050
תאריך פרסום: 27 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3389 |
GCP-2023-049
תאריך פרסום: 20 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3090 |
GCP-2023-048
תאריך פרסום: 15 בדצמבר 2023
תאריך עדכון: 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3390 |
GCP-2023-047
תאריך פרסום: 14 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
תוקף שפרץ למאגר הרישום ביומן של Fluent Bit יכול לשלב את הגישה הזו עם הרשאות גבוהות שנדרשות ל-Cloud Service Mesh (באשכולות שבהם הוא מופעל) כדי להסלים את ההרשאות באשכול. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2023-046
תאריך פרסום: 22 בנובמבר 2023
תאריך עדכון: 4 במרץ 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-4 במרץ 2024: נוספו גרסאות של GKE ל-GKE ב-VMware. עדכון מ-22 בינואר 2024: נוספו גרסאות תיקונים של Ubuntu התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-5717 |
GCP-2023-045
תאריך פרסום: 20 בנובמבר 2023
תאריך עדכון: 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-5197 |
GCP-2023-044
תאריך פרסום: 15 בנובמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-14 בנובמבר, AMD חשפה כמה נקודות חולשה שמשפיעות על מעבדי שרתים שונים של AMD. באופן ספציפי, נקודות החולשה משפיעות על מעבדי EPYC Server שמשתמשים בליבות Zen מדור 2 (Rome), דור 3 (Milan) ודור 4 (Genoa). Google תיקנה את הנכסים שהושפעו, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. נכון לעכשיו, לא נמצאו ראיות לניצול של נקודת החולשה ולא דווח על כך ל-Google. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. התיקונים כבר הוחלו על Fleet השרתים של Google ב-Google Cloud, כולל Google Compute Engine. אילו נקודות חולשה טופלו? התיקון טיפל בנקודות החולשה הבאות:
למידע נוסף, קראו את הודעת האבטחה של AMD AMD-SN-3005: "AMD INVD Instruction Security Notice", שפורסמה גם בתור CacheWarp, ואת AMD-SN-3002: "AMD Server Vulnerabilities – November 2023". |
בינוני |
GCP-2023-043
תאריך פרסום: 14 בנובמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
חברת Intel דיווחה על נקודת חולשה במעבדים (CPU) נבחרים. Google פעלה כדי לצמצם את הסיכון ל-Fleet השרתים שלה, כולל Google Compute Engine ל- Google Cloud, ולמכשירי Chrome OS, כדי להבטיח שהלקוחות מוגנים. פרטי נקודת החולשה:
פעולות מומלצות לא נדרשת פעולה מצד הלקוחות. השבתת אותות האכיפה ש-Intel סיפקה למעבדים המושפעים הוחלה על צי השרתים של Google, כולל Google Compute Engine ל- Google Cloud. בשלב הזה, ל-Google Distributed Cloud Edge נדרש עדכון מה-OEM. כשהעדכון יהיה זמין, Google תתקן את השגיאות במוצר הזה והדף הזה יעודכן בהתאם. מכשירי ChromeOS עם המעבדים המושפעים קיבלו את התיקון באופן אוטומטי כחלק מהגרסאות 119, 118 ו-114 (LTS). אילו נקודות חולשה טופלו? CVE-2023-23583. פרטים נוספים זמינים בהודעת האבטחה של Intel INTEL-SA-00950. |
גבוהה | CVE-2023-23583 |
GCP-2023-042
תאריך פרסום: 13 בנובמבר 2023
תאריך עדכון: 15 בנובמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-15 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-4147 |
GCP-2023-041
תאריך פרסום: 8 בנובמבר 2023
תאריך עדכון: 21 בנובמבר 2023, 5 בדצמבר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-5 בדצמבר 2023: נוספו גרסאות GKE למאגרי צמתים של מערכת הפעלה שמותאמת לקונטיינרים. עדכון מ-21 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-4004 |
GCP-2023-040
תאריך פרסום: 6 בנובמבר 2023
תאריך עדכון: 21 בנובמבר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-21 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-4921 |
GCP-2023-039
תאריך פרסום: 6 בנובמבר 2023
תאריך עדכון: 21 בנובמבר 2023, 16 בנובמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. עדכון מ-16 בנובמבר 2023: נקודת החולשה שמשויכת לעדכון האבטחה הדחוף הזה היא CVE-2023-4622. בגרסה קודמת של עדכון האבטחה הדחוף, CVE-2023-4623 צוינה בטעות כנקודת החולשה. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-4622 |
GCP-2023-038
תאריך פרסום: 6 בנובמבר 2023
תאריך עדכון: 21 בנובמבר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-21 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-4623 |
GCP-2023-037
תאריך פרסום: 6 בנובמבר 2023
תאריך עדכון: 21 בנובמבר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-21 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-4015 |
GCP-2023-036
תאריך פרסום: 30 באוקטובר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
תמונות VM של למידה עמוקה (Deep Learning) הן קבוצה של תמונות של מכונות וירטואליות ארוזות מראש עם מסגרת למידה עמוקה, שמוכנות להפעלה מיידית. לאחרונה התגלתה נקודת חולשה של כתיבה מחוץ לגבולות בפונקציה ReadHuffmanCodes() בספרייה libwebp. יכול להיות שהפעולה הזו תשפיע על תמונות שמשתמשות בספרייה הזו. Google Cloud סורקת באופן רציף את קובצי האימג' שפורסמו באופן ציבורי ומעדכנת את החבילות כדי לוודא שההפצות המתוקנות נכללות בגרסאות העדכניות ביותר שזמינות ללקוחות. תמונות VM של למידה עמוקה (Deep Learning) עודכנו כדי לוודא שתמונות ה-VM העדכניות כוללות את ההפצות המתוקנות. לקוחות שמשתמשים בתמונות העדכניות של המכונות הווירטואליות לא חשופים לנקודת החולשה הזו. פעולות מומלצות לקוחות שלGoogle Cloud שמשתמשים בתמונות של מכונות וירטואליות שפורסמו צריכים לוודא שהם משתמשים בתמונות העדכניות ביותר ושהסביבות שלהם מעודכנות בהתאם למודל האחריות המשותפת. תוקף יכול לנצל את CVE-2023-4863 כדי להריץ קוד שרירותי. נקודת החולשה הזו זוהתה ב-Google Chrome בגרסאות שקדמו ל-116.0.5845.187 וב-libwebp בגרסאות שקדמו ל-1.3.2, והיא מופיעה ברשימה תחת CVE-2023-4863. |
גבוהה | CVE-2023-4863 |
GCP-2023-035
תאריך פרסום: 26 באוקטובר 2023
תאריך עדכון: 21 בנובמבר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-21 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128 |
GCP-2023-034
תאריך פרסום: 25 באוקטובר 2023
תאריך עדכון: 27 באוקטובר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
VMware חשפה כמה נקודות חולשה ב-VMSA-2023-0023 שמשפיעות על רכיבי vCenter שנפרסו בסביבות של לקוחות. ההשפעה על Cloud Customer Care
מה לעשות?לא נדרשת פעולה נוספת בשלב הזה |
קריטית | CVE-2023-34048,CVE-2023-34056 |
GCP-2023-033
תאריך פרסום: 24 באוקטובר 2023
תאריך עדכון: 21 בנובמבר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל ועומסי עבודה של GKE Sandbox לא מושפעים. עדכון מ-21 בנובמבר 2023: הבהרה שרק הגרסאות המשניות שרשומות צריכות לשדרג לגרסה המתאימה של GKE עם התיקון. התגלו נקודות החולשה הבאות בליבה (kernel) של Linux, שעלולות להוביל להסלמת הרשאות (privilege escalation) בצמתים של מערכת הפעלה שמותאמת לקונטיינרים ושל Ubuntu.
