Buletin keamanan

Buletin keamanan berikut terkait dengan produk Google Cloud .

Gunakan feed XML ini untuk berlangganan buletin keamanan untuk halaman ini. Berlangganan

GCP-2026-072

Dipublikasikan: 24-10-2026

Deskripsi

Deskripsi Keparahan Catatan

Dua kerentanan di inti PHP, CVE-2026-109618 dan CVE-2026-109619 ("PHP2Shell"), memungkinkan penyerang yang tidak diautentikasi untuk mengeksekusi kode dari jarak jauh di server yang menjalankan versi PHP yang rentan. Masalah ini telah diperbaiki di PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Tidak ada rilis tetap untuk PHP 8.1 atau yang lebih lama.

Dampak pada Apigee terbatas pada portal developer Apigee berbasis Drupal, yang di-deploy dan dioperasikan oleh pelanggan. Produk Apigee lainnya tidak menggunakan PHP dan tidak terpengaruh.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Apigee.

Kritis CVE-2026-109618
CVE-2026-109619

GCP-2026-071

Dipublikasikan: 23-10-2026

Deskripsi

Deskripsi Keparahan Catatan

Pada Sabtu, 17 Oktober 2026, Google menerima laporan dari peneliti keamanan terkait penyusupan kunci pribadi yang terkait dengan delapan sertifikat Certification Authority (CA) bawahan eMudhra, termasuk yang ditandatangani silang oleh AAA Certificate Services. Akibatnya, sertifikat CA ini tidak lagi dipercaya dan dicabut.

Meskipun infrastruktur Google Cloud tetap aman, produk, image dasar, dan SDK klien Google Cloud dan Firebase berikut terpengaruh:

  • Google Cloud CLI
  • Cloud Shell
  • Container-Optimized OS
  • Compute Engine
  • Google Kubernetes Engine
  • Vertex AI
  • Colab Enterprise
  • App Engine
  • Cloud Run
  • Cloud Run Functions
  • Cloud Functions for Firebase
  • Firebase AppHosting
  • Cloud SQL
  • AlloyDB
  • Cloud Firestore
  • Firebase App Distribution
  • Cloud Monitoring
  • Confidential Space
  • Google Distributed Cloud

Apa yang harus saya lakukan?

Google Cloud secara aktif mengelola masalah ini di seluruh layanan infrastruktur dan platform kami, dan infrastruktur Google Cloud belum diretas. Telemetri keamanan tidak menunjukkan bukti eksploitasi terhadap workload Google Cloud, dan mitigasi proaktif telah diterapkan di seluruh lingkungan yang dikelola Google untuk memblokir dan tidak memercayai certificate authority yang terpengaruh.

Untuk lingkungan dan dependensi yang Anda kelola secara langsung, lakukan tindakan berikut:

  • Sistem Operasi & Lingkungan yang Dikelola Sendiri: Jika Anda mengelola sistem operasi atau image container kustom di Compute Engine, Google Kubernetes Engine (GKE), atau Cloud Run, update trust store melalui vendor sistem operasi Anda untuk mencabut kepercayaan pada sertifikat eMudhra (emSign) dan AAA Certificate Services yang disusupi:
    • Red Hat Enterprise Linux (RHEL): Ikuti RHSB-2026-012.
    • Debian: Update ke paket ca-certificates terbaru (Bug 1151446).
    • Ubuntu: Ikuti USN-8944-1.
    • Windows: Instal update Windows terbaru.
    • Container-Optimized OS (COS): Upgrade atau mulai ulang node untuk mengambil rilis milestone COS saat ini, atau terapkan alat cos_ca_cert_mitigation.
  • Google Cloud CLI: Update ke rilis gcloud CLI terbaru untuk memastikan dependensi yang dipaketkan menyertakan penyimpanan sertifikat yang telah diupdate.
  • Panduan Khusus Layanan: Untuk layanan Google Cloud dan Firebase terkelola, seperti Google Kubernetes Engine, runtime Serverless, Database Terkelola, Cloud Firestore, Firebase App Distribution, dan Confidential Space, Google Cloud meluncurkan update di seluruh fleet terkelola, dan detail khusus layanan, catatan rilis, serta komunikasi pelanggan akan dipublikasikan melalui dokumentasi produk masing-masing dan saluran dukungan resmi saat tersedia. Tinjau dokumentasi layanan individual untuk mendapatkan petunjuk yang disesuaikan dengan deployment Anda. Untuk mengetahui detail dan versi patch GKE, lihat buletin keamanan GKE.

Jika ada pertanyaan atau memerlukan bantuan, hubungi Dukungan Google Cloud dan sebutkan nomor masalah #576444463.

Kerentanan apa yang sedang ditangani?

Kunci pribadi untuk delapan sertifikat Certificate Authority (CA) bawahan eMudhra (emSign) dibuat menggunakan keacakan kriptografis yang tidak memadai (entropi lemah).

Kelemahan ini memungkinkan penyerang jarak jauh dengan akses jaringan untuk merekonstruksi kunci pribadi, memalsukan sertifikat TLS tepercaya, dan melakukan intersepsi Man-in-the-Middle (MitM) terhadap klien, container, atau SDK TLS yang belum menghapus kepercayaan pada subordinate CA ini.

 Sedang

GCP-2026-070

Dipublikasikan: 21-10-2026

Deskripsi

Deskripsi Keparahan Catatan

Dua kerentanan eksekusi kode jarak jauh ditemukan dalam bahasa PHP open source. Meskipun Google Cloud sendiri tidak rentan, pengguna bahasa ini yang berjalan di Google Cloud mungkin rentan.

Versi bahasa berikut terpengaruh oleh kerentanan ini:

  • Semua versi PHP antara 5.4 dan 8.5

Versi framework berikut menyertakan perbaikan untuk kerentanan ini:

  • PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35

Apa yang harus saya lakukan?

Pelanggan harus segera mengambil tindakan untuk melindungi workload mereka dengan men-deploy ulang workload mereka dengan dependensi yang telah diupdate. Beberapa workload mungkin di-patch dan diupdate secara otomatis ke PHP terbaru jika berada di Google App Engine Standard atau salah satu dari Cloud Run, Cloud Run Functions dengan update otomatis diaktifkan. Lihat postingan blog untuk mengetahui informasi selengkapnya.

Bagaimana Google dapat membantu?

Pelanggan yang menggunakan Artifact Analysis akan menerima notifikasi tentang kerentanan ini pada artefak baru dan yang sudah ada untuk membantu mereka mengidentifikasi workload yang berisiko.

 Kritis

GCP-2026-069

Dipublikasikan: 19-10-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan ditemukan di Istio dan Envoy Proxy (ISTIO-SECURITY-2026-007).

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Sedang hingga Tinggi

GCP-2026-068

Dipublikasikan: 14-10-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Otorisasi yang Salah dalam runtime eksekusi validasi dan integrasi AuthConfig di Application Integration versi sebelum 27 Agustus 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 27 Agustus 2026.

Kerentanan apa yang sedang ditangani?

Pengguna yang diautentikasi dapat mengeskalasi hak istimewa dan meniru identitas akun layanan di project Google Cloud .

 Kritis CVE-2026-85298

GCP-2026-067

Dipublikasikan: 12-10-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Denial-of-Service (DoS) ditemukan di Envoy Proxy saat filter HTTP (seperti ext_proc dengan route_cache_action: RETAIN) mengubah header :path setelah pemilihan rute pada rute yang dikonfigurasi dengan prefix_rewrite.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi envoyproxy/envoy#47841

GCP-2026-066

Dipublikasikan: 28-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Confused Deputy ditemukan di komponen Email Task di Application Integration versi sebelum 30 Juni 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 30 Juni 2026.

Kerentanan apa yang sedang ditangani?

Penyerang yang diautentikasi dapat membaca dan mengeksfiltrasi file internal Google arbitrer menggunakan jalur lampiran yang dibuat.

 Tinggi CVE-2026-81375

GCP-2026-065

Dipublikasikan: 28-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Deserialisasi Data yang Tidak Tepercaya ditemukan di Tugas JavaScript di Application Integration versi sebelum 28 Juni 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 28 Juni 2026.

Kerentanan apa yang sedang ditangani?

Pengguna yang diautentikasi dengan izin standar dapat menggunakan skrip yang dibuat khusus untuk menjalankan kode arbitrer di server produksi bersama.

 Kritis CVE-2026-81867

GCP-2026-064

Dipublikasikan: 28-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Otorisasi yang Salah ditemukan dalam konfigurasi tugas di Application Integration versi sebelum 17 Juni 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 17 Juni 2026.

Kerentanan apa yang sedang ditangani?

Pengguna yang diautentikasi dapat menggunakan jenis tugas khusus internal untuk mengeksekusi RPC internal arbitrer dari jaringan produksi internal Google dengan identitas istimewa.

 Kritis CVE-2026-19759

GCP-2026-063

Dipublikasikan: 16-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Pengelolaan Hak Istimewa yang Tidak Tepat di Google Security Operations SOAR telah di-patch dengan versi 6.3.85, dan tidak ada tindakan pelanggan yang diperlukan. Kerentanan ini memungkinkan penyerang yang terautentikasi mengeskalasi hak istimewa ke akses administratif tingkat sistem menggunakan header autentikasi internal yang dibuat khusus.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Semua pelanggan telah diupgrade secara otomatis ke versi yang diperbaiki: 6.3.85 atau yang lebih tinggi.

 Kritis CVE-2026-15587

GCP-2026-062

Dipublikasikan: 11-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Beberapa kerentanan keamanan ditemukan di Slurm yang memengaruhi blueprint Cluster Toolkit yang merujuk pada versi image tertentu. Kerentanan ini memengaruhi daemon slurmstepd, penanganan permintaan RPC, dan database akuntansi.

Apa yang harus saya lakukan?

Untuk mengetahui petunjuk dan detail selengkapnya, lihat Buletin keamanan Cluster Toolkit.

Tinggi

GCP-2026-061

Dipublikasikan: 09-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan (GHSA-p7v4-vr35-mj6f, penetapan CVE tertunda) dalam implementasi CRI containerd memungkinkan container yang dipulihkan dari checkpoint yang tidak tepercaya melalui CreateContainer API untuk mengabaikan konteks keamanan tujuan dan mengeksekusi dengan hak istimewa yang ditingkatkan.

Cluster GKE tidak rentan secara default. Image node GKE tidak menyertakan alat criu.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun saat ini untuk cluster default. Jika Anda menginstal software runtime kustom atau alat node di node yang menyertakan biner criu, lihat buletin keamanan untuk mengetahui tindakan yang direkomendasikan.

Kerentanan apa yang sedang ditangani?

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan GKE.

 Sedang GHSA-p7v4-vr35-mj6f

GCP-2026-060

Dipublikasikan: 04-09-2026

Diperbarui: 08-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 08-09-2026: Menambahkan link ke buletin keamanan Cluster Toolkit.

Kelemahan keamanan di alat sbcast Slurm (CVE-2026-65107) memungkinkan file library bersama mengabaikan pemeriksaan keamanan dan dapat membuat node di cluster Anda error.

Apa yang harus saya lakukan?

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-65107

GCP-2026-059

Dipublikasikan: 04-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Otorisasi yang Hilang ditemukan di Konektor HTTP di Integration Connectors versi sebelum 11 Desember 2025.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 11 Desember 2025.

Kerentanan apa yang sedang ditangani?

Penyerang yang terautentikasi dapat menggunakan lampiran akun layanan yang tidak sah untuk mengeskalasi hak istimewa dan mengambil alih project Google Cloud .

 Tinggi CVE-2026-4644

GCP-2026-058

Dipublikasikan: 02-09-2026

Deskripsi

Deskripsi Keparahan Catatan

Pemeriksaan izin project yang tidak ada di API GKE Multi-Cloud (CreateAttachedCluster, CreateAwsCluster, CreateAzureCluster) memungkinkan penyerang mendaftarkan cluster yang terpasang ke Workload Identity Federation for GKE milik project target arbitrer. Pendaftaran ini memungkinkan pembuatan token Workload Identity yang tidak sah dan peniruan identitas Akun Layanan Kubernetes yang memiliki binding di project target melalui konfigurasi Workload Identity Federation for GKE.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan GKE

 Kritis

GCP-2026-057

Dipublikasikan: 26-08-2026

Deskripsi

Deskripsi Keparahan Catatan

Serangkaian kerentanan ditemukan di Envoy Proxy.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Sedang hingga Tinggi

GCP-2026-056

Dipublikasikan: 26-08-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Validasi Input yang Tidak Tepat ditemukan di driver JDBC dalam BigQuery Data Transfer Service versi sebelum 1 Mei 2026.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Kerentanan ini telah di-patch pada 1 Mei 2026.

Kerentanan apa yang sedang ditangani?

Penyerang yang terautentikasi dapat menggunakan parameter string koneksi JDBC yang dibuat untuk mencapai eksekusi kode jarak jauh di container konektor dan mengeskalasi hak istimewa di project tenant.

 Kritis CVE-2026-12717

GCP-2026-055

Dipublikasikan: 25-08-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Eksekusi Kode Jarak Jauh (RCE) yang serius dan tidak diautentikasi ada di Next.js dan libheif saat memproses file gambar berbahaya. Infrastruktur Google Cloud tidak rentan secara langsung, tetapi workload pelanggan yang menjalankan Next.js di Google Cloud (misalnya, Cloud Run, GKE, App Engine) mungkin terpengaruh.

Apa yang harus saya lakukan?

Layanan backendGoogle Cloud tidak terpengaruh secara langsung, dan tidak ada tindakan yang diperlukan untuk mengamankan infrastruktur Google Cloud yang mendasarinya. Namun, pelanggan yang menghosting aplikasi Next.js di Google Cloud harus segera mengambil tindakan untuk mengamankan workload mereka sendiri. Sebaiknya upgrade deployment Next.js Anda secara manual ke salah satu versi berikut (atau yang lebih baru) di package.json: 

  • 16.3.3
  • 15.5.24
Pelanggan yang menggunakan libheif harus memantau patch OS upstream dan membangun ulang image dasar container mereka. Deploy ulang workload yang telah diupdate untuk memastikan container yang berjalan menggunakan versi yang telah di-patch.

Kerentanan apa yang sedang ditangani?

Kerentanan, GHSA-2xp9-vwfh-vxw4 dan GHSA-g89c-p67h-r497, memungkinkan penyerang mengeksekusi kode arbitrer dalam konteks aplikasi dengan menyediakan file gambar yang dibuat selama pengoptimalan gambar Next.js. Masalah ini terjadi karena cara library libheif yang mendasarinya memproses kotak aperture bersih dalam gambar HEIF/AVIF.

 Tinggi GHSA-2xp9-vwfh-vxw4 GHSA-g89c-p67h-r497

GCP-2026-054

Dipublikasikan: 11-08-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan (CVE-2026-6726, juga dikenal sebagai TCGVRT0010) telah diidentifikasi dalam kode implementasi referensi TPM 2.0 Trusted Computing Group, yang memengaruhi semua revisi kode yang dipublikasikan (v1.16, v1.38, v1.59, v1.83, v184).

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Google akan secara proaktif mengupdate sistem Anda selama masa pemeliharaan standar dan terencana.

Kerentanan apa yang sedang ditangani?

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Compute Engine.

 Tinggi CVE-2026-6726

GCP-2026-053

Dipublikasikan: 11-08-2026

Deskripsi

Deskripsi Keparahan Catatan

Google mengetahui beberapa kerentanan keamanan yang memengaruhi firmware Intel® Trust Domain Extensions (TDX) yang dapat membahayakan integritas tamu rahasia. Kerentanan ini dapat memungkinkan musuh host dengan hak istimewa mengabaikan pemeriksaan pengesahan, mengakses register yang dibatasi, atau mendekripsi memori tamu yang biasanya dilindungi.

Produk Google apa yang terpengaruh?

Semua instance Confidential VM yang mengandalkan teknologi Intel TDX.

Apa yang sebaiknya saya lakukan?

Google telah secara proaktif menerapkan upgrade firmware ini ke fleet server kami untuk memitigasi kerentanan ini. Pelanggan yang tidak menerima saran langsung terpisah untuk melakukan upgrade tidak perlu melakukan tindakan apa pun.

Untuk mengetahui informasi selengkapnya, lihat saran teknis PSIRT Intel: INTEL-TA-01404, INTEL-TA-01428, INTEL-TA-01419, INTEL-TA-01439, INTEL-TA-01442, INTEL-TA-01436.

Tinggi

GCP-2026-052

Dipublikasikan: 07-08-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan telah diidentifikasi di Memory Management Unit (MMU) bayangan x86 Kernel-based Virtual Machine (KVM) yang memengaruhi platform Intel dan AMD.

Apa yang harus saya lakukan?

Tidak ada tindakan yang diperlukan untuk virtual machine Compute Engine terkelola. Karena kerentanan berada di hypervisor host, Google telah memitigasi semua infrastruktur host berbasis Intel dan AMD yang terpengaruh secara transparan melalui patch langsung tanpa memerlukan periode nonaktif, mulai ulang, atau upgrade manual VM pelanggan.

Jika Anda mengoperasikan lingkungan virtual yang dikelola sendiri atau hypervisor host kustom di luar infrastruktur Compute Engine terkelola standar, Anda harus memastikan kernel Linux host Anda diupdate dengan patch upstream segera setelah tersedia dari vendor distribusi sistem operasi Anda.

Kerentanan apa yang sedang ditangani?

Ini adalah kerentanan KVM yang dapat menyebabkan VM escape. Tidak ada eksploitasi aktif yang diamati, dan ini adalah upaya patching proaktif.

 Tidak ada CVE-2026-64561

GCP-2026-051

Dipublikasikan: 31-07-2026

Deskripsi

Pembaruan 04-08-2026: Versi rilis patch VMware adalah 1.33.1200, bukan 1.33.1100 seperti yang dinyatakan dalam buletin awal.

Deskripsi Keparahan

Kerentanan berikut telah ditemukan di containerd (runtime container GDC). Kerentanan ini memungkinkan penyerang yang memiliki izin untuk membuat Pod melewati batas keamanan Kubernetes dan melakukan penyusupan host, peracunan cache, dan denial of service. Meskipun kerentanan ini sangat penting dalam konteks containerd, persyaratan untuk memiliki hak istimewa cluster guna membuat Pod untuk mengeksploitasinya berarti kerentanan tersebut dianggap Tinggi menurut klasifikasi kerentanan GDC (khusus software).