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3777 |
GCP-2023-032
תאריך פרסום: 13 באוקטובר 2023
תאריך עדכון: 3 בנובמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מהתאריך 3 בנובמבר 2023: הוספנו בעיה ידועה ב-Apigee Edge for Private Cloud. לאחרונה התגלתה נקודת חולשה של התקפת מניעת שירות (DoS) בכמה הטמעות של פרוטוקול HTTP/2 (CVE-2023-44487), כולל בשירות Apigee Ingress (Cloud Service Mesh) שמשמש את Apigee X ואת Apigee Hybrid. הפרצה עלולה להוביל למניעת שירות (DoS) של פונקציונליות ניהול ה-API ב-Apigee. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Apigee. |
גבוהה | CVE-2023-44487 |
GCP-2023-031
תאריך פרסום: 10 באוקטובר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התקפת מניעת שירות יכולה להשפיע על מישור הנתונים כשמשתמשים בפרוטוקול HTTP/2. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה | CVE-2023-44487 |
GCP-2023-030
תאריך פרסום: 10 באוקטובר 2023
תאריך עדכון: 20 במרץ 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-20 במרץ 2024: נוספו גרסאות תיקונים ל-GKE ב-AWS ול-GKE ב-Azure עם התיקונים האחרונים ל-CVE-2023-44487. עדכון מ-14 בפברואר 2024: נוספו גרסאות תיקונים ל-GKE ב-VMware. עדכון מ-9 בנובמבר 2023: נוסף CVE-2023-39325. גרסאות GKE מעודכנות עם התיקונים האחרונים ל-CVE-2023-44487 ול-CVE-2023-39325. לאחרונה התגלתה נקודת חולשה של התקפת מניעת שירות (DoS) בכמה הטמעות של פרוטוקול HTTP/2 (CVE-2023-44487), כולל שרת ה-HTTP של golang שמשמש את Kubernetes. נקודת החולשה עלולה להוביל למתקפת מניעת שירות (DoS) במישור הבקרה של Google Kubernetes Engine (GKE). אשכולות GKE עם רשתות מורשות מוגדרות מוגנים על ידי הגבלת הגישה לרשת, אבל כל שאר האשכולות מושפעים. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-44487, CVE-2023-39325 |
GCP-2023-029
תאריך פרסום: 3 באוקטובר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
TorchServe משמש לאירוח מודלים של למידת מכונה ב-PyTorch לחיזוי אונליין. ב-Vertex AI יש קונטיינרים מובנים להצגת מודלים של PyTorch שתלויים ב-TorchServe. לאחרונה התגלו נקודות חולשה ב-TorchServe שמאפשרות לתוקפים להשתלט על פריסה של TorchServe אם ה-Management API לניהול המודלים שלו חשוף. לקוחות עם מודלים של PyTorch שנפרסו לחיזוי אונליין ב-Vertex AI לא מושפעים מנקודות החולשה האלה, כי Vertex AI לא חושף את ה-API לניהול מודלים של TorchServe. לקוחות שמשתמשים ב-TorchServe מחוץ ל-Vertex AI צריכים לנקוט אמצעי זהירות כדי לוודא שהפריסות שלהם מוגדרות בצורה מאובטחת. פעולות מומלצות לקוחות Vertex AI שפרסו מודלים באמצעות מאגרי ה-serving המובנים של PyTorch ב-Vertex AI לא צריכים לעשות שום דבר כדי לטפל בנקודות החולשה, כי הפריסות של Vertex AI לא חושפות את שרת הניהול של TorchServe לאינטרנט. לקוחות שמשתמשים בקונטיינרים המוגדרים מראש של PyTorch בהקשרים אחרים, או שמשתמשים בהפצה של TorchServe בהתאמה אישית או של צד שלישי, צריכים לבצע את הפעולות הבאות:
אילו נקודות חולשה טופלו? Management API של TorchServe מקושר כברירת מחדל ל- CVE-2023-43654 ו-CVE-2022-1471 מאפשרים למשתמש עם גישה ל-Management API לטעון מודלים ממקורות שרירותיים ולהריץ קוד מרחוק. השבתות זמניות של אותות אכיפה לשתי הבעיות האלה כלולות ב-TorchServe 0.8.2: הנתיב להרצת קוד מרחוק הוסר, ומוצגת אזהרה אם נעשה שימוש בערך ברירת המחדל של |
גבוהה | CVE-2023-43654, CVE-2022-1471 |
GCP-2023-028
תאריך פרסום: 19 בספטמבר 2023
תאריך עדכון: 29 במאי 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
| עדכון מהתאריך 29 במאי 2024: הפידים החדשים לא משתמשים יותר בחשבון השירות המשותף, אבל הוא נשאר פעיל בפידים הקיימים כדי למנוע שיבושים בשירות. שינויים במקור בפידים ישנים יותר חסומים כדי למנוע שימוש לרעה בחשבון השירות המשותף. הלקוחות יכולים להמשיך להשתמש בפידים הישנים שלהם כרגיל, כל עוד הם לא משנים את המקור.
הלקוחות יכולים להגדיר את Google Security Operations כך שיקלוט נתונים מקטגוריות של Cloud Storage שבבעלות הלקוח באמצעות פיד הטמעה. עד לא מזמן, Google Security Operations סיפקה חשבון שירות משותף שהלקוחות השתמשו בו כדי לתת הרשאה לקטגוריה. הייתה אפשרות להגדיר את המכונה של Google Security Operations של לקוח אחד כך שתקלוט נתונים מקטגוריה של Cloud Storage של לקוח אחר. אחרי שביצענו ניתוח השפעה, לא מצאנו ניצול נוכחי או קודם של נקודת החולשה הזו. נקודת החולשה הייתה קיימת בכל הגרסאות של Google Security Operations לפני 19 בספטמבר 2023. פעולות מומלצות ב-19 בספטמבר 2023, Google Security Operations עודכן כדי לטפל בנקודת החולשה הזו. לא נדרשת פעולה מצד הלקוחות. אילו נקודות חולשה טופלו? בעבר, Google Security Operations סיפקה חשבון שירות משותף שבאמצעותו הלקוחות נתנו הרשאה לקטגוריה. בגלל שלקוחות שונים נתנו לאותו חשבון שירות של Google Security Operations הרשאה לקטגוריה שלהם, היה וקטור ניצול שאפשר לפיד של לקוח אחד לגשת לקטגוריה של לקוח אחר כשהפיד נוצר או שונה. כדי לנצל את הווקטור הזה, נדרש ידע על ה-URI של הקטגוריה. עכשיו, כשיוצרים או משנים פיד, מערכת Google Security Operations משתמשת בחשבונות שירות ייחודיים לכל לקוח. |
גבוהה |
GCP-2023-027
תאריך פרסום: 11 בספטמבר 2023| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכונים של VMware vCenter Server מטפלים במספר נקודות חולשה של השחתת זיכרון (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896) ההשפעה על שירות לקוחותVMware vCenter Server (vCenter Server) ו-VMware Cloud Foundation (Cloud Foundation). מה לעשות?הלקוחות לא מושפעים ואין צורך לבצע פעולה כלשהי. |
בינוני |
GCP-2023-026
תאריך פרסום: 6 בספטמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
שלוש נקודות חולשה התגלו ב-Kubernetes (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893). יכול להיות שמשתמש שיכול ליצור קבוצת Pod בצמתים של Windows יוכל להסלים את ההרשאות שלו להרשאות אדמין בצמתים האלה. נקודות החולשה האלה משפיעות על גרסאות Windows של Kubelet ושל שרת ה-proxy של Kubernetes CSI. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-3676, CVE-2023-3955, CVE-2023-3893 |
GCP-2023-025
תאריך פרסום: 8 באוגוסט 2023| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה, חברת Intel פרסמה את הודעת האבטחה INTEL-SA-00828 שמשפיעה על חלק ממשפחות המעבדים שלה. מומלץ להעריך את הסיכונים שלכם בהתאם לאזהרה. ההשפעה על Google Cloud VMware Engineה-Fleet שלנו משתמש במשפחות של המעבד שמושפעות מהבעיה. בפריסה שלנו, כל השרת מוקדש ללקוח אחד. לכן, מודל הפריסה שלנו לא מוסיף סיכון נוסף להערכת הפגיעות הזו. אנחנו עובדים עם השותפים שלנו כדי לקבל את התיקונים הדרושים, ובמהלך השבועות הקרובים נפרוס את התיקונים האלה לפי עדיפות לכל ה-Fleet באמצעות תהליך השדרוג הרגיל. פעולות מומלצותלא נדרשת שום פעולה מצידך, אנחנו פועלים לשדרוג כל המערכות המושפעות. |
גבוהה |
GCP-2023-024
תאריך פרסום: 8 באוגוסט 2023
תאריך עדכון: 10 באוגוסט 2023, 4 ביוני 2024
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-4 ביוני 2024: המוצרים החסרים הבאים עודכנו כדי לתקן את נקודת החולשה הזו:
עדכון מה-10 באוגוסט 2023: נוסף מספר הגרסה של ChromeOS LTS. Intel דיווחה על נקודת חולשה במעבדים נבחרים (CVE-2022-40982). Google פעלה כדי לצמצם את הסיכון ל-Fleet השרתים שלה, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. פרטי נקודת החולשה:
פעולות מומלצות
לא נדרשת פעולה מצד הלקוחות. כל התיקונים שזמינים כבר הוחלו על Fleet השרתים של Google ב-Google Cloud, כולל Google Compute Engine. בשלב הזה, למוצרים הבאים נדרשים עדכונים נוספים משותפים ומספקים.
כאשר התיקונים האלה יהיו זמינים, Google תתקן את השגיאות במוצרים האלה והדף הזה יעודכן בהתאם. הלקוחות של Google Chromebook ו-ChromeOS Flex קיבלו באופן אוטומטי את המיטיגציות שסיפקה Intel ב-Stable (115), ב-LTS (108), ב-Beta (116) וב-LTC (114). לקוחות Chromebook ו-ChromeOS Flex שמוצמדים לגרסה ישנה יותר צריכים לשקול לבטל את ההצמדה ולעבור לגרסאות Stable או LTS כדי לוודא שיקבלו את תיקוני נקודות החולשה האלה ואחרים. אילו נקודות חולשה טופלו? CVE-2022-40982 – מידע נוסף זמין בהודעת האבטחה של Intel INTEL-SA-00828. |
גבוהה | CVE-2022-40982 |
GCP-2023-023
תאריך פרסום: 8 באוגוסט 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
AMD חשפה נקודת חולשה במעבדים נבחרים (CVE-2023-20569). Google פעלה כדי לצמצם את הסיכון ל-Fleet השרתים שלה, כולל Google Cloud, כדי להבטיח שהלקוחות מוגנים. פרטי נקודת החולשה:
פעולות מומלצות
המשתמשים במכונות וירטואליות של Compute Engine צריכים לשקול מיטיגציות שמספקות מערכת ההפעלה אם הם משתמשים בהרצת קוד לא מהימן בתוך המכונה. אנחנו ממליצים ללקוחות לפנות לספקי מערכת ההפעלה שלהם כדי לקבל הנחיות ספציפיות יותר. התיקונים כבר הוחלו על Fleet השרתים של Google ב-Google Cloud, כולל Google Compute Engine. אילו נקודות חולשה טופלו? CVE-2023-20569 – מידע נוסף זמין במאמר AMD SB-7005. |
בינונית | CVE-2023-20569 |
GCP-2023-022
תאריך פרסום: 3 באוגוסט 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Google זיהתה נקודת חולשה בהטמעות של gRPC C++ לפני גרסה 1.57. זו הייתה נקודת חולשה של התקפת מניעת שירות (DoS) בהטמעת C++ של gRPC. הן תוקנו בגרסאות 1.53.2, 1.54.3, 1.55.2, 1.56.2 ו-1.57. פעולות מומלצות ודאו שאתם משתמשים בגרסאות האחרונות של חבילות התוכנה הבאות:
אילו נקודות חולשה טופלו? התיקונים האלה מצמצמים את הסיכון שנגרם מנקודות החולשה הבאות:
| גבוהה | CVE-2023-33953 |
GCP-2023-021
Updated:2023-07-26
תאריך פרסום:25 ביולי 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכוני ה-CVE הבאים חושפים את Cloud Service Mesh לנקודות חולשה שניתן לנצל:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה |
GCP-2023-020
Updated:2023-07-26
תאריך פרסום: 24 ביולי 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
AMD פרסמה עדכון מיקרו-קוד שמטפל בנקודת חולשה באבטחת החומרה (CVE-2023-20593). Google החילה את התיקונים הנדרשים לפרצת האבטחה הזו על Fleet השרתים שלה, כולל השרתים של Google Cloud Platform. בדיקות מראות שאין השפעה על ביצועי המערכות. פעולות מומלצות לא נדרשת פעולה מצד הלקוחות, כי התיקונים כבר הוחלו על Fleet השרתים של Google ב-Google Cloud Platform. אילו נקודות חולשה טופלו? CVE-2023-20593 מטפל בנקודת חולשה בחלק ממעבדי AMD. מידע נוסף | גבוהה | CVE-2023-20593 |
GCP-2023-019
תאריך פרסום:18 ביולי 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה (CVE-2023-35945) ב-Envoy, שבה תגובה שנוצרה במיוחד משירות upstream לא מהימן עלולה לגרום להתקפת מניעת שירות (DoS) בגלל מיצוי הזיכרון. הסיבה לכך היא קודק ה-HTTP/2 של Envoy, שעלול להדליף מפת כותרות ומבני הנהלת חשבונות אחרי קבלת להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. | גבוהה | CVE-2023-35945 |
GCP-2023-018
תאריך פרסום: 27 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה (CVE-2023-2235) בליבה (kernel) של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) בצומת. אשכולות GKE Autopilot מושפעים מכך, כי צמתים של GKE Autopilot תמיד משתמשים בתמונות צמתים של מערכת הפעלה שמותאמת לקונטיינרים. יש השפעה על אשכולות GKE Standard בגרסה 1.25 ואילך שפועלות בהם תמונות צמתים של מערכת הפעלה שמותאמת לקונטיינרים. אשכולות GKE לא מושפעים אם הם מריצים רק תמונות צומת של Ubuntu, או אם הם מפעילים גרסאות מוקדמות מ-1.25, או אם הם משתמשים ב-GKE Sandbox. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-2235 |
GCP-2023-017
תאריך פרסום: 26 ביוני 2023
תאריך עדכון: 11 ביולי 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-11 ביולי 2023: גרסאות חדשות של GKE עודכנו כך שיכללו את הגרסאות העדכניות של Ubuntu שמתקנות את CVE-2023-31436. התגלתה נקודת חולשה חדשה (CVE-2023-31436) בליבה (kernel) של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) בצומת. תהיה לכך השפעה על אשכולות GKE, כולל אשכולות Autopilot. אשכולות GKE שמשתמשים ב-GKE Sandbox לא מושפעים. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-31436 |
GCP-2023-016
תאריך פרסום: 26 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Envoy התגלו מספר נקודות חולשה, שנמצאות בשימוש ב-Cloud Service Mesh, ומאפשרות לתוקפים זדוניים לגרום להתקפת מניעת שירות (DoS) או לקריסה של Envoy. האירועים האלה דווחו בנפרד בעדכון GCP-2023-002. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487 |
GCP-2023-015
תאריך פרסום: 20 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה, CVE-2023-0468, בליבה (kernel) של Linux, שעלולה לאפשר למשתמשים לא מורשים להסלים את ההרשאות שלהם לרמה הבסיסית (root). בנקודת החולשה הזו, הפרמטר io_poll_get_ownership ימשיך להגדיל את הערך של req->poll_refs בכל io_poll_wake ואז יגלוש ל-0, ולהפעלה כפולה של fput req->file שתגרום לבעיית struct file refcount. תהיה לכך השפעה על אשכולות GKE, כולל אשכולות Autopilot, עם מערכת הפעלה שמותאמת לקונטיינרים שמשתמשת בגרסת ליבה (Kernel) 5.15 של Linux. אשכולות GKE שמשתמשים בתמונות Ubuntu או ב-GKE Sandbox לא מושפעים. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | CVE-CVE-2023-0468 |
GCP-2023-014
תאריך עדכון: 11 באוגוסט 2023
תאריך פרסום: 15 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-11 באוגוסט 2023: נוספו גרסאות תיקונים ל-GKE ב-VMware, ל-GKE ב-AWS, ל-GKE ב-Azure ול-Google Distributed Cloud Virtual לשרת פיזי. ב-Kubernetes התגלו שתי בעיות אבטחה חדשות, שכתוצאה מהן ייתכן שמשתמשים יוכלו להפעיל קונטיינרים שיעקפו את מגבלות המדיניות במהלך שימוש בקונטיינרים זמניים, וב-ImagePolicyWebhook (CVE-2023-2727) או בפלאגין הכניסה ל-ServiceAccount (CVE-2023-2728). להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | CVE-2023-2727, CVE-2023-2728 |
GCP-2023-013
תאריך פרסום:8 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
כשמפעילים את ממשק ה-API ל-Cloud Build בפרויקט, מערכת Cloud Build יוצרת באופן אוטומטי חשבון שירות שמוגדר כברירת מחדל כדי להפעיל בשמכם את גרסאות ה-build. לחשבון השירות הזה של Cloud Build הייתה בעבר הרשאת IAM מסוג להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Build. |
נמוכה |
GCP-2023-010
תאריך פרסום: 7 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Google זיהתה שלוש נקודות חולשה חדשות בהטמעת C ++.של gRPC. הן יפורסמו בקרוב באופן ציבורי בתור CVE-2023-1428, CVE-2023-32731 ו-CVE-2023-32732. באפריל זיהינו שתי נקודות חולשה בגרסאות 1.53 ו-1.54. אחת מהן הייתה נקודת חולשה של התקפת מניעת שירות (DoS) בהטמעת C++ של gRPC, והשנייה הייתה נקודת חולשה של זליגת נתונים מרחוק. הן תוקנו בגרסאות 1.53.1, 1.54.2 ואילך. לפני כן בחודש מרץ, הצוותים הפנימיים שלנו גילו נקודת חולשה של התקפת מניעת שירות (DoS) בהטמעת C++ של gRPC, תוך כדי ביצוע פעילויות שגרתיות של fuzzing. היא נמצאה בגרסה 1.52 של gRPC, ותוקנה בגרסאות 1.52.2 ו-1.53. פעולות מומלצותודאו שאתם משתמשים בגרסאות האחרונות של חבילות התוכנה הבאות:
אילו נקודות חולשה טופלו במסגרת התיקונים האלה?התיקונים האלה מצמצמים את הסיכון שנגרם מנקודות החולשה הבאות:
אנחנו ממליצים לשדרג לגרסאות העדכניות ביותר של חבילות התוכנה המפורטות למעלה. |
גבוהה (CVE-2023-1428, CVE-2023-32731). בינונית (CVE-2023-32732) | CVE-2023-1428, CVE-2023-32731, CVE-023-32732 |
GCP-2023-009
תאריך פרסום: 6 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה (CVE-2023-2878) ב-Secrets-store-csi-driver, שבה גורם עם גישה ליומני מנהלי ההתקנים יכול לראות אסימונים של חשבונות שירות. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
ללא | CVE-2023-2878 |
GCP-2023-008
תאריך פרסום: 5 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה (CVE-2023-1872) בליבה (kernel) של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) להרשאות הרמה הבסיסית (root) בצומת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-1872 |
GCP-2023-007
תאריך פרסום: 2 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה התגלתה נקודת חולשה ב-Cloud SQL ל-SQL Server שאפשרה לחשבונות אדמינים של לקוחות ליצור טריגרים במסד הנתונים הבעיה נפתרה ב-Google Cloud באמצעות תיקון של נקודת החולשה באבטחה עד 1 במרץ 2023.לא נמצאו מכונות של לקוחות שנפגעו ב- Google Cloud . להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud SQL. |
גבוהה |
GCP-2023-005
תאריך פרסום: 18 במאי 2023