  • CVE-2026-50195 (Kritis): proses impor checkpoint CRI containerd gagal memvalidasi referensi image. Penyerang yang memiliki izin untuk membuat Pod dapat menggunakan image checkpoint yang dibuat untuk meracuni cache image lokal node, sehingga pod lain menggunakan image berbahaya.
  • CVE-2026-53488 (Kritis): Plugin CRI menyebarkan label dari konfigurasi image ke container tanpa validasi. Hal ini dapat mengakibatkan eksekusi perintah arbitrer pada host.
  • CVE-2026-53492 (Kritis): Implementasi CRI tidak memercayai anotasi Container Device Interface (CDI) dengan benar selama pemulihan container. Hal ini memungkinkan penyerang memasukkan konfigurasi CDI arbitrer (seperti pemasangan host dan node perangkat) ke dalam container yang dipulihkan, sehingga mengabaikan alokasi resource dan penerapan plugin perangkat.
  • CVE-2026-53489 (Tinggi): Plugin CRI memulihkan container.log tanpa memvalidasi jalur symlink, sehingga penyerang dapat membaca file host arbitrer melalui log kubectl.
  • CVE-2026-47262 (Sedang): Kerentanan di containerd memungkinkan image yang dibuat secara berbahaya menyebabkan kehabisan memori (DoS) pada proses containerd.
Kerentanan ini memengaruhi semua konfigurasi GDC (khusus software) yang menggunakan image node Ubuntu.

Apa yang harus saya lakukan?

Untuk GDC software only on bare metal, patch berikut akan berisi perbaikan untuk masalah kerentanan:

  • 1.34.800
  • 1.33.1100

Untuk GDC software only di VMware, patch berikut akan berisi perbaikan untuk kerentanan:

  • 1.34.800
  • 1.33.1200
 Tinggi

GCP-2026-050

Dipublikasikan: 29-07-2026

Deskripsi

Deskripsi Keparahan Catatan

Berdasarkan saran VMSA-2026-0006, beberapa kerentanan di VMware ESXi dan vCenter dilaporkan secara pribadi ke Broadcom. Kami sedang dalam proses menerapkan patch yang diperlukan yang disediakan oleh Broadcom. Tidak ada solusi yang diketahui untuk kerentanan yang dilaporkan ini.

Setelah di-patch, deployment VMware Engine Anda akan menjalankan vCenter dan ESXi 8.0 U3k.

Apa yang harus saya lakukan?

Google merekomendasikan pelanggan untuk memantau workload mereka di VMware Engine untuk mendeteksi aktivitas yang tidak biasa.

 Kritis
  • VMSA-2026-0006
  • CVE-2026-59309
  • CVE-2026-59310
  • CVE-2026-47876
  • CVE-2026-41703
  • CVE-2026-41709

GCP-2026-049

Dipublikasikan: 22-07-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Pembuatan Skrip Lintas Situs (XSS) yang direfleksikan ditemukan di Google Cloud Looker. Penyerang dapat membuat URL berbahaya yang, jika dibuka oleh administrator yang diautentikasi, akan memungkinkan penyerang mengeksekusi skrip arbitrer atas nama mereka dan berpotensi membahayakan akun administrator.

Apa yang harus saya lakukan?

Untuk instance yang dihosting oleh Looker, Anda tidak perlu melakukan tindakan apa pun.

Untuk instance Looker yang dihosting sendiri, update instance Looker Anda sesegera mungkin. Kerentanan ini telah di-patch di semua versi Looker yang didukung untuk instance yang dihosting sendiri. Versi berikut telah diupdate untuk memperbaiki kerentanan ini:

  • Looker 26.8.7 dan semua versi yang lebih baru
  • Looker 26.6.28+
  • Looker 26.4.36+
  • Looker 26.2.47+
  • Looker 26.0.66+
  • Looker 25.18.68+
  • Looker 25.12.65+
  • Looker 25.6.103+

Kerentanan apa yang sedang ditangani?

Untuk mengetahui informasi selengkapnya, lihat CVE-2026-15810.

 Tinggi CVE-2026-15810

GCP-2026-048

Dipublikasikan: 13-07-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan eskalasi hak istimewa telah diatasi di Developer Connect. Sebelumnya, untuk koneksi GitLab Enterprise dan Bitbucket Data Center, saat secret Secret Manager diambil, izin hanya diperiksa terhadap kredensial agen layanan Developer Connect (P4SA). Developer Connect kini memvalidasi bahwa akun utama panggilan dan P4SA memiliki izin yang diperlukan pada secret yang direferensikan.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Developer Connect.

Sedang

GCP-2026-047

Dipublikasikan: 13-07-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Missing Authorization ditemukan di repositori di BigQuery, Dataform, dan Colab Enterprise.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Google telah menerapkan mitigasi ke semua produk dan layanan yang terpengaruh.

Kerentanan apa yang sedang ditangani?

Selama pembuatan repositori, penyerang yang diautentikasi berpotensi meningkatkan izin mereka dan melakukan pengambilalihan repositori lintas tenant.

 Kritis CVE-2026-14934

GCP-2026-046

Dipublikasikan: 06-07-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan virtualisasi telah diidentifikasi dalam konfigurasi shadow paging KVM x86 dan virtualisasi bertingkat. Karena penyerang yang mengoperasikan virtual machine dengan virtualisasi bertingkat dapat keluar dari isolasi batas hypervisor untuk membahayakan host fisik yang mendasarinya, virtual machine x86 apa pun (baik bertingkat maupun tidak bertingkat) yang dihosting di server berbasis Intel yang mendukung virtualisasi bertingkat berpotensi terekspos.

Apa yang harus saya lakukan?

Google men-deploy hotpatch hypervisor langsung di semua server host Compute Engine terkelola secara global. Anda tidak perlu melakukan tindakan apa pun untuk virtual machine Compute Engine atau cluster Google Kubernetes Engine terkelola. Karena perbaikan dilakukan secara transparan di tingkat hypervisor host fisik, periode nonaktif, mulai ulang, atau upgrade manual VM pelanggan tidak diperlukan.

Pelanggan yang mengoperasikan lingkungan virtual yang dikelola sendiri atau hypervisor host kustom di luar infrastruktur Compute Engine terkelola standar harus memastikan kernel Linux host mereka diupdate dengan patch upstream segera setelah tersedia dari vendor sistem operasi mereka.

Kerentanan apa yang sedang ditangani?

Kerentanan (CVE-2026-53359) mengeksploitasi error use-after-free dalam paging bayangan x86 dan rutinitas terjemahan tabel halaman bertingkat. Google tidak menemukan bukti eksploitasi pelanggan aktif di lingkungan produksi. Patching langsung dan pemantauan tingkat host telah diterapkan secara global untuk memitigasi risiko dan mendeteksi upaya eksploitasi.

 Tinggi/S0 CVE-2026-53359
(Januscape)

GCP-2026-045

Dipublikasikan: 29-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan terdeteksi di Envoy Proxy, yang memungkinkan decoding QPACK yang diblokir menyebabkan Serangan Denial-of-Service terhadap stack HTTP/3.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

 Tinggi GHSA-p7c7-7c47-pwch

GCP-2026-044

Dipublikasikan: 25-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan terdeteksi dalam tugas JavaScript Application Integration, yang menggunakan mesin JavaScript Rhino. Hal ini hanya memengaruhi tugas yang dipublikasikan sebelum Januari 2025.

Untuk mengetahui detail dan petunjuknya, lihat buletin keamanan Application Integration.

Tinggi CVE-2025-0982

GCP-2026-043

Dipublikasikan: 24-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan ditemukan di Firebase Studio, yaitu RPC GetSignedGcsUrl memungkinkan pengguna yang diautentikasi untuk mencantumkan bucket dan mendownload kode sumber deployment tenant lain.

Anda tidak perlu melakukan tindakan apa pun untuk mengurangi kerentanan ini karena perbaikan telah di-deploy ke layanan backend.

Sebagai tindakan pencegahan, pengguna yang menyimpan informasi sensitif, seperti kunci API (misalnya, GEMINI_API_KEY), dalam ruang kerja Firebase Studio mereka dapat memilih untuk merotasi kunci ini. Untuk mengetahui petunjuknya, lihat panduan pemecahan masalah Firebase Studio.

 Tinggi CVE-2026-12715

GCP-2026-042

Dipublikasikan: 24-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan eskalasi akses telah diatasi di Cloud Build. Sebelumnya, untuk koneksi GitLab Enterprise dan Bitbucket Data Center, saat secret Secret Manager diambil, izin hanya diperiksa terhadap kredensial agen layanan Cloud Build (P4SA). Cloud Build kini memvalidasi bahwa akun utama yang memanggil dan P4SA memiliki izin yang diperlukan pada secret yang direferensikan.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Build.

Rendah

GCP-2026-041

Dipublikasikan: 24-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Investigasi keamanan baru-baru ini dilakukan terkait kerentanan log4j (CVE-2026-34480 dan CVE-2026-34477) yang dilaporkan di Apigee Edge for Private Cloud. Google telah menentukan bahwa Apigee Edge for Private Cloud tidak rentan terhadap CVE ini. Pelanggan tidak perlu melakukan tindakan apa pun.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Apigee.

Tinggi CVE-2026-34480
CVE-2026-34477

GCP-2026-040

Dipublikasikan: 23-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Serangkaian kerentanan ditemukan di Envoy Proxy.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Sedang hingga Tinggi CVE-2026-47692
CVE-2026-47207
CVE-2026-47205
CVE-2026-47220
CVE-2026-47221
CVE-2026-48044
CVE-2026-48090
CVE-2026-47778
CVE-2026-47204
CVE-2026-48497
CVE-2026-48706
CVE-2026-48743
CVE-2026-47775
CVE-2026-48042

GCP-2026-039

Dipublikasikan: 22-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan di Cloud Logging dapat memungkinkan penyerang membajak tujuan sink log dengan membuat ulang bucket Cloud Storage target dalam project yang dikontrol oleh penyerang. Masalah ini dapat mengakibatkan perutean log sensitif secara terus-menerus ke pihak ketiga yang tidak sah.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Google Cloud Observability.

 Sedang

GCP-2026-038

Dipublikasikan: 22-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan ditemukan di App Engine, yaitu operasi API pribadi GetDashboardAppStats GraphQL di konsol Google Cloud membocorkan log permintaan lintas tenant.

Anda tidak perlu melakukan tindakan apa pun. Kerentanan ini telah diperbaiki.

 Tinggi CVE-2026-8934

GCP-2026-037

Dipublikasikan: 18-06-2026

Diperbarui: 20-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 20-06-2026: Menambahkan versi patch GKE yang berisi perbaikan untuk image node Container-Optimized OS untuk versi minor 1.35 dan 1.36. Patch untuk image node Ubuntu masih tertunda dan sedang dalam proses.

Pembaruan 19-06-2026: Menambahkan versi patch GKE yang berisi perbaikan untuk image node Container-Optimized OS untuk versi minor dari 1.30 hingga 1.34. Patch untuk image node Ubuntu dan untuk versi minor 1.35 dan 1.36 untuk image node Container-Optimized OS sedang dalam proses.

Beberapa kerentanan telah ditemukan di containerd (runtime container GKE). Kerentanan ini memungkinkan penyerang yang memiliki izin untuk membuat pod guna mengabaikan batas keamanan Kubernetes dan melakukan penyusupan host, cache poisoning, dan denial of service.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan GKE

 Kritis CVE-2026-50195
CVE-2026-53488
CVE-2026-53492
CVE-2026-53489
CVE-2026-47262

GCP-2026-036

Dipublikasikan: 09-06-2026

Deskripsi

Deskripsi Keparahan Catatan

ARM telah mengumumkan CVE-2025-10263, masalah arsitektur yang memengaruhi beberapa core Arm yang memungkinkan penyerang mengabaikan tahap terjemahan atau perlindungan GPT dalam kondisi tertentu. Kerentanan ini memungkinkan penyerang di tingkat pengecualian yang lebih rendah untuk menulis ke memori yang dimiliki oleh tingkat pengecualian yang lebih tinggi, sehingga meningkatkan hak istimewa. Masalah ini tidak memengaruhi pembacaan memori.

Untuk informasi selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-10263

GCP-2026-035

Dipublikasikan: 08-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan ditemukan di Envoy, yaitu pemrosesan permintaan downstream HTTP/2 memungkinkan klien jarak jauh yang tidak diautentikasi memicu konsumsi memori yang berlebihan, yang berpotensi mengakibatkan penghentian OOM pada proses Envoy dan denial of service.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

 Tinggi CVE-2026-47774

GCP-2026-034

Dipublikasikan: 20-05-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan ditemukan di Apigee, yaitu parameter IntegrationRegion dalam kebijakan SetIntegrationRequest tidak memiliki validasi, sehingga memungkinkan Pemalsuan Permintaan Sisi Server (SSRF) dan pemindahan token akun layanan yang tidak sah. Masalah ini muncul saat penyerang dapat mengontrol variabel alur yang digunakan untuk IntegrationRegion, sehingga permintaan dikirim ke host yang dikontrol penyerang dengan token akun layanan.

 Tinggi CVE-2026-2264

GCP-2026-033

Dipublikasikan: 14-05-2026

Diperbarui: 16-07-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 16-07-2026: Versi GKE berikut diupdate dengan kode untuk memperbaiki kerentanan ini di Ubuntu. Upgrade node pool Ubuntu Anda ke versi berikut atau yang lebih baru:

  • 1.30.14-gke.2710000
  • 1.31.14-gke.2116000
  • 1.32.13-gke.1829000
  • 1.33.13-gke.1011000
  • 1.34.9-gke.1131000
  • 1.35.6-gke.1127000
  • 1.36.2-gke.1346000

Kerentanan container breakout CVE-2026-46300 telah ditemukan di kernel Linux, yang dikenal sebagai Fragnesia. Hal ini memungkinkan penyerang lokal tanpa hak istimewa untuk meningkatkan hak istimewa ke root di host.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang CVE-2026-46300

GCP-2026-032

Dipublikasikan: 12-05-2026

Deskripsi

Deskripsi Keparahan Catatan

AMD telah mengidentifikasi kerentanan tingkat hardware di prosesor mikroarsitektur Zen 2 (termasuk seri EPYC dan Ryzen) yang melibatkan potensi kerusakan dalam cache operasi mikro (OP). Dalam kondisi tertentu, masalah ini (AMD-SN-7052 / CVE-2025-54518) dapat menyebabkan bypass batas keamanan atau akses data yang tidak sah.
Kami telah men-deploy perbaikan di seluruh infrastruktur Google untuk mengurangi masalah ini.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Compute Engine.

 Tinggi CVE-2025-54518

GCP-2026-031

Dipublikasikan: 12-05-2026

Deskripsi

Deskripsi Keparahan Catatan

Peneliti menemukan kerentanan dalam firmware AMD yang, karena tidak adanya perlindungan, dapat memungkinkan hypervisor berbahaya mengeksekusi kode arbitrer di AMD Secure Processor (ASP). Hal ini memungkinkan eskalasi izin baca dan tulis Memory Mapped I/O (MMIO), yang membahayakan kerahasiaan dan integritas tamu SEV-SNP.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Compute Engine.

 Sedang

GCP-2026-030

Dipublikasikan: 11-05-2026

Diperbarui: 24-06-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 24-06-2026: Menambahkan versi patch untuk GKE.

Update 20-05-2026: Menambahkan CVE-2026-43500 dan menambahkan ID CVE ke jalur eksploitasi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2026-43284
  • CVE-2026-43500

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-43284

GCP-2026-029

Dipublikasikan: 07-05-2026

Deskripsi

Deskripsi Keparahan Catatan

Microsoft mengupdate sertifikat Booting Aman yang awalnya diterbitkan pada tahun 2011 untuk memastikan perangkat Windows terus memverifikasi software booting tepercaya. Sertifikat lama ini akan mulai habis masa berlakunya pada Juni 2026. Perangkat yang belum menerima sertifikat 2023 yang lebih baru akan terus dimulai dan beroperasi secara normal, dan update Windows standar akan terus diinstal. Namun, perangkat ini tidak akan lagi dapat menerima perlindungan keamanan baru untuk proses booting awal, termasuk update pada Windows Boot Manager, database Booting Aman, daftar pencabutan, atau mitigasi untuk kerentanan tingkat booting yang baru ditemukan. Selain itu, masa berlaku sertifikat Booting Aman yang berakhir mulai Juni 2026 akan memengaruhi sistem Linux yang menggunakan Booting Aman.

Apa yang harus saya lakukan?

Google merekomendasikan agar pelanggan mengupdate VM Windows mereka dengan melakukan tindakan yang sesuai seperti yang direkomendasikan oleh Microsoft. Distribusi seperti Ubuntu, Red Hat, dan Fedora sudah berupaya menyediakan paket yang diperbarui dan ditandatangani dengan kunci baru tahun 2023. Lihat juga dokumentasi Broadcom untuk mengatasi error dan peringatan di virtual machine VMware saat masa berlaku sertifikat Booting Aman hampir habis. Setelah Juni 2026, sistem yang tidak memiliki update sertifikat 2023 mungkin mengalami kegagalan selama penginstalan sistem operasi baru atau saat mengupdate firmware bootloader yang ada.

 Informatif Broadcom KB 423893

GCP-2026-028

Dipublikasikan: 05-05-2026

Diperbarui: 27-05-2026

Deskripsi

Deskripsi Keparahan Catatan

CVE-2026-31431, yang juga dikenal sebagai "Copy Fail", adalah kerentanan eskalasi hak istimewa lokal (LPE) dengan tingkat keparahan tinggi di kernel Linux yang memungkinkan pengguna tanpa hak istimewa mendapatkan akses root. Diungkapkan pada akhir April 2026, kerentanan ini berasal dari kelemahan logika dalam subsistem kriptografi kernel (algif_aead) yang diperkenalkan pada tahun 2017.

Apa yang harus saya lakukan?

Google merekomendasikan agar pelanggan melindungi VM Tamu Linux mereka dengan mengupdate kernel di semua VM Linux. Distribusi utama telah merilis atau meluncurkan perbaikan.

 Tinggi CVE-2026-31431

GCP-2026-027

Dipublikasikan: 01-05-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2026-23351

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-23351

GCP-2026-026

Dipublikasikan: 30-04-2026

Diperbarui: 04-05-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 04-05-2026: Menambahkan versi patch untuk GKE.