תאריך עדכון: 6 ביוני 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-6 ביוני 2023: גרסאות חדשות של GKE עודכנו וכוללות את הגרסאות העדכניות של Ubuntu, שמתקנות את CVE-2023-1281 ו-CVE-2023-1829. שתי נקודות חולשה חדשות (CVE-2023-1281, CVE-2023-1829) התגלו בליבה (kernel) של Linux, שעלולות לגרום להסלמת הרשאות (privilege escalation) להרשאות הרמה הבסיסית (root) בצומת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-1281 CVE-2023-1829 |
GCP-2023-004
תאריך פרסום: 26 באפריל 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
שתי נקודות חולשה (CVE-2023-1017 ו-CVE-2023-1018) התגלו ב-Trusted Platform Module (TPM) 2.0. נקודות החולשה יכלו לאפשר לתוקף מתוחכם לנצל קריאה/כתיבה של 2 בייטים מחוץ לטווח במכונות וירטואליות מסוימות של Compute Engine. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine. |
בינוני |
GCP-2023-003
תאריך פרסום: 11 באפריל 2023
תאריך עדכון: 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. שתי נקודות חולשה חדשות, CVE-2023-0240 ו-CVE-2023-23586, התגלו בליבה (kernel) של Linux, והיו עלולות לאפשר למשתמש לא מורשה להסלים הרשאות. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2023-0240, CVE-2023-23586 |
GCP-2023-002
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכוני ה-CVE הבאים חושפים את Cloud Service Mesh לנקודות חולשה שניתן לנצל:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh.: |
גבוהה |
GCP-2023-001
תאריך פרסום: 1 במרץ 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. התגלתה נקודת חולשה חדשה (CVE-2022-4696) בליבה (kernel) של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) בצומת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2022-4696 |
GCP-2022-026
תאריך פרסום: 11 בינואר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
שתי נקודות חולשה חדשות (CVE-2022-3786 ו-CVE-2022-3602) התגלו ב-OpenSSL גרסה 3.0.6, ועלולות לגרום לקריסה. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2022-025
תאריך פרסום: 21 בדצמבר 2022
תאריך עדכון: 19 בינואר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-19 בינואר 2023: הוספנו מידע על כך שגרסה 1.21.14-gke.14100 של GKE זמינה. שתי נקודות חולשה חדשות (CVE-2022-3786 ו-CVE-2022-3602) התגלו ב-OpenSSL גרסה 3.0.6, ועלולות לגרום לקריסה. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2022-024
תאריך פרסום: 9 בנובמבר 2022
תאריך עדכון: 19 בינואר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-19 בינואר 2023: הוספנו מידע על כך שגרסה 1.21.14-gke.14100 של GKE זמינה. עדכון מ-16 בדצמבר 2022: נוספו גרסאות תיקונים ל-GKE ול-GKE on VMware. שתי נקודות חולשה חדשות (CVE-2022-2585 ו-CVE-2022-2588) התגלו בליבה (kernel) של Linux, שעלולות לגרום לבריחה מלאה מקונטיינרים ולאפשר גישה להרשאות הרמה הבסיסית (root) בצומת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
GCP-2022-023
תאריך פרסום: 4 בנובמבר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה באבטחה, CVE-2022-39278 ב-Istio שבשימוש ב-Cloud Service Mesh, ומאפשרת לתוקף זדוני לגרום לקריסה במישור הבקרה. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2022-39278 |
GCP-2022-022
תאריך פרסום: 28 באוקטובר 2022
תאריך עדכון: 14 בדצמבר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-14 בדצמבר 2022: נוספו גרסאות תיקונים ל-GKE ול-GKE ב-VMware. התגלתה נקודת חולשה חדשה, CVE-2022-20409, בליבה (kernel) של Linux שעלולה לאפשר למשתמש לא מורשה להסלים את ההרשאות להרשאות ביצוע ברמת המערכת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2022-20409 |
GCP-2022-021
תאריך פרסום: 27 באוקטובר 2022
תאריך עדכון: 19 בינואר 2023, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-19 בינואר 2023: הוספנו מידע על כך שגרסה 1.21.14-gke.14100 של GKE זמינה. עדכון מ-15 בדצמבר 2022: המידע המעודכן שגרסה 1.21.14-gke.9400 של Google Kubernetes Engine נמצאת בהמתנה להשקה, ויכול להיות שתוחלף במספר גרסה גבוה יותר. עדכון מ-22 בנובמבר 2022: נוספו גרסאות תיקונים ל-GKE on VMware, ל-GKE on AWS ול-GKE on Azure. התגלתה נקודת חולשה חדשה, CVE-2022-3176, בליבה של Linux שעלולה להוביל להסלמת הרשאות (privilege escalation) ברמה המקומית. נקודת החולשה הזו מאפשרת למשתמשים ללא הרשאות לגרום לבריחה מקונטיינרים שמאפשרת גישה להרשאות root בצומת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2022-3176 |
GCP-2022-020
תאריך פרסום: 5 באוקטובר 2022
תאריך עדכון: 12 באוקטובר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
מישור הבקרה ב-Istio להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה | CVE-2022-39278 |
GCP-2022-019
תאריך פרסום: 22 בספטמבר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
הטמעות C++ ו-Python של ProtocolBuffer חשופות לנקודת חולשה של ניתוח הודעות וניהול זיכרון. כתוצאה מכך עלול להיגרם כשל בזיכרון (OOM) במהלך עיבוד הודעה שנוצרה במיוחד. הדבר עלול להוביל להתקפת מניעת שירות (DoS) בשירותים שמשתמשים בספריות האלה. פעולות מומלצותודאו שאתם משתמשים בגרסאות העדכניות של חבילות התוכנה הבאות:
אילו נקודות חולשה טופלו במסגרת התיקון הזה?התיקון טיפל בנקודת החולשה הבאה:
הודעה קטנה שנוצרה במיוחד וגורמת לשירות הפעיל להקצות כמויות גדולות של זיכרון RAM. מכיוון שהבקשה קטנה, קל לנצל את נקודת החולשה הזו ולגרום למיצוי המשאבים. מערכות C++ ו-Python שצורכות protobufs ממקורות לא מהימנים עלולות להיות חשופות למתקפות מניעת שירות (DoS), אם הן מכילות אובייקט |
בינונית | CVE-2022-1941 |
GCP-2022-018
תאריך פרסום: 1 באוגוסט 2022
תאריך עדכון: 14 בספטמבר 2022, 21 בדצמבר 2023
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-21 בדצמבר 2023: הבהרה שאשכולות GKE Autopilot בהגדרת ברירת המחדל לא מושפעים. עדכון מ-14 בספטמבר 2022: נוספו גרסאות תיקון ל-GKE ב-VMware, ל-GKE ב-AWS ול-GKE ב-Azure. התגלתה נקודת חולשה חדשה (CVE-2022-2327) בליבה של Linux, שעלולה להוביל להסלמת הרשאות (privilege escalation) ברמה המקומית. נקודת החולשה הזו מאפשרת למשתמשים לא מורשים לגרום לבריחה מקונטיינר שמאפשרת גישה להרשאות root בצומת. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: | גבוהה | CVE-2022-2327 |
GCP-2022-017
תאריך פרסום: 29 ביוני 2022
תאריך עדכון: 22 בנובמבר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 בנובמבר 2022: עומסי עבודה שמשתמשים ב-GKE Sandbox לא מושפעים מנקודות החולשה האלו. עדכון מ-21 ביולי 2022: מידע נוסף על GKE on VMware. התגלתה נקודת חולשה חדשה (CVE-2022-1786) בליבה של Linux בגרסאות 5.10 ו-5.11. נקודת החולשה הזו מאפשרת למשתמשים לא מורשים עם גישה מקומית לאשכול לגרום לבריחה מקונטיינרים שמאפשרת גישה להרשאות root בצומת. רק אשכולות עם מערכת הפעלה שמותאמת לקונטיינרים יושפעו מנקודת החולשה הזו. הגרסאות של Ubuntu ב-GKE משתמשות בגרסה 5.4 או 5.15 של הליבה, ולא יושפעו מנקודת החולשה הזו. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2022-1786 |
GCP-2022-016
תאריך פרסום: 23 ביוני 2022
תאריך עדכון: 22 בנובמבר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 בנובמבר 2022: אשכולות Autopilot לא מושפעים מנקודת החולשה CVE-2022-29581, אבל חשופים לנקודות החולשה CVE-2022-29582 ו-CVE-2022-1116. שלוש נקודות חולשה חדשות של השחתת זיכרון (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116) התגלו בליבה של Linux. נקודות החולשה האלה מאפשרות למשתמשים לא מורשים עם גישה מקומית לאשכול, לגרום לבריחה מקונטיינרים שמאפשרת גישה להרשאות root בצומת. כל אשכולות Linux (עם מערכת הפעלה שמותאמת לקונטיינרים או Ubuntu) יושפעו מנקודת החולשה הזו. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
GCP-2022-015
תאריך פרסום: 9 ביוני 2022
תאריך עדכון: 10 ביוני 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-10 ביוני 2022: עודכנו הגרסאות של Cloud Service Mesh. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. ה-CVE הבאות של Envoy ו-Istio חושפות את Cloud Service Mesh ואת Istio ב-GKE לנקודות חולשה שאפשר לנצל מרחוק:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
קריטית |
GCP-2022-014
תאריך פרסום: 26 באפריל 2022
תאריך עדכון: 22 בנובמבר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 בנובמבר 2022: אשכולות GKE Autopilot ועומסי עבודה שפועלים ב-GKE Sandbox לא מושפעים. עדכון מ-12 במאי 2022: עודכנו הגרסאות של GKE ב-AWS ו-GKE ב-Azure. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: שתי נקודות חולשה באבטחה, CVE-2022-1055 ו-CVE-2022-27666, התגלו בליבה של Linux. כל אחת מהן עלולה לאפשר לתוקף מקומי לגרום לבריחה מקונטיינר, לגרום להסלמת הרשאות (privilege escalation) במארח, או לשתיהן. נקודות החולשה האלה משפיעות על כל מערכות ההפעלה של צומתי GKE (מערכת הפעלה שמותאמת לקונטיינרים ו-Ubuntu). להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