Kerentanan dalam kernel Linux (CVE-2026-31431) memungkinkan penyerang lokal tanpa hak istimewa menulis ke cache halaman sistem, yang berpotensi menyebabkan eskalasi hak istimewa lokal dan container escape.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-31431

GCP-2026-025

Dipublikasikan: 30-04-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2026-23274

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-23274

GCP-2026-024

Dipublikasikan: 28-04-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2025-38248

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38248

GCP-2026-023

Dipublikasikan: 28-04-2026

Diperbarui: 07-05-2026

Deskripsi

Deskripsi Keparahan Catatan

Update 07-05-2026: Menambahkan versi patch untuk node pool Ubuntu di GKE

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2026-23074

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-23074

GCP-2026-022

Dipublikasikan: 16-04-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2026-23209

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-23209

GCP-2026-021

Dipublikasikan: 14-04-2026

Deskripsi

Deskripsi Keparahan Catatan

AMD melaporkan kerentanan dalam firmware-nya yang dapat memungkinkan hypervisor berbahaya mengarahkan IOMMU untuk menulis ke memori tamu instance yang mengaktifkan AMD SEV-SNP, sehingga membahayakan integritas data tamu. Google meluncurkan mitigasi ke instance Confidential VM yang rentan dengan AMD SEV-SNP yang diaktifkan.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Mitigasi telah diterapkan ke instance Confidential VM dengan AMD SEV-SNP yang diaktifkan.

Untuk mengetahui informasi selengkapnya, lihat saran AMD AMD-SB-3016.

Sedang

CVE-2023-20585

GCP-2026-020

Dipublikasikan: 14-04-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2026-23231

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-23231

GCP-2026-019

Dipublikasikan: 14-04-2026

Deskripsi

Deskripsi Keparahan Catatan

Peneliti menemukan kerentanan dalam firmware AMD yang dapat memungkinkan hypervisor berbahaya mengubah setelan BIOS dan konfigurasi pemilihan rute Memory Mapped I/O (MMIO), sehingga membahayakan kerahasiaan dan integritas Confidential VM dengan tamu AMD SEV-SNP.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Compute Engine.

 Sedang CVE-2025-54510

GCP-2026-018

Dipublikasikan: 07-04-2026

Diperbarui: 15-04-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 15-04-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2026-23111

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-23111

GCP-2026-017

Dipublikasikan: 02-04-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2026-23273

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2026-23273

GCP-2026-016

Dipublikasikan: 27-03-2026

Diperbarui: 31-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 31-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38616

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38616

GCP-2026-015

Dipublikasikan: 27-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi akses pada node Container-Optimized OS: CVE-2026-23268.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Compute Engine:

 Tinggi CVE-2026-23268

GCP-2026-014

Dipublikasikan: 14-03-2026

Diperbarui: 25-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 25-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38678

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38678

GCP-2026-013

Dipublikasikan: 11-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di Envoy Proxy:

  • CVE-2026-26311
  • CVE-2026-26309
  • CVE-2026-26310
  • CVE-2026-26308
  • CVE-2026-26330

Kerentanan berikut ditemukan di Istio:

  • CVE-2026-31837
  • CVE-2026-31838

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Menengah hingga Tinggi

GCP-2026-012

Dipublikasikan: 20-02-2026

Deskripsi

Deskripsi Keparahan Catatan

Di Google Cloud Vertex AI, kerentanan yang melibatkan penamaan bucket yang dapat diprediksi diidentifikasi di Vertex AI Experiments dari versi 1.21.0 hingga (tetapi tidak termasuk) 1.133.0.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun untuk mitigasi.

CVE-2026-2473 memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk melakukan eksekusi kode jarak jauh lintas tenant, pencurian model, dan peracunan menggunakan bucket Cloud Storage yang dibuat sebelumnya dengan nama yang dapat diprediksi (Bucket Squatting). Kerentanan ini diidentifikasi di Vertex AI Experiments versi 1.21.0. Mitigasi telah diterapkan ke versi 1.133.0 dan yang lebih baru.

 Tinggi CVE-2026-2473

GCP-2026-011

Dipublikasikan: 20-02-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Pembuatan Skrip Lintas Situs (XSS) tersimpan di _genai/_evals_visualization diidentifikasi di google-cloud-aiplatform Google (Vertex AI Python SDK Visualization) di Exclusively-Hosted-Service.

Apa yang sebaiknya saya lakukan?

Pelanggan harus mengupdate SDK Python google-cloud-aiplatform ke versi 1.131.0 (dirilis pada 16-12-2025) atau yang lebih baru untuk menerima perbaikan.

CVE-2026-2472 memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mengeksekusi JavaScript arbitrer di lingkungan Jupyter atau Colab korban menggunakan injeksi urutan escape skrip ke dalam hasil evaluasi model atau data JSON set data. Kerentanan ini diidentifikasi di google-cloud-aiplatform (Vertex AI Python SDK) Google sebelum versi 1.131.0.

 Tinggi CVE-2026-2472

GCP-2026-010

Dipublikasikan: 13-02-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan telah diidentifikasi di platform Apigee yang dapat memungkinkan pihak berniat jahat dengan izin tingkat administratif atau developer di lingkungan Apigee mereka sendiri untuk meningkatkan hak istimewa dan mengakses data lintas tenant.

Secara khusus, kerentanan dalam teknologi sandbox Apigee memungkinkan penggunaan endpoint link-local untuk mengakses token akun layanan (P4SA) dalam project tenant pelanggan. Dengan memanfaatkan identitas ini, penyerang secara teoritis dapat membaca metadata analisis atau merusak data pemantauan internal di organisasi (tenant) Apigee lainnya.

Apa yang sebaiknya saya lakukan?

Lakukan tindakan berikut untuk setiap produk yang terpengaruh:

Apigee

Pelanggan yang menggunakan Apigee versi Google Cloud tidak perlu melakukan tindakan apa pun. Perbaikan kerentanan telah diterapkan ke Apigee rilis 1-16-0-apigee-3.

Apigee hybrid

Untuk mengatasi kerentanan ini, pelanggan harus mengaktifkan pipeline analisis berbasis Pub/Sub dan mengupgrade ke versi hybrid yang didukung:

Konfigurasi fitur Versi minimum yang diperbaiki
Apigee hybrid standar v1.14.0 atau yang lebih tinggi
Dengan Monetisasi (Mint) diaktifkan v1.14.3, v1.15.1, atau v1.16.0
Tinggi CVE-2025-13292

GCP-2026-009

Dipublikasikan: 13-02-2026

Deskripsi

Deskripsi Keparahan Catatan

Antarmuka pengguna Observability Analytics versi sebelum Januari 2026 dapat dikonfigurasi untuk menjalankan kueri SQL secara otomatis. Kerentanan dapat memungkinkan penyerang membuat URL kueri yang, jika dibuka oleh seseorang yang memiliki kredensial, dapat mengakses konten tabel atau menimbulkan biaya kueri.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Google Cloud Observability.

 Tinggi

GCP-2026-008

Dipublikasikan: 10-02-2026

Deskripsi

Deskripsi Keparahan Catatan

Serangkaian kerentanan keamanan memengaruhi firmware Intel® TDX. Kerentanan ini mencakup berbagai kelemahan, termasuk kondisi race (CVE-2025-30513, CVE-2025-31944), pembacaan di luar batas (CVE-2025-32007, CVE-2025-27940), penggunaan variabel yang tidak diinisialisasi (CVE-2025-32467), dan eksposur informasi sensitif selama eksekusi sementara (CVE-2025-27572). Secara keseluruhan, masalah ini dapat memungkinkan pengungkapan informasi, eskalasi hak istimewa, atau denial of service. Eksploitasi umumnya memerlukan akses pengguna dengan hak istimewa pada sistem.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Semua perbaikan yang relevan telah diterapkan ke fleet server Google. Untuk mengetahui informasi selengkapnya, lihat saran teknis PSIRT Intel INTEL-TA-01397.

Tinggi

GCP-2026-007

Dipublikasikan: 09-02-2026

Diperbarui: 25-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 25-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-40297

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-40297

GCP-2026-006

Dipublikasikan: 29-01-2026

Diperbarui: 20-02-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 20-02-2026: Menambahkan versi patch untuk GKE.

Beberapa kerentanan keamanan telah diidentifikasi di library OpenSSL. Temuan paling signifikan adalah CVE-2025-15467, yaitu kerentanan kritis yang dapat memungkinkan serangan eksekusi kode jarak jauh (RCE) atau denial of service (DoS) melalui vektor berbasis jaringan.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-15467

GCP-2026-005

Dipublikasikan: 28-01-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan ini memengaruhi antarmuka Log Analytics dan antarmuka dasbor Cloud Monitoring versi sebelum Januari 2026.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan Google Cloud Observability.

 Tinggi

GCP-2026-004

Dipublikasikan: 14-01-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan di prosesor Arm tertentu yang memengaruhi VM C4A dan A4X ditemukan di Compute Engine:

  • CVE-2025-0647

Untuk mendapatkan petunjuk dan detail selengkapnya, lihat buletin keamanan Compute Engine.

 Sedang CVE-2025-0647

GCP-2026-003

Dipublikasikan: 09-01-2026

Diperbarui: 25-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 25-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-39964

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-39964

GCP-2026-002

Dipublikasikan: 07-01-2026

Diperbarui: 25-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 25-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-40215

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-40215

GCP-2026-001

Dipublikasikan: 07-01-2026

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-40214

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-40214

GCP-2025-076

Dipublikasikan: 08-12-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di Cloud Data Fusion:

  • CVE-2025-9571

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Data Fusion.

 Tinggi CVE-2025-9571

GCP-2025-075

Dipublikasikan: 07-12-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan dalam fitur integrasi kustom Google Security Operations SOAR dapat memungkinkan pengguna yang diautentikasi dengan peran IDE untuk mencapai Eksekusi Kode Jarak Jauh (RCE) di server. Kerentanan ini disebabkan oleh validasi kode paket Python yang tidak memadai, sehingga penyerang dapat mengupload paket dengan file setup.py berbahaya. File ini kemudian dapat dieksekusi selama penginstalan, sehingga membahayakan server.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Semua pelanggan telah diupgrade secara otomatis ke versi yang diperbaiki: 6.3.64 atau yang lebih tinggi.

 Tinggi CVE-2025-13428

GCP-2025-074

Dipublikasikan: 05-12-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-39965

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-39965

GCP-2025-073

Published:2025-12-03

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di Envoy Proxy:

  • CVE-2025-66220
  • CVE-2025-64527
  • CVE-2025-64763

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

 Sedang

GCP-2025-072

Dipublikasikan: 04-12-2025

Diperbarui: 05-12-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 04-12-2025: Aturan Firewall Aplikasi Web kini tersedia.

Kerentanan eksekusi kode jarak jauh ditemukan di framework React dan Next.js open source. Meskipun Google Cloud sendiri tidak rentan, pengguna framework ini yang berjalan di Google Cloud mungkin rentan.

Versi framework berikut terpengaruh oleh kerentanan ini:

  • React 19.0, 19.1.0, 19.1.1, dan 19.2.0
  • Next.js 15.x, Next.js 16.x, dan Next.js 14.3.0-canary.77 serta rilis terbatas yang lebih baru

Versi framework berikut menyertakan perbaikan untuk kerentanan ini:

  • React 19.0.1, 19.1.2, dan 19.2.1
  • Next.js 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 15.6.0-canary.58, dan 16.0.7

Untuk mengetahui informasi selengkapnya, lihat saran React dan saran Vercel terkait kerentanan ini.

Pelanggan harus segera mengambil tindakan untuk melindungi workload mereka dengan men-deploy ulang workload mereka dengan dependensi yang telah diupdate.

Bagaimana Google dapat membantu?

Aturan firewall aplikasi web (WAF) Cloud Armor yang dirancang untuk mendeteksi dan memblokir upaya eksploitasi terkait telah tersedia. Aturan baru ini dimaksudkan untuk membantu melindungi aplikasi dan layanan yang terhubung ke internet yang menggunakan Load Balancer Aplikasi global atau regional. Sebaiknya deploy aturan ini sebagai mitigasi sementara saat Anda mengupdate workload. Petunjuk tentang cara menerapkan aturan ini tersedia di postingan blog ini.

Untuk pelanggan yang menggunakan App Engine Standard, Cloud Functions, Cloud Run Functions, Cloud Run, Firebase Hosting, atau Firebase App Hosting, aturan sudah diterapkan untuk membatasi eksploitasi melalui permintaan ke domain kustom dan default.

Pelanggan yang menggunakan Artifact Analysis akan diberi tahu tentang kerentanan ini pada artefak baru dan yang sudah ada untuk membantu mereka mengidentifikasi workload yang berisiko.

Buletin keamanan ini akan diperbarui seiring tersedianya informasi baru.

 Kritis CVE-2025-55182

GCP-2025-071

Dipublikasikan: 02-12-2025

Diperbarui: 25-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 25-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Update 11-12-2025: Menambahkan versi patch dan rating tingkat keparahan untuk GDC (VMware).

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-40019

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-40019

GCP-2025-070

Dipublikasikan: 02-12-2025

Diperbarui: 25-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 25-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Update 11-12-2025: Menambahkan versi patch dan rating tingkat keparahan untuk GDC (VMware).

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-40018

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-40018

GCP-2025-069

Dipublikasikan: 24-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Beberapa masalah keamanan telah ditemukan di runc, komponen software open source yang digunakan untuk menjalankan container; serangan yang diungkapkan dalam kerentanan ini (CVE-2025-31133, CVE-2025-52565, dan CVE-2025-52881) memungkinkan penyerang menjalankan container breakout penuh di worker pool dan tugas Cloud Run Anda, yang menyebabkan eskalasi hak istimewa root keluar dari container ke instance yang di-sandbox. Aktor yang memiliki hak istimewa untuk men-deploy image container berbahaya dapat mengeksploitasi kerentanan ini untuk mendapatkan akses ke container lain dalam instance Cloud Run yang di-sandbox.

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

Worker pool, tugas, dan sejumlah layanan yang belum diupdate rentan terhadap serangan.

Update sedang disiapkan untuk diluncurkan pada awal Januari. Buletin ini akan diperbarui setelah peluncuran tersebut selesai.

Laporkan masalah apa pun terkait kerentanan ini ke Cloud Vulnerability Rewards Program di g.co/vrp.

 Tinggi

GCP-2025-068

Dipublikasikan: 21-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Looker memperbaiki kerentanan yang dapat memungkinkan penyerang dengan izin pelihat di Looker untuk membuat URL berbahaya yang, jika dibuka oleh admin Looker, akan mengeksekusi skrip yang disediakan penyerang. Eksploitasi memerlukan setidaknya satu ekstensi Looker yang diinstal pada instance.

Instance yang dihosting oleh Looker dan dihosting sendiri ditemukan rentan.

Masalah ini telah dimitigasi untuk instance yang dihosting oleh Looker.

Apa yang sebaiknya saya lakukan?

Instance yang dihosting oleh Looker:

Pelanggan tidak perlu melakukan tindakan apa pun.

Khusus instance Looker yang dihosting sendiri:

Jika instance Looker Anda dihosting sendiri, sebaiknya upgrade instance Looker Anda sesegera mungkin. Kerentanan ini telah di-patch di semua versi Looker yang didukung untuk instance yang dihosting sendiri. Semua versi berikut telah diupdate untuk melindungi dari kerentanan ini:

  • 25.16.0 dan semua versi yang lebih baru
  • 25.12.7+
  • 25.6.66+
  • 25.0.79+
  • 24.18.201+

Anda dapat mendownload versi Looker ini di halaman download Looker: https://download.looker.com/

 Tinggi CVE-2025-12739

GCP-2025-067

Dipublikasikan: 19-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Looker memperbaiki kerentanan yang dapat memungkinkan penyerang mengambil alih akun Looker di instance Looker yang dikonfigurasi dengan autentikasi OIDC, karena normalisasi string alamat email.

Instance yang dihosting oleh Looker dan dihosting sendiri ditemukan rentan.

Masalah ini telah dimitigasi untuk instance yang dihosting oleh Looker.

Apa yang sebaiknya saya lakukan?

Instance yang dihosting oleh Looker:

Pelanggan tidak perlu melakukan tindakan apa pun.

Khusus instance Looker yang dihosting sendiri:

Jika instance Looker Anda dihosting sendiri, sebaiknya upgrade instance Looker Anda sesegera mungkin ke salah satu versi berikut:

  • 25.10.22+
  • 25.8.39+
  • 25.6.57+
  • 25.0.69+
  • 24.18.193+
  • 24.12.100+

Anda dapat mendownload versi Looker ini di halaman download Looker: https://download.looker.com/

Catatan: rilis 25.12 dan yang lebih baru tidak terpengaruh oleh masalah keamanan ini.

 Tinggi CVE-2025-12414

GCP-2025-066

Dipublikasikan: 10-11-2025

Diperbarui: 27-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 27-11-2025: Menambahkan versi patch untuk GKE dan GDC (bare metal).

Satu set yang terdiri dari tiga kerentanan container escape ditemukan di runc, runtime container level rendah default untuk GKE. Kerentanan ini dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi

GCP-2025-065

Dipublikasikan: 06-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Peneliti menemukan kerentanan di AMD SEV-SNP (Secure Nested Paging) pada mesin AMD Milan.

Serangan dapat memungkinkan hypervisor berbahaya memanipulasi nilai inisialisasi RMP yang berpotensi mengakibatkan hilangnya integritas memori tamu AMD SEV-SNP.

Google meluncurkan mitigasi yang mencegah masalah ini.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun untuk mitigasi. Mitigasi telah diterapkan ke instance Confidential VM dengan AMD SEV-SNP.

Namun, instance Confidential VM dengan AMD SEV-SNP kini menggunakan format pengesahan v4. Pelanggan yang menggunakan library go-sev-guest untuk mengurai laporan pengesahan harus mengupdate ke go-sev-guest v0.14.0 atau yang lebih baru.

Bagi pelanggan yang menggunakan parser mereka sendiri, format laporan pengesahan ditentukan oleh Spesifikasi ABI Firmware SEV Secure Nested Paging.

Kerentanan apa yang sedang ditangani?

Untuk mengetahui informasi selengkapnya, lihat saran AMD AMD-SB-3020.