גבוהה |
CVE-2022-1055 CVE-2022-27666 |
GCP-2022-013
תאריך פרסום: 11 באפריל 2022
תאריך עדכון: 22 באפריל 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה באבטחה, CVE-2022-23648, באופן הטיפול של containerd במעבר הנתיבים במפרט ה-volume של OCI image. קונטיינרים שהופעלו באמצעות הטמעת CRI של containerd עם הגדרות שנוצרו במיוחד של ה-image, עלולים להשיג גישת קריאה מלאה לקבצים שרירותיים ולספריות שרירותיות במארח. נקודת החולשה הזו עלולה לעקוף כל אכיפה מבוססת-מדיניות בהגדרות הקונטיינר (כולל מדיניות האבטחה של Kubernetes Pod). להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
בינוני | CVE-2022-23648 |
GCP-2022-012
תאריך פרסום: 7 באפריל 2022
תאריך עדכון: 22 בנובמבר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-22 בנובמבר 2022: אשכולות GKE בשני המצבים, Standard ו-Autopilot, ועומסי עבודה שמשתמשים ב-GKE Sandbox לא מושפעים. התגלתה נקודת חולשה באבטחה, CVE-2022-0847, בגרסאות הליבה 5.8 ואילך של Linux, שבעקבותיה עלולה להיגרם הסלמת הרשאות (privilege escalation) להרשאות root בקונטיינר. נקודת החולשה באבטחה משפיעה על המוצרים האלה:
להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
גבוהה | CVE-2022-0847 |
GCP-2022-011
תאריך פרסום: 22 במרץ 2022
תאריך עדכון: 11 באוגוסט 2022
תיאור
| תיאור | רמת סיכון |
|---|---|
|
עדכון מ-11 באוגוסט 2022: מידע נוסף לגבי ההגדרה של Simultaneous Multi-Threading (SMT). היכולת להפעיל SMT אמורה הייתה להיות מושבתת, אבל היא מופעלת בגרסאות שצוינו. אם האפשרות של SMT הופעלה למאגר צמתים בארגז החול, היא תישאר מופעלת באופן ידני למרות הבעיה הזו. קיימת הגדרה שגויה עם Simultaneous Multi-Threading (SMT, שנקרא גם Hyper-threading), ב-images של GKE Sandbox. ההגדרה השגויה חושפת צמתים למתקפות בערוצים צדדיים, כמו דגימת נתונים של מיקרו-ארכיטקטורה (MDS). להקשר נוסף, תוכלו לקרוא את מסמכי התיעוד של GKE Sandbox. אנחנו לא ממליצים להשתמש בגרסאות הבאות שמושפעות מהבעיה:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
בינונית |
GCP-2022-010
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ה-Istio CVE הבא חושף את Cloud Service Mesh לנקודת חולשה שאפשר לנצל מרחוק:
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף הבא: |
גבוהה |
GCP-2022-009
תאריך פרסום: 1 במרץ 2022תיאור
| תיאור | רמת סיכון |
|---|---|
|
ייתכן שנעשה שימוש בכמה נתיבים לא צפויים לקבלת גישה ל-VM של צומת באשכולות GKE Autopilot, לצורך העברת הרשאות ברמות גבוהות יותר באשכול. הבעיות האלה תוקנו ולא נדרשת כל פעולה נוספת. התיקונים מתייחסים לבעיות שדוּוחו במסגרת תוכנית התמריצים לזיהוי נקודות חולשה. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
נמוכה |
GCP-2022-008
תאריך פרסום: 23 בפברואר 2022
תאריך עדכון: 28 באפריל 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-28 באפריל 2022: נוספו גרסאות של GKE ב-VMware לתיקון נקודות החולשה האלה. פרטים נוספים זמינים בעדכון האבטחה הדחוף ל-GKE ב-VMware. בפרויקט Envoy התגלו לאחרונה נקודות חולשה. כל הבעיות שמפורטות כאן תוקנו ב-Envoy גרסה 1.21.1.
מה צריך לעשות? משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לוודא שהם משתמשים בגרסה 1.21.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם. משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Google Cloud שבמערכות שלהם יעברו לגרסה 1.21.1. |
גבוהה |
CVE-2022-23606 CVE-2022-21655 CVE-2021-43826 CVE-2021-43825 CVE-2021-43824 CVE-2022-21654 CVE-2022-21657 CVE-2022-21656 |
GCP-2022-007
תאריך פרסום: 22 בפברואר 2022תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ה-CVE הבאות של Envoy ו-Istio חושפות את Cloud Service Mesh ואת Istio ב-GKE לנקודות חולשה שאפשר לנצל מרחוק:
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
GCP-2022-006
תאריך פרסום: 14 בפברואר 2022תאריך עדכון: 16 במאי 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-16 במאי 2022: GKE גרסה 1.19.16-gke.7800 ואילך נוספה לרשימת הגרסאות שיש להן קוד, כדי לתקן את נקודת החולשה הזו. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. עדכון מ-12 במאי 2022: עודכנו הגרסאות של GKE, GKE ב-VMware, GKE ב-AWS ו-GKE ב-Azure. להוראות ולפרטים נוספים, קראו את העדכונים הבאים:
התגלתה נקודת חולשה באבטחה, CVE-2022-0492, בפונקציה |
נמוכה |
להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
GCP-2022-005
תאריך פרסום: 11 בפברואר 2022תאריך עדכון: 15 בפברואר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה באבטחה, CVE-2021-43527, בכל תוכנה בינארית שמקשרת לגרסאות הפגיעות של libnss3 הנמצאות בגרסאות NSS (שירותי אבטחת רשת) שקדמו ל-3.73 או 3.68.1. הדבר עלול להשפיע על אפליקציות שמשתמשות ב-NSS לאימות אישורים או ב-TLS, X.509, OCSP או פונקציונליות CRL, בהתאם לאופן ההגדרה של ה-NSS או השימוש בו. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | CVE-2021-43527 |
GCP-2022-004
תאריך פרסום: 4 בפברואר 2022תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
נקודת חולשה באבטחה, CVE-2021-4034 התגלתה ב-pkexec, חלק מחבילת PolicyKit (polkit) של Linux, שמאפשרת למשתמש מאומת לבצע מתקפה של הסלמת הרשאות (privilege escalation). בדרך כלל השימוש ב-PolicyKit הוא רק במערכות Linux במחשבים, כדי לאפשר למשתמשים בלי הרשאות root לבצע פעולות כמו הפעלה מחדש של המערכת, התקנת חבילות, הפעלה מחדש של שירותים וכו', בכפוף למדיניות. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
ללא | CVE-2021-4034 |
GCP-2022-002
תאריך פרסום: 1 בפברואר 2022תאריך עדכון: 25 בפברואר 2022
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-25 בפברואר 2022: הגרסאות של GKE עודכנו. להוראות ולפרטים נוספים, קראו את העדכון הבא: עדכון מ-23 בפברואר 2022: הגרסאות של GKE ו-GKE ב-VMware עודכנו. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: עדכון מ-4 בפברואר 2022: תאריך ההתחלה של ההשקה של גרסאות תיקון ל-GKE היה 2 בפברואר. שלוש נקודות חולשה באבטחה, CVE-2021-4154, CVE-2021-22600 ו-CVE-2022-0185, התגלו בליבה של Linux, וכל אחת מהן עלולה לגרום לפירצה בקונטיינר, להסלמת הרשאות (privilege escalation) כנגד המארח או גם וגם. נקודות החולשה האלה משפיעות על כל מערכות האבטחה בצמתים (COS ו-Ubuntu) ב-GKE, ב-GKE ב-VMware, ב-GKE ב-AWS (דור נוכחי וקודם) וב-GKE ב-Azure. Pods שמשתמשים ב-GKE Sandbox לא חשופים לנקודות החולשה האלה. לפרטים נוספים, קראו את הערות המוצר של COS. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
GCP-2022-001
תאריך פרסום: 6 בינואר 2022תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
התגלתה בעיה פוטנציאלית מסוג 'התקפת מניעת שירות (DoS)' בתהליך הניתוח של נתונים בינאריים ב- פעולות מומלצות ודאו שאתם משתמשים בגרסאות העדכניות של חבילות התוכנה הבאות:
משתמשי Protobuf "javalite" (בדרך כלל Android) אינם מושפעים מכך. אילו נקודות חולשה טופלו במסגרת התיקון הזה? התיקון טיפל בנקודת החולשה הבאה: נקודת חולשה בתהליך ההטמעה בנוגע לאופן הניתוח של שדות לא מוכרים ב-Java. מטען ייעודי (payload) זדוני קטן (כ-800KB) יכול להעסיק את המנתח למשך מספר דקות על ידי יצירת כמות גדולה של אובייקטים קצרי-טווח שגורמים להפסקות garbage collection חוזרות ונשנות באופן תדיר. |
גבוהה | CVE-2021-22569 |
GCP-2021-024
תאריך פרסום: 21 באוקטובר 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בעיית אבטחה התגלתה בקטע הבקרה ingress-nginx ב-Kubernetes, CVE-2021-25742. קטעי Ingress-nginx בהתאמה אישית מאפשרים אחזור של אסימונים וסודות של חשבונות שירות של ingress-nginx בכל מרחבי השמות. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: | ללא | CVE-2021-25742 |
GCP-2021-019
תאריך פרסום: 29 בספטמבר 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
יש בעיה ידועה שבזמן עדכון משאב להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
נמוכה |
GCP-2021-022
תאריך פרסום: 22 בספטמבר 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה במודול LDAP של GKE Enterprise Identity Service (AIS) ל-GKE בגרסאות 1.8 ו-1.8.1 של VMware, כך שאפשר לחזות מפתחות מקור שמשמשים ליצירת מפתחות. משתמש מאומת עלול להשתמש בנקודת החולשה הזו כדי להוסיף הצהרות שרירותיות ולהסלים הרשאות (privilege escalation) בלי סוף. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE ב-VMware. |
גבוהה |
GCP-2021-021
תאריך פרסום: 22 בספטמבר 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה ב-Kubernetes נקודת חולשה באבטחה, CVE-2020-8561, שמאפשרת להשתמש בתגובות מסוימות לפעולות מאתר אחר (webhook) כדי להפנות בקשות kube-apiserver לרשתות פרטיות של שרת ה-API. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני | CVE-2020-8561 |