 Sedang CVE-2025-0033

GCP-2025-064

Dipublikasikan: 28-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di Envoy Proxy:

  • CVE-2025-62504
  • CVE-2025-62409

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

 Sedang

GCP-2025-063

Dipublikasikan: 28-10-2025

Diperbarui: 17-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 17-11-2025: Menambahkan versi patch untuk node GKE Ubuntu.

Update 30-10-2025: Menambahkan versi patch dan rating tingkat keparahan untuk software GDC untuk VMware

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-39682

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-39682

GCP-2025-062

Dipublikasikan: 22-10-2025

Diperbarui: 30-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 30-10-2025: Menambahkan versi patch untuk node Ubuntu di GKE, serta versi patch dan rating tingkat keparahan untuk software GDC untuk VMware

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2024-58240

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-58240

GCP-2025-061

Dipublikasikan: 21-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan eksekusi kode jarak jauh ditemukan di Valkey dan Redis open source. Akibatnya, semua versi yang didukung oleh Memorystore for Redis, Memorystore for Redis Cluster, dan Memorystore for Valkey akan terpengaruh.

Secara default, aset Memorystore Google Cloud tidak terekspos ke internet publik, sehingga risiko kerentanan ini Rendah bagi pengguna Memorystore yang mengikuti praktik terbaik keamanan Google Cloud.

Apa yang perlu Anda lakukan?

Google telah mulai menerapkan patch secara otomatis, dengan perkiraan tanggal penyelesaian 6 November 2025. Anda tidak perlu melakukan tindakan apa pun untuk menerima perbaikan ini.

Jika Anda ingin menerapkan patch ini ke cluster atau instance Memorystore lebih awal dari 6 November 2025, gunakan pemeliharaan mandiri untuk menyelesaikan tindakan berikut:

  1. Lihat versi pemeliharaan saat ini dari instance Memorystore for Redis, cluster di Memorystore for Redis Cluster, atau instance Memorystore for Valkey.
  2. Pastikan apakah versi tersebut cocok dengan versi terbaru yang di-patch.
  3. Jika versi tersebut bukan versi pemeliharaan terbaru, update instance atau cluster Anda ke versi pemeliharaan terbaru menggunakan pemeliharaan mandiri untuk Memorystore for Redis, Memorystore for Redis Cluster, dan Memorystore for Valkey.
 Kritis CVE-2025-49844

GCP-2025-060

Dipublikasikan: 21-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Oracle merilis notifikasi keamanan yang mengonfirmasi bahwa Oracle E-Business Suite (EBS) rentan terhadap eksploitasi tanpa autentikasi.

Apa yang harus saya lakukan?

Oracle EBS tidak digunakan oleh Google dan Google Cloud tidak terpengaruh oleh kerentanan ini.

 Rendah CVE-2025-61882

GCP-2025-059

Dipublikasikan: 21-10-2025

Diperbarui: 22-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 22-10-2025: Menambahkan link ke CVE.

Pada 23 September 2025, kami menemukan masalah teknis di Vertex AI API yang menyebabkan sejumlah kecil respons salah diarahkan di antara penerima untuk model pihak ketiga tertentu saat menggunakan permintaan streaming. Masalah ini kini telah diperbaiki. Model Google, misalnya Gemini, tidak terpengaruh.

Beberapa proxy internal tidak menangani permintaan HTTP yang memiliki header Expect: 100-continue dengan benar, sehingga menyebabkan desinkronisasi dalam koneksi respons streaming, yang mana respons yang ditujukan untuk satu permintaan justru dikirimkan sebagai respons untuk permintaan berikutnya.

Apa yang sebaiknya saya lakukan?

Kami telah menerapkan perbaikan untuk mengatasi keberadaan header Expect: 100-continue dengan benar, dan mencegah masalah ini terulang kembali. Kami juga telah menambahkan pengujian, pemantauan, dan pemberitahuan agar kami dapat dengan cepat mendeteksi terjadinya masalah ini untuk mencegah regresi. Saat ini, pelanggan tidak perlu melakukan tindakan apa pun untuk mencegah terjadinya perilaku yang tidak diinginkan.

Perbaikan diluncurkan untuk berbagai model dengan jadwal terpisah, dengan model Anthropic diperbaiki pada 26 September, pukul 00. 45 PDT dan semua platform diperbaiki pada 28 September, pukul 19. 10 PDT. Model yang terpengaruh di Vertex AI API dan waktu penyelesaiannya tercantum di bawah:

  • Model Partner Model-as-a-Service Anthropic (Claude)

    • Masalah ini telah diperbaiki pada 26 September 2025, pukul 00.45 PDT.

  • Semua model Open Model-as-a-Service, termasuk: DeepSeek (R1-0528 dan V3.1), OpenAI (gpt-oss-120b dan gpt-oss-20b), Qwen (Next Instruct 80B, Next Thinking 80B, Qwen 3 Coder, dan Qwen 3 235B), Llama (Maverick, Scout, 3.3, 3.2, 3.1 405b, 3.1 70b, dan 3.1 8b)

    • Masalah ini telah diperbaiki pada 28 September 2025, pukul 02.43 PDT.

  • Model Model-as-a-Service Partner Mistral dan AI21

    • Masalah ini telah diperbaiki pada 28 September 2025, pukul 11.00 PDT.

  • Model yang di-deploy sendiri yang metode 'StreamRawPredict', 'ChatCompletions', 'GenerateContent', atau 'StreamGenerateContent'-nya dipanggil menggunakan endpoint publik

    • Masalah ini telah diperbaiki pada 28 September 2025, pukul 19.10 PDT.

    • Endpoint khusus (default di Model Garden) maupun endpoint pribadi tidak terpengaruh.

Sedang CVE-2025-11915

GCP-2025-058

Dipublikasikan: 20-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Kelemahan telah ditemukan dalam petunjuk RDSEED pada prosesor AMD Zen 5 (Turin). Petunjuk ini digunakan untuk menghasilkan angka acak kriptografis. Dalam kondisi beban sistem tertentu, RDSEED versi 16 dan 32 bit dapat gagal tanpa ada pemberitahuan, yang dapat membahayakan aplikasi yang mengandalkan pembuatan angka acak. Pelanggan yang menggunakan RDSEED versi 64-bit tidak terpengaruh.

Apa yang harus saya lakukan?

AMD sedang menyelidiki kerentanan ini.

Perlu diperhatikan bahwa kernel Linux 64-bit menggunakan versi 64-bit yang aman dari petunjuk RDSEED, dan yang memasukkan angka acak yang diperoleh dari /dev/[u]random. Angka acak tersebut tidak terpengaruh oleh kerentanan ini.

Jika Anda memiliki kode aplikasi yang menyintesis angka acak sendiri menggunakan petunjuk RDSEED, perlu diketahui bahwa versi 16-bit dan 32-bit dari petunjuk tersebut tidak aman. Versi 64-bit dari petunjuk ini aman.

Kerentanan apa yang sedang ditangani?

Kerentanan ini memungkinkan penyerang menyebabkan RDSEED gagal secara diam-diam, sehingga berpotensi membahayakan pembuatan angka acak dalam aplikasi.

Tinggi CVE-2025-62626

GCP-2025-057

Dipublikasikan: 17-10-2025

Diperbarui: 11-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 11-11-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 27-10-2025: Menambahkan versi patch dan rating tingkat keparahan untuk software GDC untuk VMware.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38618

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38618

GCP-2025-056

Dipublikasikan: 16-10-2025

Diperbarui: 24-03-2026

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 24-03-2026: Menambahkan versi patch untuk node Ubuntu dengan GKE.

Pembaruan 13-11-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-39946

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-39946

GCP-2025-055

Dipublikasikan: 15-10-2025

Diperbarui: 11-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 11-11-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 16-10-2025: Menambahkan versi patch dan rating tingkat keparahan untuk software GDC untuk VMware

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38617

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38617

GCP-2025-054

Dipublikasikan: 14-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2025-0015, beberapa kerentanan di VMware Aria Operations dan VMware Tools dilaporkan secara pribadi kepada Broadcom. Patch tersedia untuk memperbaiki kerentanan ini pada produk Broadcom yang terpengaruh.

Apa yang sebaiknya saya lakukan?

Sebaiknya upgrade ke VMware Aria Automation 8.18.5 dan VMware Tools 13.0.5.

 Penting

GCP-2025-053

Dipublikasikan: 30-09-2025

Deskripsi

Deskripsi Keparahan Catatan

Looker Studio memperbaiki kerentanan yang dilaporkan oleh peneliti eksternal melalui Vulnerability Reward Program (VRP) Google dan Alphabet, tetapi tidak menemukan bukti eksploitasi. Masalah ini telah diselesaikan dan pengguna tidak perlu melakukan tindakan apa pun.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun.

Kerentanan apa yang ditangani?

Kerentanan ini memungkinkan akses tidak sah ke data melalui laporan bersama, sumber data dengan kredensial pelihat, Studio Linking API, dan Conversational Analytics.

 Tinggi

GCP-2025-052

Dipublikasikan: 30-09-2025

Deskripsi

Deskripsi Keparahan Catatan

Looker memperbaiki kerentanan yang dilaporkan oleh peneliti eksternal melalui Vulnerability Reward Program (VRP) Google dan Alphabet, tetapi tidak menemukan bukti eksploitasi. Masalah ini telah teratasi dan pengguna tidak perlu melakukan tindakan apa pun untuk pelanggan yang dihosting oleh Looker di Looker (Google Cloud core) dan Looker (asli). Instance Looker yang dihosting sendiri disarankan untuk diupdate ke versi terbaru yang didukung.

Apa yang sebaiknya saya lakukan?

Instance yang dihosting Looker: Instance Looker (Google Cloud core) dan Looker (asli)

Pelanggan tidak perlu melakukan tindakan apa pun.

Khusus instance Looker yang dihosting sendiri

Jika instance Looker Anda dihosting sendiri, sebaiknya upgrade instance Looker Anda ke salah satu versi berikut:

  • 25.12.30+
  • 25.10.54+
  • 25.6.79+
  • 25.0.89+
  • 24.18.209+

Catatan: rilis 25.14 dan yang lebih baru tidak terpengaruh oleh masalah keamanan ini.

Kerentanan apa yang ditangani?

Kerentanan ini memungkinkan pengguna dengan izin developer di Looker untuk mengakses sistem pokok yang menghosting Looker, dan database internalnya.

 Tinggi

GCP-2025-051

Dipublikasikan: 11-09-2025

Deskripsi

Deskripsi Keparahan Catatan

Peneliti menemukan kerentanan keamanan yang memengaruhi CPU Intel dan semua CPU AMD Zen. Kerentanan ini memungkinkan penyerang berpotensi membaca data sensitif dengan memanfaatkan kerentanan eksekusi spekulatif yang diketahui.

Apa yang sebaiknya saya lakukan?

Anda tidak perlu melakukan tindakan apa pun saat ini karena Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk mengurangi masalah tanpa mengganggu seluruh fleet.

Kerentanan apa yang ditangani?

Untuk mengetahui informasi selengkapnya, lihat postingan blog COMSEC.

 Tinggi CVE-2025-40300

GCP-2025-050

Dipublikasikan: 10-09-2025

Diperbarui: 11-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 11-11-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 15-10-2025: Menambahkan versi patch dan rating tingkat keparahan untuk software GDC untuk VMware.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38500

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38500

GCP-2025-049

Dipublikasikan: 10-09-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan kritis ditemukan di Google Security Operations SOAR versi 6.3.54.0 dan 6.3.53.2. Pengguna yang diautentikasi dengan izin untuk mengupload file ZIP (misalnya, saat mengimpor Kasus Penggunaan) dapat mengupload file ZIP yang dapat menulis file ke lokasi arbitrer di sistem file server.

Sistem untuk mengekstrak file dari file ZIP tidak dapat mencegah file dalam arsip ditulis di luar folder tujuan yang diinginkan. Hal ini juga dikenal sebagai kerentanan Directory Traversal atau Zip Slip.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Semua pelanggan telah otomatis diupgrade ke versi yang diperbaiki atau yang lebih tinggi: 6.3.54.1 atau 6.3.53.3

Kerentanan apa yang ditangani?

Penyerang dapat mengeksploitasi kerentanan ini untuk menimpa file aplikasi. Dengan menimpa file JavaScript yang digunakan oleh fitur pembuatan laporan, penyerang dapat mencapai Eksekusi Kode Jarak Jauh (RCE) di instance Google SecOps SOAR. Penyerang dapat menjalankan kodenya sendiri di server.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan GCP-2025-049 Google SecOps.

Tinggi CVE-2025-9918

GCP-2025-048

Dipublikasikan: 02-09-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di Envoy Proxy:

  • CVE-2025-54588

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

 Tinggi CVE-2025-54588

GCP-2025-047

Dipublikasikan: 27-08-2025

Diperbarui: 25-09-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 25-09-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38350

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38350

GCP-2025-046

Dipublikasikan: 23-08-2025

Diperbarui: 11-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 11-11-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 15-10-2025: Menambahkan versi patch dan rating tingkat keparahan untuk software GDC untuk VMware.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38477

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38477

GCP-2025-045

Dipublikasikan: 21-08-2025

Deskripsi

Deskripsi Keparahan Catatan

Seorang peneliti eksternal melaporkan kerentanan di Dataform API melalui Vulnerability Reward Program (VRP) Google dan Alphabet. Kerentanan ini berpotensi memberikan akses tidak sah ke repositori kode dan data pelanggan. Google dengan cepat memperbaiki masalah tersebut dan merilis perbaikan ke semua region. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Google telah menerapkan mitigasi ke semua produk dan layanan yang terpengaruh.

Kerentanan apa yang sedang ditangani?

Untuk mengetahui informasi selengkapnya, lihat CVE-2025-9118.

 Kritis CVE-2025-9118

GCP-2025-044

Dipublikasikan: 12-08-2025

Deskripsi

Deskripsi Keparahan Catatan

Intel telah memberi tahu Google tentang dua kerentanan keamanan baru.

CVE-2025-21090: Kerentanan ini memengaruhi prosesor Intel berikut:

  • Sapphire Rapids: Kelompok VM C3, Z3, H3, A3, v5p
  • Emerald Rapids: Kelompok VM N4, C4, M4, A3 Ultra, A4
  • Granite Rapids: Kelompok VM N4, C4

CVE-2025-22840: Kerentanan ini memengaruhi prosesor Intel berikut:

  • Granite Rapids: Kelompok VM N4, C4

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun untuk kedua kerentanan tersebut. Google akan secara proaktif mengupdate sistem Anda selama masa pemeliharaan standar dan terencana. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Kerentanan apa yang sedang ditangani?

Kerentanan, CVE-2025-21090, memungkinkan pelaku yang tidak memiliki hak istimewa menggunakan petunjuk CPU AMX, bersama dengan petunjuk CPU AVX, untuk membuat mesin host tidak berfungsi.

Kerentanan, CVE-2025-22840, memungkinkan pelaku yang tidak memiliki hak istimewa menggunakan petunjuk CPU prefetchit untuk memuat konten memori yang seharusnya tidak dapat diakses, sehingga berpotensi menyebabkan eksekusi kode jarak jauh.

 Sedang

GCP-2025-043

Dipublikasikan: 12-08-2025

Deskripsi

Deskripsi Keparahan Catatan

Potensi kerentanan Denial of Service (DoS) ada dalam implementasi protobuf-python Python murni. Penyerang dapat menyebabkan layanan error dengan mengirimkan pesan yang dibuat khusus.

Dampak

Anda dapat terpengaruh jika mengimpor protobuf-python dalam project Anda, baik secara langsung maupun transitif. Perlu diketahui bahwa Library Klien Cloud untuk Python menggunakan protobuf-python sebagai dependensi. Jika Anda menggunakan library ini, pastikan Anda menggunakan versi protobuf-python yang disebutkan di bagian berikut.

Apa yang harus saya lakukan?

Pastikan Anda menggunakan versi terbaru paket software berikut:

  • protobuf-python (4.25.8, 5.29.5, 6.31.1)

Jenis kerentanan apa yang dapat diatasi oleh patch ini?

Patch ini mengurangi jenis kerentanan berikut:

Kerentanan ini muncul dari rekursi tak terbatas saat backend Python murni mengurai pesan Protocol Buffers tertentu. Penyerang yang tidak diautentikasi dapat mengirim pesan yang berisi grup rekursif, pesan, atau serangkaian tag SGROUP yang bertingkat dalam. Input ini menyebabkan penafsir Python melebihi kedalaman rekursi maksimumnya, sehingga memicu RecursionError yang membuat layanan error, sehingga mengakibatkan Denial of Service. Setiap project yang mengurai data yang tidak tepercaya dengan backend yang terpengaruh berisiko.

Untuk mengetahui informasi selengkapnya, lihat Saran Keamanan Protobuf.

Tinggi

CVSS v4.0

Skor: 8,2

 CVE-2025-4565

Masalah ini hanya memengaruhi backend implementasi Protobuf python.

Terlepas dari nilai yang ditampilkan saat memeriksa backend implementasi Protobuf, sebaiknya lakukan upgrade karena variabel lingkungan PROTOCOL_BUFFERS_PYTHON_IMPLEMENTATION dapat mengubah backend implementasi Protobuf selama runtime.

GCP-2025-042

Dipublikasikan: 11-08-2025

Deskripsi

Deskripsi Keparahan Catatan

Peneliti menemukan kerentanan keamanan di CPU Intel tertentu, termasuk yang berbasis mikroarsitektur Skylake, Broadwell, dan Haswell. Kerentanan ini memungkinkan penyerang berpotensi membaca data sensitif langsung dari cache L1 CPU yang tidak diizinkan untuk diakses.

Kerentanan ini awalnya diungkapkan dalam CVE-2018-3646 pada tahun 2018. Setelah menemukan kerentanan ini, Google segera menerapkan mitigasi yang mengatasi risiko yang diketahui. Komunikasi terkait kerentanan dan perbaikan awal dipublikasikan pada saat itu. Sejak saat itu, kami telah meneliti risiko residual dan bekerja sama dengan komunitas Linux upstream untuk memitigasi risiko ini.

Baru-baru ini, kami bekerja sama dengan peneliti keamanan dari kalangan akademisi untuk mengevaluasi mitigasi keamanan CPU yang canggih, dan potensi teknik serangan yang tidak dipertimbangkan pada tahun 2018.

Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk mengurangi masalah ini.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Mitigasi telah diterapkan ke fleet server Google.

Kerentanan apa yang sedang ditangani?

Untuk mengetahui informasi selengkapnya, lihat saran Intel INTEL-SA-00161 dan CVE-2018-3646.

 Tinggi CVE-2018-3646

GCP-2025-041

Dipublikasikan: 21-07-2025

Diperbarui: 10-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 10-11-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Ubuntu:

  • CVE-2025-37890

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-37890

GCP-2025-040

Dipublikasikan: 15-07-2025

Deskripsi

Deskripsi Keparahan Catatan

Berdasarkan saran VMSA-2025-0013, beberapa kerentanan di VMware ESXi dilaporkan secara pribadi kepada Broadcom.

Kami telah melakukan patch pada kerentanan ini atau sedang dalam proses menerapkan patch yang diperlukan yang disediakan oleh Broadcom. Tidak ada solusi yang diketahui untuk kerentanan yang dilaporkan ini.

Setelah di-patch, deployment VMware Engine Anda harus menjalankan ESXi 7.0U3w atau ESXi 8.0U3f atau yang lebih baru.

Apa yang harus saya lakukan?

Google merekomendasikan pelanggan untuk memantau workload mereka di VMware Engine untuk mendeteksi aktivitas yang tidak biasa.

 Sedang hingga Kritis

GCP-2025-039

Dipublikasikan: 15-07-2025

Diperbarui: 10-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 10-11-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Update 28-08-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38083

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38083

GCP-2025-038

Dipublikasikan: 09-07-2025

Diperbarui: 25-09-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 25-09-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-37752

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-37752

GCP-2025-037

Dipublikasikan: 08-07-2025

Deskripsi Keparahan Catatan

AMD telah mengungkapkan dua kerentanan yang memengaruhi CPU AMD EPYC generasi ke-2 (Rome), generasi ke-3 (Milan), dan generasi ke-4 (Genoa). Kerentanan ini memungkinkan penyerang menyimpulkan data dari penyimpanan sebelumnya atau cache L1D, yang berpotensi menyebabkan kebocoran informasi sensitif.

Google telah meluncurkan mitigasi yang mencegah kebocoran informasi ini di antara VM.

Masih ada potensi bahwa proses dalam satu VM dapat mengeksploitasi kerentanan ini.

Apa yang harus saya lakukan?

Setelah 8 Juli 2025, mitigasi tingkat tamu yang melindungi dari serangan intra-tamu tersedia untuk VM berikut:

  • VM yang dimulai untuk pertama kalinya.
  • VM yang dihentikan sepenuhnya dan dimulai lagi. Memulai ulang sistem operasi tidak akan mengaktifkan mitigasi, dan VM itu sendiri harus dimulai ulang sepenuhnya untuk mengaktifkan mitigasi. Kernel sistem operasi tamu harus mendukung mitigasi ini agar efektif.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan AMD AMD-SB-7029.

Sedang

GCP-2025-036

Dipublikasikan: 01-07-2025

Diperbarui: 10-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 10-11-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Update 21-07-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38001

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38001

GCP-2025-035

Dipublikasikan: 17-06-2025

Diperbarui: 10-11-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 10-11-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Update 21-07-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-37997

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-37997

GCP-2025-034

Dipublikasikan: 17-06-2025

Diperbarui: 21-07-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 21-07-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-38000

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-38000

GCP-2025-033

Dipublikasikan: 06-06-2025

Deskripsi

Deskripsi Keparahan Catatan

Masalah keamanan telah ditemukan, yang memungkinkan penyerang melewati batasan isolasi workload di cluster GKE.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang T/A

GCP-2025-032

Dipublikasikan: 03-06-2025

Diperbarui: 21-07-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 21-07-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-37798

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-37798

GCP-2025-031

Dipublikasikan: 03-06-2025

Diperbarui: 26-08-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 26-08-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-37797

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-37797

GCP-2025-030

Dipublikasikan: 23-05-2025

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2024-0017, kerentanan injeksi SQL di VMware Aria Automation dilaporkan secara pribadi ke VMware. Patch tersedia untuk memperbaiki kerentanan ini di produk VMware yang terpengaruh.

Apa yang harus saya lakukan?

Sebaiknya upgrade ke VMware Aria Automation KB325790.

Penting

GCP-2025-029

Dipublikasikan: 23-05-2025

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2025-0006, kerentanan eskalasi hak istimewa lokal di VMware Aria Operations telah dilaporkan secara bertanggung jawab kepada VMware. Patch tersedia untuk memperbaiki kerentanan ini di produk VMware yang terpengaruh.

Apa yang harus saya lakukan?

Sebaiknya upgrade ke VMware Aria Operations 8.18 HF5.

Penting

GCP-2025-028

Dipublikasikan: 23-05-2025

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2025-0003, beberapa kerentanan di VMware Aria Operations for logs dan VMware Aria Operations telah dilaporkan secara pribadi ke VMware. Patch tersedia untuk memperbaiki kerentanan ini di produk VMware yang terpengaruh.

Apa yang harus saya lakukan?

Sebaiknya upgrade ke VMware Aria Operations for Logs 8.18.3 dan VMware Aria Operations ke 8.18.3.

Penting

GCP-2025-027

Dipublikasikan: 16-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan terdeteksi di layanan Load Balancer Aplikasi klasik sebelum 26 April 2025.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Masalah ini telah diselesaikan di layanan Load Balancer Aplikasi Klasik pada 26 April 2025.

Kerentanan apa yang sedang ditangani?

CVE-2025-4600 memungkinkan penyerang menyelundupkan permintaan ke Load Balancer Aplikasi klasik karena penguraian isi potongan yang terlalu besar yang salah. Saat mengurai isi permintaan dari permintaan HTTP menggunakan encoding transfer yang dipotong-potong, Load Balancer Aplikasi klasik mengizinkan isi potongan yang terlalu besar. Oleh karena itu, menyembunyikan byte dalam data tambahan yang diabaikan ini, yang mungkin salah ditafsirkan oleh server HTTP upstream sebagai penghenti baris, dapat dilakukan. Kerentanan ini telah diatasi dalam layanan Load Balancer Aplikasi klasik pada 26 April 2025 melalui peningkatan validasi input dan logika penguraian.

Kami siap membantu

Jika Anda memiliki pertanyaan atau memerlukan bantuan, hubungi Cloud Customer Care.

 Tinggi CVE-2025-4600

GCP-2025-026

Dipublikasikan: 15-05-2025

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2025-0008, kerentanan Pembuatan Skrip Lintas Situs (XSS) berbasis DOM di VMware Aria Automation telah dilaporkan secara pribadi ke VMware. Patch tersedia untuk memperbaiki kerentanan ini di produk VMware yang terpengaruh.

Apa yang harus saya lakukan?

Sebaiknya upgrade ke VMware Aria Automation 8.18.1 patch 2.

Penting

GCP-2025-025

Dipublikasikan: 13-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Intel telah memberi tahu Google tentang kerentanan side channel baru yang memengaruhi prosesor Intel berikut: CascadeLake, Ice Lake XeonSP, Ice Lake XeonD, Sapphire Rapids, dan Emerald Rapids.

Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk memastikan pelanggan terlindungi. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Perbaikan telah diterapkan ke grup server Google untuk melindungi pelanggan.

Kerentanan apa yang sedang ditangani?

CVE-2024-45332. Untuk mengetahui informasi selengkapnya, lihat saran Intel INTEL-SA-01247.

Kami siap membantu

Jika ada pertanyaan atau memerlukan bantuan, hubungi Cloud Customer Care dan sebutkan nomor masalah 417536835.

 Tinggi CVE-2024-45332

GCP-2025-024

Dipublikasikan: 12-05-2025

Diperbarui: 13-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 13-05-2025: Jika Anda memiliki pertanyaan atau memerlukan bantuan, hubungi Cloud Customer Care dan sebutkan nomor masalah 417458390.

Intel telah memberi tahu Google tentang kerentanan eksekusi spekulatif baru yang memengaruhi prosesor Intel Cascade Lake dan prosesor Intel Ice Lake.

Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk memastikan pelanggan terlindungi. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Apa yang harus saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Mitigasi telah diterapkan ke fleet server Google.

Mitigasi lebih lanjut dari Produsen Peralatan Asli (OEM) Intel dan partner sistem operasi lainnya akan di-deploy segera setelah tersedia untuk memitigasi kerentanan Indirect Target Selection (ITS) mode yang sama.

Setelah mitigasi sistem operasi diterapkan, pelanggan dengan VM generasi ke-3 atau yang lebih baru yang berjalan lama mungkin mengalami penurunan performa yang tidak diinginkan

Kerentanan apa yang sedang ditangani?

CVE-2024-28956. Untuk mengetahui informasi selengkapnya, lihat saran keamanan Intel INTEL-SA-01153.

 Tinggi CVE-2024-28956

GCP-2025-023

Dipublikasikan: 05-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Potensi celah keamanan yang dapat dieksploitasi jika tidak ditangani dalam kebijakan JavaCallout dan PythonScript telah ditemukan dan diatasi.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Apigee.

Tinggi CVE-2023-44487

GCP-2025-022

Dipublikasikan: 01-05-2025

Diperbarui: 22-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 22-05-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-21702

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-21702

GCP-2025-021

Dipublikasikan: 29-04-2025

Diperbarui: 02-06-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 02-06-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-21971

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-21971

GCP-2025-020

Dipublikasikan: 29-04-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan di Looker memungkinkan pengguna dengan izin admin (khususnya: manage_project_connections_restricted) di Looker untuk membaca file dari sistem file host yang mendasarinya dan mengkueri endpoint jaringan internal. Masalah ini telah teratasi, dan pengguna tidak perlu melakukan tindakan apa pun untuk pelanggan yang dihosting oleh Looker yang menggunakan Looker (Google Cloud core) dan Looker (asli). Instance Looker yang dihosting sendiri disarankan untuk diupdate ke versi terbaru yang didukung.

Kerentanan ini telah di-patch di semua versi Looker yang dihosting pelanggan yang didukung, yang tersedia di halaman download Looker.

Apa yang harus saya lakukan?

  • Untuk semua instance yang dihosting Looker, termasuk instance Looker (Google Cloud core) dan Looker (asli), Anda tidak perlu melakukan tindakan apa pun.
  • Untuk instance yang dihosting pelanggan Looker, update ke versi Looker terbaru yang didukung sesegera mungkin. Versi di bawah ini telah diupdate untuk melindungi dari kerentanan ini. Anda dapat mendownload versi ini di halaman download Looker:
    • 25.4 -> 25.4.29+
    • 25.2 -> 25.2.34+
    • 25.0 -> 25.0.55+
    • 24.18 -> 24.18.185+
    • 24.12 -> 24.12.95+
    • 24.6 -> 24.6.107+
 Tinggi

GCP-2025-019

Dipublikasikan: 25-04-2025

Diperbarui: 26-06-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 26-06-2025: Menambahkan versi patch untuk software GDC untuk VMware.

Pembaruan 22-05-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2025-21701

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-21701

GCP-2025-018

Dipublikasikan: 23-04-2025

Diperbarui: 09-10-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 09-10-2025: menambahkan versi patch untuk node Ubuntu di GKE

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2025-40364

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-40364

GCP-2025-017

Dipublikasikan: 17-04-2025

Diperbarui: 22-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 22-05-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 05-05-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-21756

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-21756

GCP-2025-016

Dipublikasikan: 16-04-2025

Diperbarui: 22-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 22-05-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 29-04-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2023-52927

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-52927

GCP-2025-015

Dipublikasikan: 15-04-2025

Diperbarui: 22-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 22-05-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 17-04-2025: Menambahkan versi patch untuk GDC (VMware). Memperbarui tingkat keparahan GDC (VMware) dari Tertunda menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-21700

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-21700

GCP-2025-014

Dipublikasikan: 10-04-2025

Diperbarui: 22-05-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 22-05-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 05-05-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2025-21703

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2025-21703

GCP-2025-013

Dipublikasikan: 24-03-2025

Deskripsi

Deskripsi Keparahan Catatan

Beberapa masalah keamanan telah ditemukan di NGINX Ingress Controller, ingress-nginx, komponen software open source yang berjalan di dalam cluster Kubernetes untuk membantu mengelola traffic jaringan yang masuk ke cluster. Yang paling kritis adalah CVE-2025-1974. Untuk mengetahui detail lengkap dan daftar lengkapnya, lihat feed CVE Kubernetes.

Masalah ini memengaruhi ingress-nginx. Jika Anda belum menginstal ingress-nginx di cluster, Anda tidak akan terpengaruh.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tidak ada CVE-2025-1974

GCP-2025-012

Dipublikasikan: 19-03-2025

Diperbarui: 10-04-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 10-04-2025: Menambahkan versi patch untuk node GKE Ubuntu dan software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2024-53164

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-53164

GCP-2025-011

Dipublikasikan: 06-03-2025

Deskripsi Keparahan Catatan

VMware mengungkapkan beberapa kerentanan di VMSA-2025-0004 yang memengaruhi komponen ESXi yang di-deploy di lingkungan pelanggan.

Dampak VMware Engine

Cloud pribadi Anda sudah di-patch atau sedang dalam proses diupdate untuk mengatasi kerentanan keamanan. Sebagai bagian dari layanan VMware Engine, semua pelanggan mendapatkan host bare metal khusus dengan disk yang terpasang secara lokal yang diisolasi secara fisik dari hardware lain. Artinya, kerentanan ini hanya mencakup VM tamu dalam cloud pribadi spesifik Anda.

Cloud pribadi Anda akan diupdate ke 7.0u3s Nomor build 24534642. Ini setara dengan 7.0U3s: Nomor build 24585291.

Apa yang harus saya lakukan?

Ikuti petunjuk dari Broadcom dan vendor keamanan Anda terkait kerentanan ini.

Kritis

GCP-2025-010

Dipublikasikan: 05-03-2025

Diperbarui: 02-06-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 02-06-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 10-04-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2024-56770

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-56770

GCP-2025-009

Dipublikasikan: 05-03-2025

Deskripsi

Deskripsi Keparahan Catatan

Project Envoy baru-baru ini mengumumkan beberapa kerentanan keamanan baru (CVE-2024-53269, CVE-2024-53270, dan CVE-2024-53271) yang dapat memungkinkan penyerang membuat Envoy error.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi

GCP-2025-008

Dipublikasikan: 19-02-2025

Diperbarui: 10-04-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 10-04-2025: Menambahkan versi patch untuk software GDC untuk VMware. Memperbarui tingkat keparahan software GDC untuk VMware menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-53141

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-53141

GCP-2025-007

Dipublikasikan: 03-02-2025

Deskripsi

Deskripsi Keparahan Catatan

Google telah menemukan kerentanan pada CPU berbasis AMD Zen yang memengaruhi instance Confidential VM dengan AMD SEV-SNP yang diaktifkan. Kerentanan ini memungkinkan penyerang dengan akses root di mesin fisik untuk membahayakan kerahasiaan dan integritas instance Confidential VM.

Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk memastikan pelanggan terlindungi. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Pelanggan yang ingin memverifikasi perbaikan dapat memeriksa versi Trusted Computing Base (TCB) dalam laporan pengesahan dari instance Confidential VM mereka dengan AMD SEV-SNP. Versi minimum yang memitigasi kerentanan ini adalah sebagai berikut:

SNP TCB SVN: 0x18 0d24
tcb_version {
  psp_bootloader_version: 4
  snp_firmware_version: 24 (0x18)
  microcode_version: 219
}

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan AMD AMD-SB-3019.

 Tinggi

CVE-2024-56161

GCP-2025-006

Dipublikasikan: 23-01-2025

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan di Penyedia Google Secret Manager untuk Driver CSI Secret Store memungkinkan penyerang yang memiliki izin pembuatan Pod dan Secret di namespace untuk mengeksfiltrasi token akun layanan Kubernetes driver CSI dengan memasang volume berbahaya di Pod.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang

GCP-2025-005

Dipublikasikan: 22-01-2025

Deskripsi

Deskripsi Keparahan Catatan

Server yang menggunakan library autentikasi Google dan Library Klien Cloud untuk melakukan autentikasi ke Google Cloud dengan konfigurasi kredensial yang dikontrol oleh penyerang dapat rentan terhadap pemalsuan permintaan sisi server dan pembacaan file arbitrer.

Apa yang harus saya lakukan?

Jika Anda menerima konfigurasi kredensial (JSON, file, atau aliran kredensial) dari sumber eksternal untuk autentikasi ke Google Cloud, Anda harus memvalidasinya sebelum memberikannya ke library autentikasi Google atau Library Klien Cloud. Memberikan konfigurasi kredensial yang tidak divalidasi ke library Google dapat membahayakan keamanan sistem dan data Anda. Untuk mengetahui informasi selengkapnya, lihat Memvalidasi konfigurasi kredensial dari sumber eksternal.

Kerentanan apa yang sedang ditangani?

Beberapa jenis konfigurasi kredensial mencakup endpoint dan jalur file, yang digunakan library autentikasi untuk memperoleh token. Jika layanan atau aplikasi menerima konfigurasi kredensial yang bersumber dari eksternal dan menggunakannya dengan library autentikasi Google atau Library Klien Cloud tanpa validasi, penyerang dapat memberikan konfigurasi kredensial yang berisi endpoint atau jalur berbahaya. Hal ini memungkinkan penyerang memindahkan data atau token dari layanan atau mesin tempat layanan berjalan. Untuk mencegah hal ini, validasi harus dilakukan pada konfigurasi kredensial yang bersumber dari eksternal seperti yang dijelaskan dalam Memvalidasi konfigurasi kredensial dari sumber eksternal.

Untuk memberi tahu developer aplikasi, kami telah memperbarui dokumentasi dengan validasi yang harus dilakukan saat menerima konfigurasi kredensial yang diperoleh dari sumber eksternal.

Tinggi

GCP-2025-004

Dipublikasikan: 16-01-2025

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2025-0001, kerentanan pemalsuan permintaan sisi server (SSRF) di VMware Aria Automation telah dilaporkan secara bertanggung jawab kepada VMware. Patch tersedia untuk memperbaiki kerentanan ini di produk VMware yang terpengaruh.

Apa yang harus saya lakukan?

Sebaiknya upgrade ke VMware Aria Automation 8.18.2 HF.