GCP-2021-023
תאריך פרסום: 21 בספטמבר 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2021-0020 של VMware, התקבלו ב-VMware דיווחים על מספר נקודות חולשה ב-vCenter. VMware פרסמה עדכונים כדי לתקן את נקודות החולשה האלה במוצרי VMware שמושפעים מהן. כבר יישמנו ב-Google Cloud VMware Engine את התיקונים שסופקו על ידי VMware למחסנית vSphere, בהתאם לייעוץ בנושא אבטחה של VMware. עדכון זה מתייחס לנקודות החולשה באבטחה שמפורטות ב-CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 ו-CVE-2021-22010. בעיות אבטחה אחרות שהן לא קריטיות יטופלו בשדרוג הקרוב של סטאק VMware (בהתאם להודעה מראש שנשלחה בחודש יולי). בקרוב יפורסמו פרטים נוספים לגבי לוחות הזמנים הספציפיים של השדרוג. ההשפעה על VMware Engineלפי הבדיקות שלנו, לא היתה השפעה על אף לקוח. פעולות מומלצותמאחר שהאשכולות של VMware Engine לא מושפעים מנקודת החולשה הזו, אין צורך לבצע פעולות נוספות. |
קריטית |
GCP-2021-020
תאריך פרסום: 17 בספטמבר 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
יכול להיות שחלק מתהליכי הניתוב של מאזני העומסים ב-Google Cloud אל השירות לקצה העורפי שמופעל על ידי שרת proxy לאימות זהויות (IAP) נחשפו לגורם לא מהימן, בתנאים מוגבלים. הדבר קשור לבעיה שדווחה דרך תוכנית התמריצים שלנו לאיתור נקודות חולשה. התנאים היו שהשרתים:
בנוסף, כנראה שמשתמש בארגון שלכם לחץ על קישור שנוצר במיוחד על ידי צד לא מהימן. הבעיה נפתרה. נכון ל-17 בספטמבר 2021, בוצע עדכון ב-IAP ליצירת קובצי cookie למארחים מורשים בלבד. מארח מוגדר כמורשה אם הוא תואם לפחות לאחד מ-Subject Alternative Names (SAN) באחד מהאישורים שמותקנים במאזני העומסים שלכם. פעולות מומלצות
חלק מהמשתמשים עשויים לקבל תגובה לא מורשית מסוג HTTP 401 עם קוד שגיאה 52 של IAP, כשהם מנסים לגשת לאפליקציות או לשירותים. קוד השגיאה מתקבל כאשר הלקוחות שולחים כותרת |
גבוהה |
GCP-2021-018
תאריך פרסום: 15 בספטמבר 2021תאריך עדכון: 20 בספטמבר 2021
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה ב-Kubernetes בעיית אבטחה, CVE-2021-25741, שבה ייתכן שמשתמשים יוכלו ליצור קונטיינר עם תושבות של נפח אחסון בנתיב משני כדי לגשת לקבצים ולספריות מחוץ לנפח האחסון, כולל מערכת הקבצים של המארח. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה | CVE-2021-25741 |
GCP-2021-017
תאריך פרסום: 1 בספטמבר 2021תאריך עדכון: 23 בספטמבר 2021
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מ-23 בספטמבר 2021: קונטיינרים שפועלים בתוך GKE Sandbox לא מושפעים מנקודת החולשה הזו בנוגע למתקפות שנוצרות מתוך הקונטיינר. שתי נקודות חולשה באבטחה, CVE-2021-33909 ו-CVE-2021-33910, התגלו בליבה של Linux ועלולות לגרום לקריסה של מערכות הפעלה או לאפשר למשתמשים לא מורשים להסלים הרשאות (privilege escalation) להרשאות root. נקודת החולשה הזו משפיעה על כל מערכות ההפעלה של צומתי GKE (COS ו-Ubuntu). להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
גבוהה | CVE-2021-33909, CVE-2021-33910 |
GCP-2021-016
תאריך פרסום: 24 באוגוסט 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ה-CVE הבאות של Envoy ו-Istio חושפות את Cloud Service Mesh ואת Istio ב-GKE לנקודות חולשה שאפשר לנצל מרחוק:
להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
גבוהה |
GCP-2021-015
תאריך פרסום: 13 ביולי 2021תאריך עדכון: 15 ביולי 2021
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
התגלתה נקודת חולשה חדשה באבטחה, CVE-2021-22555, שבה גורם זדוני עם ההרשאות להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
גבוהה | CVE-2021-22555 |
GCP-2021-014
תאריך פרסום: 5 ביולי 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Microsoft פרסמה עדכון אבטחה דחוף בקשר לנקודת החולשה CVE-2021-34527 בביצוע קוד מרחוק (RCE), שמשפיעה על שמירת מסמכים שנשלחו להדפסה בשרתי Windows. בנוסף, פורסם עדכון חדש יותר על ידי CERT Coordination Center (CERT/CC) בקשר לנקודת חולשה דומה עם הכינוי PrintNightmare, שגם משפיעה על שמירת מסמכים שנשלחו להדפסה ב-Windows: PrintNightmare, נקודת חולשה קריטית בשמירת מסמכים שנשלחו להדפסה ב-Windows להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
גבוהה | CVE-2021-34527 |
GCP-2021-012
תאריך פרסום: 24 ביוני 2021תאריך עדכון: 9 ביולי 2021
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
דווח לאחרונה בפרויקט Istio על נקודת חולשה באבטחה שבה אפשר לקבל גישה לפרטי כניסה שצוינו ב-Gateway ובשדה DestinationRule credentialName field ממרחבי שמות שונים. להוראות בקשר למוצרים ספציפיים ולפרטים נוספים, קראו את העדכונים הבאים:
|
גבוהה | CVE-2021-34824 |
GCP-2021-011
תאריך פרסום: 4 ביוני 2021תאריך עדכון: 19 באוקטובר 2021
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מתאריך 19 באוקטובר 2021: להוראות ולפרטים נוספים, ראו את עדכוני האבטחה הדחופים הבאים:
קהילת האבטחה חשפה לאחרונה נקודת חולשה חדשה באבטחה (CVE-2021-30465) שהתגלתה ב- ב-GKE, כדי לנצל את נקודת החולשה הזו נדרשת יכולת ליצור Pods, ולכן הגדרנו את רמת הסיכון של נקודת החולשה הזו כבינונית. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
בינונית | CVE-2021-30465 |
GCP-2021-010
תאריך פרסום: 25 במאי 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2021-0010 של VMware, נקודות החולשה של ביצוע קוד מרחוק ועקיפת האימות ב-vSphere Client (HTML5) דווחו באופן פרטי ל-VMware. VMware פרסמה עדכונים כדי לתקן את נקודות החולשה האלה במוצרי VMware שמושפעים מהן. יישמנו את התיקונים שסופקו על ידי VMware לסטאק vSphere, בהתאם לייעוץ בנושא אבטחה של VMware. עדכון זה מתייחס לנקודות החולשה באבטחה שמפורטות ב-CVE-2021-21985 ו-CVE-2021-21986. גרסאות התמונה שפועלות בענן הפרטי של VMware Engine לא משקפות שינוי כלשהו בשלב זה כדי לציין את התיקונים שיושמו. אין לכם מה לדאוג, כי התיקונים המתאימים הותקנו והסביבה שלכם מאובטחת מפני נקודות החולשה האלה. ההשפעה על VMware Engineלפי הבדיקות שלנו, לא היתה השפעה על אף לקוח. פעולות מומלצותמאחר שהאשכולות של VMware Engine לא מושפעים מנקודת החולשה הזו, אין צורך לבצע פעולות נוספות. |
קריטית |
GCP-2021-008
תאריך פרסום: 17 במאי 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה לקוח חיצוני יכול לגשת לשירותים בלתי צפויים באשכול תוך עקיפה של בדיקות ההרשאה, כאשר יש שער שמוגדר באמצעות
הגדרת הניתוב להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה |
CVE-2021-31921 |
GCP-2021-007
תאריך פרסום: 17 במאי 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה נתיב של בקשת HTTP שמכיל כמה קווים נטויים או תווים של קו נטוי עם תווי בריחה (escape) ( להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-Cloud Service Mesh. |
גבוהה |
CVE-2021-31920 |
GCP-2021-006
תאריך פרסום: 11 במאי 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בפרויקט Istio חשפו לאחרונה נקודת חולשה חדשה באבטחה (CVE-2021-31920) שמשפיעה על Istio. Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה נתיב של בקשת HTTP שמכיל כמה קווים נטויים או תווים של קו נטוי עם תווי בריחה (escape) ( או ) עלול לעקוף את מדיניות האימות כשמשתמשים בכללי אימות מבוססי-נתיב. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
גבוהה |
CVE-2021-31920 |
GCP-2021-005
תאריך פרסום: 11 במאי 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בנקודת חולשה שדווחה נמצא שב-Envoy אין פענוח של רצפי קו נטוי עם תווי בריחה (escape) פעולות מומלצות
אם שרתי בק-אנד מתייחסים ל- אילו שינויים התנהגותיים התגלו?האפשרויות normalize_path ו-merge adjacent slashes (מיזוג קווים נטויים צמודים) של Envoy הופעלו כדי לטפל בנקודות חולשה שכיחות אחרות שקשורות לבלבול בין נתיבים במוצרים המבוססים על Envoy. |
גבוהה |
CVE-2021-29492 |
GCP-2021-004
תאריך פרסום: 6 במאי 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בפרויקטים Envoy ו-Istioדיווחו לאחרונה על מספר נקודות חולשה חדשות באבטחה (CVE-2021-28683, CVE-2021-28682 ו-CVE-2021-29258), שעלולות לאפשר לתוקף לגרום לקריסת Envoy. אשכולות של Google Kubernetes Engine לא מריצים את Istio כברירת מחדל ואין להם נקודות חולשה. אם Istio הותקן באשכול והוגדר לחשוף שירותים לאינטרנט, השירותים האלה עלולים להיות חשופים להתקפת מניעת שירות (DoS). Google Distributed Cloud Virtual לשרת פיזי ו-GKE ב-VMware משתמשים ב-Envoy כברירת מחדל בשביל Ingress, כך ששירותי Ingress עלולים להיות חשופים להתקפת מניעת שירות (DoS). להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
בינוני |
GCP-2021-003
תאריך פרסום: 19 באפריל 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בפרויקט Kubernetesדיווחו לאחרונה על נקודת חולשה חדשה באבטחה, CVE-2021-25735, שעלולה לאפשר לעדכוני צמתים לעקוף את Validating Admission Webhook.