Sedang

GCP-2025-003

Dipublikasikan: 09-01-2025

Diperbarui: 23-01-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 23-01-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2024-50264

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-50264

GCP-2025-002

Dipublikasikan: 09-01-2025

Diperbarui: 23-01-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 23-01-2025: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 22-01-2025: Menambahkan versi patch untuk GDC (VMware). Tingkat keparahan untuk GDC (VMware) diperbarui menjadi Sedang.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2024-53057

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-53057

GCP-2025-001

Dipublikasikan: 08-01-2025

Diperbarui: 23-01-2025

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 23-01-2025: Memperbarui bagian Resource yang terpengaruh di tab GKE.

Pembaruan 08-01-2025: Memperbaiki tanggal dan waktu mulai masalah.

Masalah keamanan memengaruhi resource di VPC dengan Gateway Multi-Cluster (MCG) GKE yang dikonfigurasi. MCG adalah fitur opsional yang digunakan oleh sebagian kecil pelanggan GKE. Kami akan memberi tahu pelanggan satu per satu yang mengaktifkan fitur tersebut selama jangka waktu tersebut.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi Tidak ada

GCP-2024-065

Deskripsi

Deskripsi Keparahan Catatan

CVE berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi:

  • CVE-2024-53269: Happy Eyeballs: Memvalidasi bahwa additional_address adalah alamat IP, bukan error saat mengurutkan.
  • CVE-2024-53270: HTTP/1: Pengiriman overload mengalami error saat permintaan direset sebelumnya.
  • CVE-2024-53271: Beberapa masalah HTTP/1.1 dengan envoy.reloadable_features.http1_balsa_delay_reset.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi

GCP-2024-064

Dipublikasikan: 10-12-2024

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2024-0022, beberapa kerentanan di VMware Aria Operations telah dilaporkan secara bertanggung jawab kepada VMware. Update tersedia untuk memperbaiki kerentanan ini di produk VMware yang terpengaruh.

Apa yang harus saya lakukan?

Sebaiknya upgrade ke VMware Aria Operations 8.18.2.

Penting

GCP-2024-063

Dipublikasikan: 06-12-2024

Deskripsi Keparahan Catatan

Kerentanan ditemukan di Vertex AI API yang menyajikan permintaan multimodal Gemini, sehingga memungkinkan pengabaian Kontrol Layanan VPC. Penyerang mungkin dapat menyalahgunakan parameter fileURI API untuk mengeksfiltrasi data.

Apa yang sebaiknya saya lakukan?

Tidak perlu tindakan apa pun. Kami telah menerapkan perbaikan untuk menampilkan pesan error saat URL file media ditentukan dalam parameter fileUri dan Kontrol Layanan VPC diaktifkan. Kasus penggunaan lainnya tidak terpengaruh.

Kerentanan apa yang ditangani?

Cloud Support API yang menyajikan permintaan multimodal Gemini memungkinkan Anda menyertakan file media dengan menentukan URL file media dalam parameter fileUri. Kemampuan ini dapat digunakan untuk mengabaikan perimeter Kontrol Layanan VPC. Penyerang di dalam perimeter layanan dapat mengenkode data sensitif dalam parameter fileURI untuk mengabaikan perimeter layanan.

Sedang CVE-2024-12236

GCP-2024-062

Dipublikasikan: 02-12-2024

Diperbarui: 22-01-2025

Deskripsi

Deskripsi Keparahan Catatan

Update 22-01-2025: Menambahkan versi patch untuk GDC (VMware). Memperbarui tingkat keparahan GDC (VMware) dari Tertunda menjadi Tinggi.

Pembaruan 12-12-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-46800

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-46800

GCP-2024-061

Dipublikasikan: 25-11-2024

Deskripsi

Deskripsi Keparahan Catatan

Masalah keamanan yang ditemukan di cluster Kubernetes dapat mengakibatkan eksekusi kode jarak jauh menggunakan volume gitRepo. Jika repositori git dibuat dengan niat jahat, pengguna yang memiliki kemampuan untuk membuat Pod dan mengaitkan volume gitRepo dapat menjalankan perintah arbitrer di luar batas container.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-10220

GCP-2024-060

Dipublikasikan: 17-10-2024

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2024-0020, beberapa kerentanan di VMware NSX telah dilaporkan secara bertanggung jawab kepada VMware.

Versi NSX-T yang berjalan di lingkungan VMware Engine Anda tidak terpengaruh oleh CVE-2024-38815, CVE-2024-38818, atau CVE-2024-38817.

Apa yang harus saya lakukan?

Karena cluster VMware Engine tidak terpengaruh oleh kerentanan ini, Anda tidak perlu melakukan tindakan lebih lanjut.

 Sedang

GCP-2024-059

Dipublikasikan: 16-10-2024

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2024-0021, kerentanan injeksi SQL yang diautentikasi di VMware HCX dilaporkan secara pribadi ke VMware.

Kami telah menerapkan mitigasi yang disetujui oleh VMware untuk mengatasi kerentanan ini. Perbaikan ini mengatasi kerentanan keamanan yang dijelaskan dalam CVE-2024-38814. Versi image yang berjalan di cloud pribadi VMware Engine Anda saat ini tidak mencerminkan perubahan apa pun untuk menunjukkan perubahan yang diterapkan. Mitigasi yang sesuai telah diinstal dan lingkungan Anda aman dari kerentanan ini.

Apa yang harus saya lakukan?

Sebaiknya upgrade ke VMware HCX versi 4.9.2.

Tinggi

GCP-2024-058

Dipublikasikan: 16-10-2024

Deskripsi

Deskripsi Keparahan Catatan

Migrate to Containers untuk Windows versi 1.1.0 hingga 1.2.2 membuat m2cuser lokal dengan hak istimewa administrator. Hal ini menimbulkan risiko keamanan jika perintah analyze atau generate terganggu oleh pengguna atau karena error internal yang menyebabkan tindakan untuk menghapus pengguna lokal m2cuser dilewati.

Apa yang harus saya lakukan?

Versi Migrate to Containers CLI untuk Windows berikut telah diupdate dengan kode untuk memperbaiki kerentanan ini. Sebaiknya upgrade Migrate to Containers CLI Anda secara manual ke versi berikut atau yang lebih baru:

Kerentanan apa yang sedang ditangani?

Kerentanan, CVE-2024-9858, memungkinkan penyerang mendapatkan akses administrator ke mesin Windows yang terpengaruh menggunakan pengguna administrator lokal yang dibuat oleh software Migrate to Containers.

 Sedang CVE-2024-9858

GCP-2024-057

Dipublikasikan: 03-10-2024

Diperbarui: 19-11-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 19-11-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 15-10-2024: Menambahkan versi patch untuk GDC (VMware). Memperbarui tingkat keparahan GKE dan GDC (VMware).

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-45016

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang CVE-2024-45016

GCP-2024-056

Dipublikasikan: 27-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Rantai kerentanan (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) yang dapat mengakibatkan eksekusi kode jarak jauh ditemukan dalam sistem pencetakan CUPS yang digunakan oleh beberapa distribusi Linux. Penyerang dapat mengeksploitasi kerentanan ini jika layanan CUPS memproses port UDP 631 dan mereka dapat terhubung ke port tersebut.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tidak ada

GCP-2024-055

Dipublikasikan: 24-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Penyelubungan Permintaan HTTP di Looker memungkinkan penyerang yang tidak sah menangkap respons HTTP yang ditujukan untuk pengguna yang sah.

Ada dua versi Looker yang dihosting oleh Looker:

  • Looker (Google Cloud core) ditemukan rentan. Masalah ini telah dimitigasi dan penyelidikan kami tidak menemukan tanda-tanda eksploitasi.
  • Looker (asli) tidak rentan terhadap masalah ini.

Instance Looker yang dihosting pelanggan ditemukan rentan dan harus diupgrade ke salah satu versi di bawah.

Kerentanan ini telah di-patch di semua versi Looker yang dihosting pelanggan yang didukung, yang tersedia di halaman download Looker.

Apa yang harus saya lakukan?

  • Untuk semua instance yang dihosting Looker, termasuk instance Looker (Google Cloud core), Anda tidak perlu melakukan tindakan apa pun.
  • Untuk instance yang dihosting pelanggan Looker, update ke versi Looker terbaru yang didukung sesegera mungkin. Versi di bawah ini telah diupdate untuk melindungi dari kerentanan ini. Anda dapat mendownload versi ini di halaman download Looker:
    • 23.12 -> 23.12.123+
    • 23.18 -> 23.18.117+
    • 24.0 -> 24.0.92+
    • 24.6 -> 24.6.77+
    • 24.8 -> 24.8.66+
    • 24.10 -> 24.10.78+
    • 24.12 -> 24.12.56+
    • 24.14 -> 24.14.37+

Kerentanan apa yang sedang ditangani?

Kerentanan, CVE-2024-8912, memungkinkan penyerang mengirim header permintaan HTTP yang dimodifikasi ke Looker, yang mungkin mengakibatkan intersepsi respons HTTP yang ditujukan untuk pengguna lain.

Respons ini dapat berisi informasi sensitif.

Kerentanan ini hanya dapat dieksploitasi dalam konfigurasi tertentu.

Sedang CVE-2024-8912

GCP-2024-054

Dipublikasikan: 23-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Masalah keamanan ditemukan di cluster Kubernetes dengan node Windows, yang memungkinkan BUILTIN\Users membaca log container dan Pengguna NT AUTHORITY\Authenticated dapat mengubah log container.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang CVE-2024-5321

GCP-2024-053

Dipublikasikan: 19-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Saat mengurai kolom yang tidak diketahui di library Protobuf Java Full dan Lite, pesan yang dibuat dengan niat jahat dapat menyebabkan error StackOverflow dan menyebabkan error program.

Apa yang sebaiknya saya lakukan?

Kami telah berupaya keras untuk mengatasi masalah ini dan telah merilis mitigasi yang kini tersedia. Sebaiknya gunakan versi terbaru paket software berikut:

  • protobuf-java (3.25.5, 4.27.5, 4.28.2)
  • protobuf-javalite (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin-lite (3.25.5, 4.27.5, 4.28.2)
  • com-protobuf [khusus JRuby gem] (3.25.5, 4.27.5, 4.28.2)

Kerentanan apa yang diatasi oleh patch ini?

Kerentanan ini berpotensi menyebabkan Denial of Service.

Mengurai grup bertingkat sebagai kolom yang tidak diketahui dengan DiscardUnknownFieldsParser atau parser Java Protobuf Lite, atau terhadap kolom peta Protobuf, akan membuat rekursi tak terbatas yang dapat disalahgunakan oleh penyerang.

Skor CVSS4.0 8,7

Tinggi

 CVE-2024-7254

GCP-2024-052

Deskripsi

Deskripsi Keparahan Catatan

CVE berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi:

  • CVE-2024-45807: oghttp2 error pada OnBeginHeadersForStream
  • CVE-2024-45808: Injeksi log berbahaya melalui log akses
  • CVE-2024-45806: Potensi manipulasi header `x-envoy` dari sumber eksternal
  • CVE-2024-45809: Error filter JWT di cache rute yang dihapus dengan JWK jarak jauh
  • CVE-2024-45810: Envoy error untuk LocalReply di klien asinkron http

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Menengah hingga Tinggi

GCP-2024-051

Dipublikasikan: 18-09-2024

Deskripsi Keparahan Catatan

VMware mengungkapkan beberapa kerentanan di VMSA-2024-0019 yang memengaruhi komponen vCenter yang di-deploy di lingkungan pelanggan.

Dampak VMware Engine

  • Google telah menonaktifkan potensi eksploitasi kerentanan ini. Misalnya, Google telah memblokir port yang dapat digunakan untuk mengeksploitasi kerentanan ini.
  • Selain itu, Google memastikan semua deployment vCenter di masa mendatang tidak terpapar kerentanan ini.

Apa yang harus saya lakukan?

Untuk saat ini, tidak ada tindakan lebih lanjut yang perlu Anda lakukan.

Kritis

GCP-2024-050

Dipublikasikan: 04-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan eksekusi kode jarak jauh (RCE) baru (CVE-2024-38063) telah ditemukan di Windows. Penyerang dapat mengeksploitasi kerentanan ini dari jarak jauh dengan mengirimkan paket IPv6 yang dibuat khusus ke host.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tidak ada CVE-2024-38063

GCP-2024-049

Dipublikasikan: 21-08-2024

Diperbarui: 01-11-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 01-11-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 21-10-2024: Menambahkan versi patch dan mengupdate Tingkat Keparahan untuk GDC (VMware).

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-36978

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-36978

GCP-2024-048

Dipublikasikan: 20-08-2024

Diperbarui: 30-10-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 30-10-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 25-10-2024: Menambahkan versi patch dan mengupdate Tingkat Keparahan untuk GDC (VMware).

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-41009

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-41009

GCP-2024-047

Dipublikasikan: 19-08-2024

Diperbarui: 30-10-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 30-10-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 21-10-2024: Menambahkan versi patch dan mengupdate Tingkat Keparahan untuk GDC (VMware).

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-39503

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-39503

GCP-2024-046

Dipublikasikan: 05-08-2024

Deskripsi

Deskripsi Keparahan Catatan

AMD telah memberi tahu Google tentang 3 kerentanan firmware baru (2 berisiko sedang, 1 berisiko tinggi) yang memengaruhi SEV-SNP di CPU AMD EPYC generasi ke-3 (Milan) dan generasi ke-4 (Genoa).

Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk memastikan pelanggan terlindungi. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Perbaikan telah diterapkan ke grup server Google.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan AMD AMD-SN-3011.

 Sedang–Tinggi

CVE-2023-31355

CVE-2024-21978

CVE-2024-21980

GCP-2024-045

Dipublikasikan: 17-07-2024

Diperbarui: 19-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 19-09-2024: Menambahkan versi patch untuk software GDC untuk VMware.

Update 21-08-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26925

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26925

GCP-2024-044

Dipublikasikan: 16-07-2024

Diperbarui: 30-10-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 30-10-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Update 21-10-2024: Menambahkan versi patch dan mengupdate Tingkat Keparahan untuk GDC (VMware).

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-36972

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-36972

GCP-2024-043

Dipublikasikan: 16-07-2024

Diperbarui: 02-10-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 02-10-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 20-09-2024: Menambahkan versi patch untuk software GDC untuk VMware.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26921

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26921

GCP-2024-042

Dipublikasikan: 15-07-2024

Diperbarui: 18-07-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 18-07-2024: Mengklarifikasi bahwa cluster Autopilot dalam konfigurasi default tidak terpengaruh.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26809

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26809

GCP-2024-041

Dipublikasikan: 08-07-2024

Diperbarui: 16-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 16-09-2024: Menambahkan versi patch untuk software GDC untuk VMware.

Update 19-07-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2023-52654
  • CVE-2023-52656

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi

GCP-2024-040

Dipublikasikan: 01-07-2024

Diperbarui: 16-07-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 16-07-2024:

Beberapa pelanggan Akses VPC Serverless berpotensi terpengaruh oleh kerentanan di OpenSSH (CVE-2024-6387). Jika eksploitasi berhasil, hal ini dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mengeksekusi kode arbitrer sebagai root pada virtual machine target. Eksploitasi diyakini sulit dilakukan. Misalnya, pelanggan tidak dapat mengakses VM dan VM tidak memiliki IP publik. Kami tidak mengetahui adanya upaya eksploitasi.

Apa yang sebaiknya saya lakukan?

Deployment Akses VPC Serverless telah otomatis diupdate oleh Google jika memungkinkan. Namun, Anda harus memastikan bahwa agen layanan yang dikelola Google memiliki peran yang diperlukan. Jika tidak, konektor Akses VPC Serverless Anda mungkin masih rentan. Sebaiknya Anda bermigrasi ke traffic keluar VPC Langsung, atau men-deploy konektor baru dan menghapus konektor lama, untuk memastikan Anda memiliki update yang diperlukan dengan perbaikan.

Pembaruan 11-07-2024: Menambahkan versi patch untuk software GDC untuk VMware, GKE di AWS, dan GKE di Azure. Untuk mengetahui detailnya, lihat buletin berikut dalam dokumentasi GKE:

Pembaruan 10-07-2024:

  • Menambahkan buletin keamanan untuk Migrate to Virtual Machines.

Pembaruan 09-07-2024:

Beberapa pelanggan lingkungan fleksibel App Engine berpotensi terpengaruh oleh kerentanan di OpenSSH (CVE-2024-6387). Jika eksploitasi berhasil, hal ini dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mengeksekusi kode arbitrer sebagai root pada virtual machine target.

Apa yang sebaiknya saya lakukan?

Google telah mengupdate deployment lingkungan fleksibel secara otomatis jika memungkinkan. Namun, beberapa pelanggan yang menonaktifkan agen layanan yang dikelola Google, atau melakukan perubahan pada Google Cloud API atau konfigurasi default lainnya, tidak dapat diupdate dan mungkin masih rentan. Anda harus men-deploy versi baru aplikasi untuk mendapatkan update dengan perbaikan.

Perhatikan bahwa deployment yang diupdate akan melaporkan versi ssh OpenSSH_9.6p1. Versi ini telah di-patch dengan perbaikan untuk CVE-2024-6387.

Kerentanan apa yang ditangani?

Kerentanan CVE-2024-6387, yang memungkinkan penyerang jarak jauh yang tidak diautentikasi mengeksekusi kode arbitrer sebagai root di mesin target.

Pembaruan 08-07-2024:

Cluster Managed Service untuk Apache Spark di Google Compute Engine yang berjalan pada versi image 2.2 (semua sistem operasi) dan 2.1 (khusus Debian) terpengaruh oleh kerentanan di OpenSSH (CVE-2024-6387) yang jika berhasil dieksploitasi dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mengeksekusi kode arbitrer sebagai root pada mesin target.

Managed Service untuk Apache Spark di Google Compute Engine image versi 2.0 dan 1.5, serta image Managed Service untuk Apache Spark versi 2.1 yang tidak berjalan di Debian, tidak terpengaruh. Cluster Managed Service untuk Apache Spark dengan Autentikasi Pribadi yang diaktifkan tidak akan terpengaruh. Managed Service untuk Apache Spark Serverless juga tidak terpengaruh.

Apa yang sebaiknya saya lakukan?

Update cluster Managed Service untuk Apache Spark di Google Compute Engine ke salah satu versi berikut:

  • 2.2.24 atau yang lebih baru
  • 2.1.58 atau yang lebih baru

Jika Anda tidak dapat mengupdate cluster Managed Service untuk Apache Spark ke salah satu versi di atas, sebaiknya gunakan tindakan inisialisasi yang tersedia di lokasi ini: gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

Ikuti petunjuk berikut tentang cara menentukan tindakan inisialisasi untuk Managed Service untuk Apache Spark. Perlu diperhatikan bahwa tindakan inisialisasi harus dijalankan di setiap node (master dan worker) untuk cluster yang sudah ada.

Info Terbaru 03-07-2024:

  • Menambahkan versi patch untuk GKE.
  • Menambahkan buletin keamanan untuk GDC terhubung.

Pembaruan 02-07-2024:

  • Menjelaskan bahwa cluster Autopilot terpengaruh dan akan memerlukan tindakan pengguna.
  • Menambahkan penilaian dampak dan langkah mitigasi untuk software GDC untuk VMware, GKE di AWS, dan GKE di Azure.
  • Memperbaiki buletin keamanan software GDC untuk bare metal guna mengklarifikasi bahwa software GDC untuk bare metal tidak terpengaruh secara langsung dan bahwa pelanggan harus menghubungi vendor OS untuk mendapatkan patch.

Kerentanan eksekusi kode jarak jauh, CVE-2024-6387, baru-baru ini ditemukan di OpenSSH. Kerentanan ini mengeksploitasi kondisi race yang dapat digunakan untuk mendapatkan akses ke shell jarak jauh, sehingga penyerang dapat memperoleh akses root. Pada saat publikasi, eksploitasi diyakini sulit dan memerlukan waktu beberapa jam per mesin yang diserang. Kami tidak mengetahui adanya upaya eksploitasi.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Kritis CVE-2024-6387

GCP-2024-039

Dipublikasikan: 28-06-2024

Diperbarui: 25-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 25-09-2024: Menambahkan versi patch untuk software GDC untuk VMware.

Update 20-08-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26923

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26923

GCP-2024-038

Dipublikasikan: 26-06-2024

Diperbarui: 17-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 17-09-2024: Menambahkan versi patch untuk software GDC untuk VMware.

Update 06-08-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26924

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26924

GCP-2024-037

Dipublikasikan: 18-06-2024

Deskripsi Keparahan Catatan

VMware mengungkapkan beberapa kerentanan di VMSA-2024-0012 yang memengaruhi komponen vCenter yang di-deploy di lingkungan pelanggan.

Dampak Google Cloud VMware Engine

  • Kerentanan ini dapat dieksploitasi dengan mengakses port tertentu di vCenter Server. Google telah memblokir port yang rentan di server vCenter, sehingga mencegah potensi eksploitasi kerentanan ini.
  • Selain itu, Google memastikan semua deployment vCenter di masa mendatang tidak terpapar kerentanan ini.

Apa yang harus saya lakukan?

Untuk saat ini, tidak ada tindakan lebih lanjut yang perlu Anda lakukan.

Kritis

GCP-2024-036

Dipublikasikan: 18-06-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2024-26584

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26584

GCP-2024-035

Dipublikasikan: 12-06-2024

Diperbarui: 18-07-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 18-07-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE dan menambahkan versi patch untuk versi 1.27 di node pool Container-Optimized OS.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26584

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26584

GCP-2024-034

Dipublikasikan: 11-06-2024

Diperbarui: 10-07-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 10-07-2024: Menambahkan versi patch untuk node Container-Optimized OS yang menjalankan versi minor 1.26 dan 1.27 serta menambahkan versi patch untuk node Ubuntu.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2024-26583

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26583

GCP-2024-033

Dipublikasikan: 10-06-2024

Diperbarui: 26-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 26-09-2024: Menambahkan versi patch untuk software GDC untuk VMware.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS:

  • CVE-2022-23222

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2022-23222

GCP-2024-032

Dipublikasikan: 04-06-2024

Deskripsi

Deskripsi Keparahan Catatan

CVE berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi:

  • CVE-2024-23326: Envoy salah menerima respons HTTP 200 untuk memasuki mode upgrade.
  • CVE-2024-32974: Error di EnvoyQuicServerStream::OnInitialHeadersComplete().
  • CVE-2024-32975: Error di QuicheDataReader::PeekVarInt62Length().
  • CVE-2024-32976: Loop tanpa akhir saat mendekompresi data Brotli dengan input tambahan.
  • CVE-2024-34362: Error (use-after-free) di EnvoyQuicServerStream.
  • CVE-2024-34363: Error karena pengecualian JSON nlohmann yang tidak tertangkap.
  • CVE-2024-34364: Vektor OOM Envoy dari klien asinkron HTTP dengan buffering respons tak terbatas untuk respons duplikasi.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi

GCP-2024-031

Dipublikasikan: 24-05-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru (CVE-2024-4323) telah ditemukan di Fluent Bit yang dapat mengakibatkan eksekusi kode jarak jauh. Fluent Bit versi 2.0.7 hingga 3.0.3 terpengaruh.

GKE, GKE on VMware, GKE on AWS, GKE on Azure, dan GKE on Bare Metal tidak menggunakan versi Fluent Bit yang rentan dan tidak terpengaruh.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tidak ada CVE-2024-4323

GCP-2024-030

Dipublikasikan: 15-05-2024

Diperbarui: 18-07-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 18-07-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2023-52620

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-52620

GCP-2024-029

Dipublikasikan: 14-05-2024

Diperbarui: 19-08-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 19-08-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26642

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26642

GCP-2024-028

Dipublikasikan: 13-05-2024

Diperbarui: 22-05-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 22-05-2024: Menambahkan versi patch untuk Ubuntu

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26581

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26581

GCP-2024-027

Dipublikasikan: 08-05-2024

Diperbarui: 25-09-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 25-09-2024: Menambahkan versi patch untuk software GDC untuk VMware.

Update 15-05-2024: Menambahkan versi patch untuk node pool GKE Ubuntu.

Pembaruan 09-05-2024: Memperbaiki tingkat keparahan dari Sedang menjadi Tinggi dan mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26808

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26808

GCP-2024-026

Dipublikasikan: 07-05-2024

Diperbarui: 06-08-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 06-08-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE.

Pembaruan 09-05-2024: Memperbaiki tingkat keparahan dari Sedang menjadi Tinggi.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26643

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26643

GCP-2024-025

Dipublikasikan: 26-04-2024

Deskripsi

Deskripsi Keparahan Catatan

Looker memperbaiki kerentanan yang dilaporkan oleh peneliti eksternal melalui Vulnerability Reward Program (VRP) Google dan Alphabet, tetapi tidak menemukan bukti eksploitasi. Masalah ini telah teratasi dan pengguna tidak perlu melakukan tindakan apa pun untuk pelanggan yang dihosting oleh Looker di Looker (Google Cloud core) dan Looker (asli). Instance Looker yang dihosting sendiri disarankan untuk diupdate ke versi terbaru yang didukung.

Apa yang sebaiknya saya lakukan?

Instance yang dihosting Looker: Instance Looker (Google Cloud core) dan Looker (asli)

Pelanggan tidak perlu melakukan tindakan apa pun.

Khusus instance Looker yang dihosting sendiri

Jika instance Looker Anda dihosting sendiri, sebaiknya upgrade instance Looker Anda ke salah satu versi berikut:

  • 24.6.12+
  • 24.4.27+
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105+
  • 23.6.163+

Bagaimana cara memperbaikinya?

Google menonaktifkan akses administratif langsung ke database internal dari aplikasi Looker, menghapus hak istimewa yang ditingkatkan yang memungkinkan akses lintas tenant, dan merotasi secret yang terekspos. Selain itu, kami telah menerapkan patch pada kerentanan penjelajahan jalur yang berpotensi mengekspos kredensial akun layanan. Kami juga melakukan peninjauan menyeluruh terhadap kode dan sistem kami untuk mengidentifikasi dan mengatasi potensi kerentanan serupa.

 Kritis

GCP-2024-024

Dipublikasikan: 25-04-2024

Diperbarui: 18-07-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 18-07-2024: Menambahkan versi patch untuk node pool Ubuntu di GKE

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-26585

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-26585

GCP-2024-023

Dipublikasikan: 24-04-2024

Deskripsi

Deskripsi Keparahan Catatan

CVE berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi:

  • CVE-2024-27919: HTTP/2: kehabisan memori karena flood frame CONTINUATION.
  • CVE-2024-30255: HTTP/2: Pengurasan CPU karena banjir frame CONTINUATION
  • CVE-2024-32475: Penghentian abnormal saat menggunakan 'auto_sni' dengan header ':authority' yang lebih panjang dari 255 karakter.
  • CVE-2023-45288: Frame CONTINUATION HTTP/2 dapat digunakan untuk serangan DoS.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi

GCP-2024-022

Dipublikasikan: 03-04-2024

Diperbarui: 17-07-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 17-07-2024: Menambahkan versi patch untuk GKE di VMware

Pembaruan 09-07-2024: Menambahkan versi patch untuk GKE on Bare Metal

Pembaruan 24-04-2024: Menambahkan versi patch untuk GKE.

Kerentanan Denial-of-Service (DoS) (CVE-2023-45288) baru-baru ini ditemukan dalam beberapa implementasi protokol HTTP/2, termasuk server HTTP golang yang digunakan oleh Kubernetes. Kerentanan ini dapat menyebabkan DoS pada bidang kontrol Google Kubernetes Engine (GKE).

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-45288

GCP-2024-021

Dipublikasikan: 03-04-2024

Deskripsi

Deskripsi Keparahan Catatan

Compute Engine tidak terpengaruh oleh CVE-2024-3094, yang memengaruhi versi 5.6.0 dan 5.6.1 paket xz-utils di library liblzma, dan dapat menyebabkan penyusupan utilitas OpenSSH.

Untuk mengetahui detail selengkapnya, lihat buletin keamanan Compute Engine.

 Sedang CVE-2024-3094

GCP-2024-020

Dipublikasikan: 02-04-2024

Deskripsi

Deskripsi Keparahan Catatan

Peneliti menemukan kerentanan (CVE-2023-48022) di Ray. Ray adalah alat open source pihak ketiga untuk workload AI. Karena Ray tidak memerlukan autentikasi, pelaku ancaman dapat mencapai eksekusi kode jarak jauh dengan mengirimkan tugas ke instance yang terekspos secara publik. Kerentanan tersebut telah disengketakan oleh Anyscale, developer Ray. Ray menyatakan bahwa fungsinya merupakan fitur produk inti yang dimaksudkan, dan bahwa keamanan harus diterapkan di luar cluster Ray, karena eksposur jaringan yang tidak diinginkan dari cluster Ray dapat menyebabkan kompromi.

Berdasarkan responsnya, CVE ini diperdebatkan dan mungkin tidak muncul di pemindai kerentanan. Terlepas dari itu, kerentanan ini sedang dieksploitasi secara aktif di lapangan dan pengguna harus mengonfigurasi penggunaannya seperti yang disarankan di bawah.

Apa yang sebaiknya saya lakukan?

Ikuti praktik terbaik dan panduan Ray, termasuk menjalankan kode tepercaya di jaringan tepercaya, untuk mengamankan workload Ray Anda. Deployment ray.io di instance cloud pelanggan termasuk dalam model tanggung jawab bersama.

Keamanan Google Kubernetes Engine (GKE) telah memublikasikan blog tentang penguatan Ray di GKE.

Untuk mengetahui informasi selengkapnya tentang cara menambahkan autentikasi dan otorisasi ke layanan Ray, lihat dokumentasi Identity-Aware Proxy (IAP). Pengguna GKE dapat menerapkan IAP dengan mengikuti panduan ini atau dengan menggunakan kembali modul Terraform yang ditautkan di blog.

Tinggi CVE-2023-48022

GCP-2024-018

Dipublikasikan: 12-03-2024

Diperbarui: 04-04-2024, 06-05-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 06-05-2024: Menambahkan versi patch untuk node pool GKE Ubuntu.

Update 04-04-2024: Memperbaiki versi minimum untuk node pool Container-Optimized OS GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-1085

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-1085

GCP-2024-017

Dipublikasikan: 06-03-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2023-3611

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3611

GCP-2024-016

Dipublikasikan: 05-03-2024

Deskripsi Keparahan Catatan

VMware mengungkapkan beberapa kerentanan di VMSA-2024-0006 yang memengaruhi komponen ESXi yang di-deploy di lingkungan pelanggan.

Dampak Google Cloud VMware Engine

Cloud pribadi Anda telah diupdate untuk mengatasi kerentanan keamanan.

Apa yang harus saya lakukan?

Anda tidak perlu melakukan tindakan apa pun.

Kritis

GCP-2024-014

Dipublikasikan: 26-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2023-3776

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3776

GCP-2024-013

Dipublikasikan: 27-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2023-3610

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3610

GCP-2024-012

Dipublikasikan: 20-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2024-0193

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-0193

GCP-2024-011

Dipublikasikan: 15-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu:

  • CVE-2023-6932

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-6932

GCP-2024-010

Dipublikasikan: 14-02-2024

Diperbarui: 17-04-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 17-04-2024: Menambahkan versi patch untuk GKE on VMware.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-6931

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-6931

GCP-2024-009

Dipublikasikan: 13-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Pada 13 Februari 2024, AMD mengungkapkan dua kerentanan yang memengaruhi SEV-SNP pada CPU EPYC berdasarkan core Zen "Milan" generasi ketiga dan "Genoa" generasi keempat. Kerentanan ini memungkinkan penyerang dengan hak istimewa mengakses data usang dari tamu atau menyebabkan hilangnya integritas tamu.

Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk memastikan pelanggan terlindungi. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun. Perbaikan telah diterapkan ke fleet server Google untuk Google Cloud, termasuk Compute Engine.

Untuk mengetahui informasi selengkapnya, lihat buletin keamanan AMD AMD-SN-3007.

 Sedang

GCP-2024-008

Dipublikasikan: 12-02-2024

Deskripsi

Deskripsi Keparahan Catatan

CVE-2023-5528 memungkinkan penyerang membuat pod dan persistent volume di node Windows dengan cara yang memungkinkan eskalasi hak istimewa admin di node tersebut.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-5528

GCP-2024-007

Dipublikasikan: 08-02-2024

Deskripsi

Deskripsi Keparahan Catatan

CVE berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi:

  • CVE-2024-23322: Envoy error saat tidak ada aktivitas dan waktu tunggu permintaan per percobaan habis dalam interval backoff.
  • CVE-2024-23323: Penggunaan CPU yang berlebihan saat pencocok template URI dikonfigurasi menggunakan ekspresi reguler.
  • CVE-2024-23324: Otorisasi eksternal dapat diabaikan jika filter protokol Proxy menetapkan metadata UTF-8 yang tidak valid.
  • Envoy error saat menggunakan jenis alamat yang tidak didukung oleh OS.
  • CVE-2024-23327: Error pada protokol proxy saat jenis perintah adalah LOCAL.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi

GCP-2024-006

Dipublikasikan: 05-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Saat proxy Pengelolaan API Apigee terhubung ke endpoint target atau server target, proxy tidak melakukan validasi nama host untuk sertifikat yang diberikan oleh endpoint target atau server target secara default. Jika validasi nama host tidak diaktifkan menggunakan salah satu opsi berikut, proxy Apigee yang terhubung ke endpoint target atau server target mungkin berisiko terkena serangan man-in-the-middle oleh pengguna yang berwenang. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi TLS dari Edge ke backend (Cloud dan Cloud Pribadi).

Deployment proxy Apigee di platform Apigee berikut akan terpengaruh:

  • Apigee Edge for Public Cloud
  • Apigee Edge for Private Cloud

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Apigee.

 Tinggi

GCP-2024-005

Dipublikasikan: 31-01-2024
Diperbarui: 02-04-2024, 06-05-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 06-05-2024: Menambahkan versi patch untuk GKE di AWS dan GKE di Azure.

Pembaruan 02-04-2024: Menambahkan versi patch untuk GKE on Bare Metal

Update 06-03-2024: Menambahkan versi patch untuk GKE di VMware

Pembaruan 28-02-2024: Menambahkan versi patch untuk Ubuntu

Update 15-02-2024: Mengklarifikasi bahwa versi patch Ubuntu 1.25 dan 1.26 dalam update 14-02-2024 dapat menyebabkan node tidak responsif.

Update 14-02-2024: Menambahkan versi patch untuk Ubuntu

Update 06-02-2024: Menambahkan versi patch untuk Container-Optimized OS.

Kerentanan keamanan, CVE-2024-21626, telah ditemukan di runc, yang memungkinkan pengguna dengan izin untuk membuat Pod di node Container-Optimized OS dan Ubuntu mendapatkan akses penuh ke sistem file node.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2024-21626

GCP-2024-004

Dipublikasikan: 24-01-2024
Diperbarui: 07-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 07-02-2024: Menambahkan versi patch untuk Ubuntu.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-6817

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-6817

GCP-2024-003

Dipublikasikan: 19-01-2024
Diperbarui: 26-01-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 26-01-2024: Mengklarifikasi jumlah cluster yang terpengaruh dan tindakan yang kami lakukan untuk membantu mengurangi dampaknya. Untuk mengetahui detailnya, lihat buletin keamanan GCP-2024-003.

Kami telah mengidentifikasi beberapa cluster tempat pengguna memberikan hak istimewa Kubernetes ke grup system:authenticated, yang mencakup semua pengguna dengan Akun Google. Jenis binding ini tidak direkomendasikan, karena melanggar prinsip hak istimewa terendah dan memberikan akses ke grup pengguna yang sangat besar. Lihat panduan di bagian 'Apa yang harus saya lakukan' untuk mengetahui petunjuk cara menemukan jenis binding ini.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang

GCP-2024-002

Dipublikasikan: 17-01-2024

Diperbarui: 20-02-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 20-02-2024: Menambahkan versi patch untuk GKE di VMware.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi akses pada node Container-Optimized OS.

  • CVE-2023-6111

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-6111

GCP-2024-001

Dipublikasikan: 09-01-2024

Deskripsi

Deskripsi Keparahan Catatan

Beberapa kerentanan ditemukan di firmware UEFI TianoCore EDK II. Firmware ini digunakan di VM Google Compute Engine. Jika dieksploitasi, kerentanan ini dapat memungkinkan bypass booting aman, yang akan memberikan pengukuran yang salah dalam proses booting aman, termasuk saat digunakan di Shielded VM.

Apa yang harus saya lakukan?

Anda tidak perlu melakukan tindakan apa pun. Google telah melakukan patch pada kerentanan ini di seluruh Compute Engine dan semua VM terlindungi dari kerentanan ini.