בתרחיש שבו לתוקף יש מספיק הרשאות והתבצעה הטמעה של Validating Admission Webhook שמשתמש במאפיינים ישנים לאובייקט להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
בינוני |
GCP-2021-002
תאריך פרסום: 5 במרץ 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לפי הייעוץ בנושא אבטחה VMSA-2021-0002 של VMware, התקבלו ב-VMware דיווחים על מספר נקודות חולשה ב-VMware ESXi וב-vSphere Client (HTML5). VMware פרסמה עדכונים כדי לתקן את נקודות החולשה האלה במוצרי VMware שמושפעים מהן. יישמנו את הפתרונות הזמניים הרשמיים שפורסמו למחסנית vSphere, בהתאם לייעוץ בנושא אבטחה של VMware. עדכון זה מתייחס לנקודות החולשה באבטחה שמפורטות ב-CVE-2021-21972, CVE-2021-21973 ו-CVE-2021-21974. ההשפעה על VMware Engineלפי הבדיקות שלנו, לא היתה השפעה על אף לקוח. פעולות מומלצותמאחר שהאשכולות של VMware Engine לא מושפעים מנקודת החולשה הזו, אין צורך לבצע פעולות נוספות. |
קריטית |
GCP-2021-001
תאריך פרסום: 28 בינואר 2021תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה התגלתה נקודת חולשה בכלי התשתית שעליה מריצים את Compute Engine לא מושפעת מנקודת החולשה הזו. Google Kubernetes Engine (GKE), GKE ב-VMware, GKE ב-AWS ו-Google Distributed Cloud Virtual לאשכולות בשרת פיזי לא מושפעים מנקודת החולשה הזו. להוראות ולפרטים נוספים, קראו את עדכוני האבטחה הדחופים הבאים: |
אין | CVE-2021-3156 |
GCP-2020-015
תאריך פרסום: 7 בדצמבר 2020תאריך עדכון: 22 בדצמבר 2020
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
עדכון מתאריך 22 בדצמבר 2021: בפקודה ל-GKE שמופיעה בקטע הבא צריך להשתמש ב- gcloud container clusters update –no-enable-service-externalips עדכון מתאריך 15 בדצמבר 2021: מעכשיו אפשר לבצע את הפעולות הבאות כדי למזער את ההשפעה על GKE:
לפרטים נוספים, תוכלו לקרוא על הקשחת האבטחה באשכול. בפרויקט Kubernetes גילו לאחרונה נקודת חולשה חדשה באבטחה, CVE-2020-8554, שעלולה לאפשר לתוקף עם הרשאות ליצירת שירותי Kubernetes מסוג LoadBalancer או ClusterIP ליירט תנועה ברשת שנוצרת מ-Pods אחרים באשכול. נקודת החולשה הזו בפני עצמה לא מעניקה לתוקף הרשאות ליצור שירותי Kubernetes. כל אשכולות Google Kubernetes Engine (GKE), GKE ב-VMware ו-GKE ב-AWS מושפעים מנקודת החולשה הזו. מה לעשות?להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
CVE-2020-8554 |
GCP-2020-014
תאריך פרסום: 20 באוקטובר 2020תאריך עדכון: 20 באוקטובר 2020
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
בפרויקט Kubernetes גילו לאחרונה מספר בעיות שמאפשרות לחשוף נתונים סודיים בזמן שפועלות אפשרויות של רישום מפורט (verbose) ביומן. אלה הבעיות:
פעולות מומלצותאין צורך לבצע פעולות נוספות בגלל רמות ברירת המחדל של הרישום המפורט (verbose) ביומן ב-GKE. |
אין |
Google Cloud השפעה
ההשפעה על כל מוצר מפורטת בהמשך.
מוצר |
השפעה |
|---|---|
אין השפעה על Google Kubernetes Engine (GKE). |
|
אין השפעה על GKE On-Prem. |
|
אין השפעה על GKE ב-AWS. |
GCP-2020-013
תאריך פרסום: 29 בספטמבר 2020תיאור
Microsoft חשפה את נקודת החולשה הבאה:
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
CVE-2020-1472: נקודת חולשה בשרת Windows מאפשרת לתוקפים להשתמש ב-Netlogon Remote Protocol כדי להריץ אפליקציה שנוצרה במיוחד על מכשיר ברשת. |
ציון בסיס של NVD: 10 (קריטית) |
למידע נוסף, קראו את הדיווח של Microsoft.
Google Cloud השפעה
התשתית שמארחת את המוצרים של Google Cloud ו-Google לא מושפעת מנקודת החולשה הזו. ריכזנו כאן מידע נוסף מפורט על כל מוצר ומוצר.
מוצר |
השפעה |
|---|---|
Compute Engine |
CVE-2020-1472 |
Google Kubernetes Engine |
CVE-2020-1472 |
שירות מנוהל ל-Microsoft Active Directory |
CVE-2020-1472 |
Google Workspace |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
סביבת ברירת המחדל ב-App Engine |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
סביבה גמישה ב-App Engine |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Cloud Run |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
פונקציות Cloud Run |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Managed Service for Apache Airflow |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Dataflow |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Managed Service for Apache Spark |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Cloud SQL |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
GCP-2020-012
תאריך פרסום: 14 בספטמבר 2020תאריך עדכון: 17 בספטמבר 2020
תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה התגלתה נקודת חולשה בליבה של Linux, כפי שמפורט ב-CVE-2020-14386, שעלולה לאפשר לנתיבי בריחה מהקונטיינר לקבל הרשאות root בצומת המארח. ההשפעה היא על כל צומתי ה-GKE. Pods שפועלים ב-GKE Sandbox לא יכולים לנצל את נקודת החולשה הזו. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: אילו נקודות חולשה טופלו במסגרת התיקון? התיקון פותר את נקודת החולשה הבאה: נקודת החולשה CVE-2020-14386, שמאפשרת לקונטיינרים עם CAP_NET_RAW לכתוב בין 1 ל-10 בייטים של זיכרון ליבה, ואולי גם ליצור נתיב בריחה מהקונטיינר ולקבל הרשאות root בצומת המארח. נקודת החולשה הזו היא ברמת סיכון גבוהה. |
גבוהה |
GCP-2020-011
תאריך פרסום: 24 ביולי 2020תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה התגלתה ב-Kubernetes נקודת חולשה ברשת, CVE-2020-8558. שירותים לפעמים מתקשרים עם אפליקציות אחרות שמריצים בתוך אותו Pod באמצעות ממשק הלולאה החוזרת (loopback) המקומי (127.0.0.1). נקודת החולשה הזו מאפשרת לתוקף עם גישה לרשת של האשכול לשלוח תעבורת נתונים לממשק הלולאה החוזרת של צמתים ו-Pods סמוכים. כך אפשר לנצל לרעה שירותים שמסתמכים על כך שממשק הלולאה החוזרת לא נגיש מחוץ ל-Pod. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
נמוכה (GKE ו-GKE ב-AWS), |
GCP-2020-010
תאריך פרסום: 27 ביולי 2020תיאור
Microsoft חשפה את נקודת החולשה הבאה:
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
CVE-2020-1350: אפשר לנצל שרתי Windows Servers שפועלים בתור שרת DNS, כך שהם יריצו קודים לא מהימנים בחשבון המערכת המקומי (Local System Account). |
ציון בסיס של NVD: 10.0 (קריטית) |
למידע נוסף, קראו את הדיווח של Microsoft.
Google Cloud השפעה
התשתית שמארחת את המוצרים של Google Cloud ו-Google לא מושפעת מנקודת החולשה הזו. ריכזנו כאן מידע נוסף מפורט על כל מוצר ומוצר.
מוצר |
השפעה |
|---|---|
Compute Engine |
CVE-2020-1350 |
Google Kubernetes Engine |
CVE-2020-1350 |
שירות מנוהל ל-Microsoft Active Directory |
CVE-2020-1350 |
Google Workspace |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
סביבת ברירת המחדל ב-App Engine |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
סביבה גמישה ב-App Engine |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Cloud Run |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
פונקציות Cloud Run |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Managed Service for Apache Airflow |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Dataflow |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Managed Service for Apache Spark |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Cloud SQL |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
GCP-2020-009
תאריך פרסום: 15 ביולי 2020תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה התגלתה ב-Kubernetes נקודת חולשה של הסלמת הרשאות (privilege escalation), CVE-2020-8559. נקודת החולשה הזו מאפשרת לתוקף שכבר פרץ לצומת לבצע פקודות בכל Pod באשכול. לכן, התוקף יכול להשתמש בצומת שכבר נמצא בסיכון כדי לפגוע בצמתים אחרים ולקרוא מידע או לגרום לפעולות הרסניות. חשוב לזכור שהתוקף יוכל לנצל את נקודת החולשה הזו רק אם הצומת באשכול כבר נמצא בסיכון. נקודת החולשה הזו בפני עצמה לא מסכנת צמתים באשכול. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2020-008
תאריך פרסום: 19 ביוני 2020תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
תיאורמכונות וירטואליות שמופעל בהן OS Login עלולות להיות חשופות לנקודות חולשה של הסלמת הרשאות (privilege escalation). נקודות החולשה האלה מאפשרות למשתמשים שהוענקו להם הרשאות OS Login (אבל לא הוענקה להם הרשאת אדמין) להסלים הרשאות (privilege escalation) להרשאות root במכונה הווירטואלית. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף של Compute Engine.
|
גבוהה |
GCP-2020-007
תאריך פרסום: 1 ביוני 2020תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
לאחרונה התגלתה ב-Kubernetes נקודת החולשה CVE-2020-8555 של Server Side Request Forgery (SSRF), שמאפשרת למשתמשים מורשים מסוימים להדליף עד 500 בייטים של מידע רגיש מהרשת המארחת של רמת הבקרה. רמת הבקרה של Google Kubernetes Engine (GKE) משתמשת באמצעי הבקרה מ-Kubernetes, ולכן היא מושפעת מנקודת החולשה הזו. מומלץ לשדרג את מישור הבקרה לגרסה האחרונה עם התיקון. לא צריך לשדרג צמתים. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2020-006
תאריך פרסום: 1 ביוני 2020תיאור
| תיאור | רמת סיכון | הערות |
|---|---|---|
|
ב-Kubernetes חשפו נקודת חולשה שמאפשרת לקונטיינר מורשה להפנות תעבורת נתונים של צומת לקונטיינר אחר. במתקפה הזו אי אפשר לקרוא או לשנות תעבורת נתונים הדדית של TLS/SSH, למשל בין ה-kubelet ושרת ה-API או תעבורת נתונים מאפליקציות באמצעות mTLS. כל הצמתים של Google Kubernetes Engine (GKE) מושפעים מנקודת החולשה הזו, ומומלץ לשדרג אותם לגרסה האחרונה עם התיקון. להוראות ולפרטים נוספים, קראו את העדכונים הבאים: |
בינוני |
GCP-2020-005
תאריך פרסום: 7 במאי 2020תיאור
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
לאחרונה התגלתה נקודת חולשה בליבה של Linux, כפי שמפורט ב-CVE-2020-8835, שמאפשרת לנתיבי בריחה מהקונטיינר לקבל הרשאות root בצומת המארח. צמתי Ubuntu של Google Kubernetes Engine (GKE) שמריצים בגרסה 1.16 או 1.17 של GKE מושפעים מנקודת החולשה הזו. מומלץ לשדרג לגרסה האחרונה עם התיקון. להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE. |
גבוהה |
GCP-2020-004
תאריך פרסום: 31 במרץ 2020תאריך עדכון: 31 במרץ 2020
תיאור
ב-Kubernetes חשפו את נקודות החולשה הבאות:
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
CVE-2019-11254: זוהי נקודת חולשה של התקפת מניעת שירות (DoS) שמשפיעה על שרת ה-API. |
בינונית |
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE ב-VMware.
GCP-2020-003
תאריך פרסום: 31 במרץ 2020תאריך עדכון: 31 במרץ 2020
תיאור
ב-Kubernetes חשפו את נקודות החולשה הבאות:
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
CVE-2019-11254: זוהי נקודת חולשה של התקפת מניעת שירות (DoS) שמשפיעה על שרת ה-API. |
בינונית |
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE.
GCP-2020-002
תאריך פרסום: 23 במרץ 2020תאריך עדכון: 23 במרץ 2020
תיאור
ב-Kubernetes חשפו את נקודות החולשה הבאות:
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
CVE-2020-8551: זוהי נקודת חולשה של התקפת מניעת שירות (DoS) שמשפיעה על ה-kubelet. |
בינונית |
|
|
CVE-2020-8552: זוהי נקודת חולשה של התקפת מניעת שירות (DoS) שמשפיעה על שרת ה-API. |
בינונית |
להוראות ולפרטים נוספים, קראו את עדכון האבטחה הדחוף ל-GKE.
GCP-2020-001
תאריך פרסום: 21 בינואר 2020תאריך עדכון: 21 בינואר 2020
תיאור
Microsoft חשפה את נקודת החולשה הבאה:
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
CVE-2020-0601: נקודת החולשה הזו נקראת גם Windows Crypto API Spoofing Vulnerability. אפשר לנצל אותה כדי לגרום לקובצי הפעלה זדוניים להיראות מהימנים או לאפשר לתוקף לערוך התקפות אדם בתווך ולפענח מידע סודי לגבי חיבורי משתמשים לתוכנה המושפעת. |
ציון בסיס של NVD: 8.1 (גבוהה) |
למידע נוסף, קראו את הדיווח של Microsoft.
Google Cloud השפעה
התשתית שמארחת את המוצרים של Google Cloud ו-Google לא מושפעת מנקודת החולשה הזו. ריכזנו כאן מידע נוסף מפורט על כל מוצר ומוצר.
מוצר |
השפעה |
|---|---|
Compute Engine |
CVE-2020-0601 |
Google Kubernetes Engine |
CVE-2020-0601 |
שירות מנוהל ל-Microsoft Active Directory |
CVE-2020-0601 |
Google Workspace |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
סביבת ברירת המחדל ב-App Engine |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
סביבה גמישה ב-App Engine |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Cloud Run |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
פונקציות Cloud Run |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Managed Service for Apache Airflow |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Dataflow |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Managed Service for Apache Spark |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
Cloud SQL |
לא נדרשת פעולה מצד הלקוחות. השירות הזה לא מושפע מנקודת החולשה הזו. |
GCP-2019-001
תאריך פרסום: 12 בנובמבר 2019תאריך עדכון: 12 בנובמבר 2019
תיאור
Intel דיווחה על נקודות החולשה הבאות:
נקודת חולשה |
רמת סיכון |
CVE |
|---|---|---|
|
CVE-2019-11135: אפשר להשתמש בנקודת החולשה הזו שמכונה TSX Async Abort (TAA) כדי לנצל ביצוע ספקולטיבי בטרנזקציות של TSX. נקודת החולשה הזו עלולה לאפשר חשיפה של נתונים דרך אותם מבני נתונים במיקרו-ארכיטקטורה שנחשפו על ידי דגימת נתונים של מיקרו-ארכיטקטורה (MDS). |
בינונית |
|
|
CVE-2018-12207: זוהי נקודת חולשה של התקפת מניעת שירות (DoS) שמשפיעה על מארחים של מכונות וירטואליות (לא על אורחים). הבעיה הזו נקראת Machine Check Error on Page Size Change' |
בינונית |
למידע נוסף, קראו את הדיווחים של Intel:
Google Cloud השפעה
התשתית שמארחת את המוצרים של Google Cloud ו-Google מוגנת מפני נקודות החולשה האלה. ריכזנו כאן מידע נוסף מפורט על כל מוצר ומוצר.
מוצר |
השפעה |
|---|---|
Compute Engine |
CVE-2019-11135 CVE-2018-12207 |
Google Kubernetes Engine |
CVE-2019-11135 CVE-2018-12207 |
סביבת ברירת המחדל ב-App Engine |
לא נדרשת כל פעולה נוספת. |
סביבה גמישה ב-App Engine |
CVE-2019-11135 CVE-2018-12207 |
Cloud Run |
לא נדרשת כל פעולה נוספת. |
פונקציות Cloud Run |
לא נדרשת כל פעולה נוספת. |
Managed Service for Apache Airflow |
לא נדרשת כל פעולה נוספת. |
Dataflow |
CVE-2019-11135 CVE-2018-12207 |
Managed Service for Apache Spark |
CVE-2019-11135 CVE-2018-12207 |
Cloud SQL |
לא נדרשת כל פעולה נוספת. |