Jenis kerentanan apa yang dapat diatasi oleh patch ini?

Patch ini memitigasi kerentanan berikut:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 Sedang

GCP-2023-051

Dipublikasikan: 28-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-3609

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3609

GCP-2023-050

Dipublikasikan: 27-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-3389

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3389

GCP-2023-049

Dipublikasikan: 20-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-3090

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3090

GCP-2023-048

Dipublikasikan: 15-12-2023

Diperbarui: 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-3390

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3390

GCP-2023-047

Dipublikasikan: 14-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Penyerang yang telah menyusupi container logging Fluent Bit dapat menggabungkan akses tersebut dengan hak istimewa tinggi yang diperlukan oleh Cloud Service Mesh (pada cluster yang telah mengaktifkannya) untuk mengeskalasi hak istimewa di cluster.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang

GCP-2023-046

Dipublikasikan: 22-11-2023
Diperbarui: 04-03-2024

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 04-03-2024: Menambahkan versi GKE untuk GKE di VMware.

Update 22-01-2024: Menambahkan versi patch Ubuntu

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-5717

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-5717

GCP-2023-045

Dipublikasikan: 20-11-2023

Diperbarui: 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-5197

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-5197

GCP-2023-044

Dipublikasikan: 15-11-2023

Deskripsi

Deskripsi Keparahan Catatan

Pada 14 November, AMD mengungkapkan beberapa kerentanan yang memengaruhi berbagai CPU server AMD. Secara khusus, kerentanan ini memengaruhi CPU Server EPYC yang memanfaatkan Zen core generasi 2 "Rome", generasi 3 "Milan", dan generasi 4 "Genoa".

Google telah menerapkan perbaikan pada aset yang terpengaruh, termasuk Google Cloud, untuk memastikan pelanggan terlindungi. Saat ini, tidak ada bukti eksploitasi yang ditemukan atau dilaporkan ke Google.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun.

Perbaikan telah diterapkan ke fleet server Google untuk Google Cloud, termasuk Google Compute Engine.

Kerentanan apa yang ditangani?

Patch ini memitigasi kerentanan berikut:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

Untuk mengetahui informasi selengkapnya, lihat saran keamanan AMD AMD-SN-3005: "AMD INVD Instruction Security Notice", yang juga dipublikasikan sebagai CacheWarp, dan AMD-SN-3002: "AMD Server Vulnerabilities – November 2023".

 Sedang

GCP-2023-043

Dipublikasikan: 14-11-2023

Deskripsi

Deskripsi Keparahan Catatan

Intel mengungkapkan kerentanan CPU pada prosesor tertentu. Google telah mengambil langkah-langkah untuk memitigasi servernya, termasuk Google Compute Engine untuk Google Cloud, dan perangkat Chrome OS guna memastikan pelanggan terlindungi.

Detail kerentanan:

  • CVE-2023-23583

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun.

Mitigasi yang disediakan oleh Intel untuk prosesor yang terpengaruh telah diterapkan ke fleet server Google, termasuk Google Compute Engine untuk Google Cloud.

Saat ini, Google Distributed Cloud Edge memerlukan update dari OEM. Google akan memperbaiki produk ini setelah update tersedia, dan buletin ini akan diperbarui sebagaimana mestinya.

Perangkat ChromeOS dengan prosesor yang terpengaruh menerima perbaikan secara otomatis sebagai bagian dari rilis 119, 118, dan 114 (LTS).

Kerentanan apa yang ditangani?

CVE-2023-23583. Untuk mengetahui detailnya, lihat Saran Keamanan Intel INTEL-SA-00950.

 Tinggi CVE-2023-23583

GCP-2023-042

Dipublikasikan: 13-11-2023
Diperbarui: 15-11-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 15-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-4147

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-4147

GCP-2023-041

Dipublikasikan: 08-11-2023

Diperbarui: 21-11-2023, 05-12-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Pembaruan 05-12-2023: Menambahkan versi GKE tambahan untuk node pool Container-Optimized OS.

Pembaruan 21-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-4004

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-4004

GCP-2023-040

Dipublikasikan: 06-11-2023

Diperbarui: 21-11-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Pembaruan 21-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-4921

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-4921

GCP-2023-039

Dipublikasikan: 06-11-2023

Diperbarui: 21-11-2023, 16-11-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Update 16-11-2023: Kerentanan yang terkait dengan buletin keamanan ini adalah CVE-2023-4622. CVE-2023-4623 salah dicantumkan sebagai kerentanan dalam versi buletin keamanan sebelumnya.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-4623

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-4622

GCP-2023-038

Dipublikasikan: 06-11-2023

Diperbarui: 21-11-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Pembaruan 21-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-4623

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-4623

GCP-2023-037

Dipublikasikan: 06-11-2023

Diperbarui: 21-11-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Pembaruan 21-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-4015

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-4015

GCP-2023-036

Dipublikasikan: 30-10-2023

Deskripsi

Deskripsi Keparahan Catatan

Deep Learning VM Image adalah kumpulan image virtual machine yang dipaketkan dengan framework deep learning yang siap dijalankan secara langsung. Baru-baru ini, kerentanan penulisan di luar batas ditemukan dalam fungsi `ReadHuffmanCodes()` di library `libwebp`. Hal ini dapat memengaruhi image yang menggunakan library ini.

Google Cloud terus memindai image yang dipublikasikan secara publik dan mengupdate paket untuk memastikan distro yang di-patch disertakan dalam rilis terbaru yang tersedia untuk diadopsi pelanggan. Deep Learning VM Image telah diupdate untuk memastikan bahwa image VM terbaru menyertakan distro yang telah di-patch. Pelanggan yang menggunakan image VM terbaru tidak akan terpengaruh oleh kerentanan ini.

Apa yang sebaiknya saya lakukan?

PelangganGoogle Cloud yang menggunakan image VM yang dipublikasikan harus memastikan bahwa mereka menggunakan image terbaru dan lingkungan mereka sudah yang terbaru sesuai dengan model tanggung jawab bersama.

CVE-2023-4863 dapat dieksploitasi oleh penyerang untuk mengeksekusi kode arbitrer. Kerentanan ini diidentifikasi di Google Chrome sebelum versi 116.0.5845.187 dan di `libwebp` sebelum versi 1.3.2, serta tercantum dalam CVE-2023-4863.

 Tinggi CVE-2023-4863

GCP-2023-035

Dipublikasikan: 26-10-2023

Diperbarui: 21-11-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Pembaruan 21-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128

GCP-2023-034

Dipublikasikan: 25-10-2023

Diperbarui: 27-10-2023

Deskripsi

Deskripsi Keparahan Catatan

VMware mengungkapkan beberapa kerentanan di VMSA-2023-0023 yang memengaruhi komponen vCenter yang di-deploy di lingkungan pelanggan.

Dampak Cloud Customer Care

  • Kerentanan ini dapat dieksploitasi dengan mengakses port tertentu di vCenter Server. Port ini tidak terekspos ke internet publik.
  • Jika port vCenter 2012/tcp, 2014/tcp, dan 2020/tcp Anda tidak dapat diakses oleh sistem yang tidak tepercaya, Anda tidak akan terekspos ke kerentanan ini.
  • Google telah memblokir port yang rentan di server vCenter, sehingga mencegah potensi eksploitasi kerentanan ini.
  • Selain itu, Google akan memastikan semua deployment server vCenter di masa mendatang tidak terekspos ke kerentanan ini.
  • Pada saat buletin ini dirilis, VMware tidak mengetahui adanya eksploitasi "di lapangan". Untuk mengetahui detail selengkapnya, lihat dokumentasi VMware.

Apa yang harus saya lakukan?

Untuk saat ini, tidak ada tindakan lebih lanjut yang perlu Anda lakukan

 Kritis CVE-2023-34048,CVE-2023-34056

GCP-2023-033

Dipublikasikan: 24-10-2023

Diperbarui: 21-11-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh dan workload GKE Sandbox tidak terpengaruh.

Pembaruan 21-11-2023: Menjelaskan bahwa hanya versi minor yang tercantum yang perlu diupgrade ke versi yang di-patch yang sesuai untuk GKE.

Kerentanan berikut ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node Container-Optimized OS dan Ubuntu.

  • CVE-2023-3777

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3777

GCP-2023-032

Dipublikasikan: 13-10-2023

Diperbarui: 03-11-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 03-11-2023: Menambahkan masalah umum untuk Apigee Edge for Private Cloud.

Kerentanan Denial of Service (DoS) baru-baru ini ditemukan dalam beberapa implementasi protokol HTTP/2 (CVE-2023-44487), termasuk layanan Apigee Ingress (Cloud Service Mesh) yang digunakan oleh Apigee X dan Apigee Hybrid. Kerentanan ini dapat menyebabkan DoS pada fungsi pengelolaan Apigee API.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Apigee.

Tinggi CVE-2023-44487

GCP-2023-031

Dipublikasikan: 10-10-2023

Deskripsi

Deskripsi Keparahan Catatan

Serangan denial of service dapat memengaruhi bidang data saat menggunakan protokol HTTP/2. Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi CVE-2023-44487

GCP-2023-030

Dipublikasikan: 10-10-2023

Diperbarui: 20-03-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 20-03-2024: Menambahkan versi patch untuk GKE di AWS dan GKE di Azure dengan patch terbaru untuk CVE-2023-44487.

Update 14-02-2024: Menambahkan versi patch untuk GKE di VMware.

Update 09-11-2023: Menambahkan CVE-2023-39325. Versi GKE yang diupdate dengan patch terbaru untuk CVE-2023-44487 dan CVE-2023-39325.

Kerentanan Denial-of-Service (DoS) baru-baru ini ditemukan dalam beberapa implementasi protokol HTTP/2 (CVE-2023-44487), termasuk server HTTP golang yang digunakan oleh Kubernetes. Kerentanan ini dapat menyebabkan DoS pada bidang kontrol Google Kubernetes Engine (GKE). Cluster GKE dengan jaringan yang diizinkan yang dikonfigurasi dilindungi dengan membatasi akses jaringan, tetapi semua cluster lainnya terpengaruh.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-44487, CVE-2023-39325

GCP-2023-029

Dipublikasikan: 03-10-2023

Deskripsi

Deskripsi Keparahan Catatan

TorchServe digunakan untuk menghosting model machine learning PyTorch untuk prediksi online. Vertex AI menyediakan container penayangan model PyTorch bawaan yang bergantung pada TorchServe. Kerentanan baru-baru ini ditemukan di TorchServe yang memungkinkan penyerang mengontrol deployment TorchServe jika API pengelolaan modelnya terekspos. Pelanggan dengan model PyTorch yang di-deploy ke prediksi online Vertex AI tidak terpengaruh oleh kerentanan ini, karena Vertex AI tidak mengekspos API pengelolaan model TorchServe. Pelanggan yang menggunakan TorchServe di luar Vertex AI harus melakukan tindakan pencegahan untuk memastikan deployment mereka disiapkan dengan aman.

Apa yang sebaiknya saya lakukan?

Pelanggan Vertex AI dengan model yang di-deploy menggunakan container penayangan PyTorch bawaan Vertex AI tidak perlu melakukan tindakan apa pun untuk mengatasi kerentanan tersebut, karena deployment Vertex AI tidak mengekspos server pengelolaan TorchServe ke internet.

Pelanggan yang menggunakan container PyTorch bawaan dalam konteks lain, atau yang menggunakan distribusi TorchServe yang dibuat khusus atau dari pihak ketiga harus melakukan hal berikut:

  • Pastikan API pengelolaan model TorchServe tidak terekspos ke internet. API pengelolaan model dapat dibatasi untuk akses lokal hanya dengan memastikan bahwa management_address terikat dengan 127.0.0.1.
  • Gunakan setelan allowed_urls untuk memastikan bahwa model hanya dapat dimuat dari sumber yang diinginkan.
  • Upgrade TorchServe ke versi 0.8.2, yang mencakup mitigasi untuk masalah ini, sesegera mungkin. Sebagai tindakan pencegahan, Vertex AI akan merilis container bawaan tetap pada 13-10-2023.

Kerentanan apa yang ditangani?

API pengelolaan TorchServe terikat pada 0.0.0.0 secara default di sebagian besar image Docker TorchServe, termasuk yang dirilis oleh Vertex AI, sehingga dapat diakses oleh permintaan eksternal. Alamat IP default untuk API pengelolaan diubah menjadi 127.0.0.1 di TorchServe 0.8.2, sehingga dapat memitigasi masalah ini.

CVE-2023-43654 dan CVE-2022-1471 memungkinkan pengguna dengan akses ke API pengelolaan dapat memuat model dari sumber arbitrer dan mengeksekusi kode dari jarak jauh. Mitigasi untuk kedua masalah ini tercakup dalam TorchServe 0.8.2: jalur eksekusi kode jarak jauh akan dihapus, dan peringatan akan dimunculkan jika nilai default untuk allowed_urls digunakan.

 Tinggi CVE-2023-43654, CVE-2022-1471

GCP-2023-028

Dipublikasikan: 19-09-2023

Diperbarui: 29-05-2024

Deskripsi

Deskripsi Keparahan Catatan
Pembaruan 29-05-2024: Feed baru tidak lagi menggunakan akun layanan bersama, tetapi akun tersebut tetap aktif untuk feed yang ada guna menghindari gangguan layanan. Perubahan pada sumber di feed lama diblokir untuk mencegah penyalahgunaan akun layanan bersama. Pelanggan dapat terus menggunakan feed lama mereka seperti biasa, asalkan mereka tidak mengubah sumbernya.

Pelanggan dapat mengonfigurasi Google Security Operations untuk menyerap data dari bucket Cloud Storage milik pelanggan menggunakan feed penyerapan. Hingga saat ini, Google Security Operations menyediakan akun layanan bersama yang digunakan pelanggan untuk memberikan izin ke bucket. Ada peluang bahwa instance Google Security Operations milik satu pelanggan dapat dikonfigurasi untuk menyerap data dari bucket Cloud Storage milik pelanggan lain. Setelah melakukan analisis dampak, kami tidak menemukan eksploitasi kerentanan ini saat ini atau sebelumnya. Kerentanan ini ada di semua versi Google Security Operations sebelum 19 September 2023.

Apa yang sebaiknya saya lakukan?

Mulai 19 September 2023, Google Security Operations telah diupdate untuk mengatasi kerentanan ini. Pelanggan tidak perlu melakukan tindakan apa pun.

Kerentanan apa yang ditangani?

Sebelumnya, Google Security Operations menyediakan akun layanan bersama yang digunakan pelanggan untuk memberikan izin ke bucket. Karena pelanggan yang berbeda memberikan izin akun layanan Google Security Operations yang sama ke bucket mereka, terdapat vektor eksploitasi yang memungkinkan feed satu pelanggan mengakses bucket pelanggan lain saat feed dibuat atau diubah. Vektor eksploitasi ini memerlukan pengetahuan tentang URI bucket. Sekarang, selama pembuatan atau modifikasi feed, Google Security Operations menggunakan akun layanan unik untuk setiap pelanggan.

 Tinggi

GCP-2023-027

Dipublikasikan: 11-09-2023
Deskripsi Keparahan Catatan

Update VMware vCenter Server mengatasi beberapa kerentanan kerusakan memori (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896)

Dampak terhadap layanan pelanggan

VMware vCenter Server (vCenter Server) dan VMware Cloud Foundation (Cloud Foundation).

Apa yang harus saya lakukan?

Pelanggan tidak terpengaruh dan tidak perlu melakukan tindakan apa pun.

 Sedang

GCP-2023-026

Dipublikasikan: 06-09-2023

Deskripsi

Deskripsi Keparahan Catatan

Tiga kerentanan (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) telah ditemukan di Kubernetes, yang memungkinkan pengguna yang dapat membuat Pod di node Windows untuk meningkatkan hak istimewa admin di node tersebut. Kerentanan ini memengaruhi Kubelet versi Windows dan proxy CSI Kubernetes.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-3676, CVE-2023-3955, CVE-2023-3893

GCP-2023-025

Dipublikasikan: 08-08-2023
Deskripsi Keparahan Catatan

Intel baru-baru ini mengumumkan Intel Security Advisory INTEL-SA-00828 yang memengaruhi beberapa kelompok prosesornya. Anda dianjurkan untuk menilai risiko Anda berdasarkan saran tersebut.

Dampak Google Cloud VMware Engine

Armada kami menggunakan kelompok prosesor yang terpengaruh. Dalam deployment kami, seluruh server didedikasikan untuk satu pelanggan. Oleh karena itu, model deployment kami tidak menambahkan risiko tambahan apa pun pada penilaian Anda terhadap kerentanan ini.

Kami bekerja sama dengan partner kami untuk mendapatkan patch yang diperlukan dan akan men-deploy patch ini berdasarkan prioritas di seluruh fleet menggunakan proses upgrade standar dalam beberapa minggu ke depan.

Apa yang harus saya lakukan?

Anda tidak perlu melakukan tindakan apa pun. Kami sedang berupaya mengupgrade semua sistem yang terpengaruh.

 Tinggi

GCP-2023-024

Dipublikasikan: 08-08-2023

Diperbarui: 10-08-2023, 04-06-2024

Deskripsi

Deskripsi Keparahan Catatan

Update 04-06-2024: Produk yang tidak ada berikut kini telah diupdate untuk memperbaiki kerentanan ini:

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

Pembaruan 10-08-2023: Menambahkan nomor versi ChromeOS LTS.

Intel mengungkapkan kerentanan pada prosesor tertentu (CVE-2022-40982). Google telah mengambil langkah-langkah untuk memitigasi fleet servernya, termasuk Google Cloud, untuk memastikan pelanggan terlindungi.

Detail kerentanan:

  • CVE-2022-40982 (Intel IPU 2023.3, "GDS" alias "Downfall")

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun.

Semua patch yang tersedia telah diterapkan ke fleet server Google untuk Google Cloud, termasuk Google Compute Engine.

Saat ini, produk berikut memerlukan pembaruan tambahan dari partner dan vendor.

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Solusi Bare Metal Google Cloud
  • Evolved Packet Core

Google akan memperbaiki produk ini setelah patch ini tersedia, dan buletin ini akan diperbarui sebagaimana mestinya.

Pelanggan Google Chromebook dan ChromeOS Flex otomatis menerima mitigasi yang disediakan Intel di versi Stabil (115), LTS (108), Beta (116), dan LTC (114). Pelanggan Chromebook dan ChromeOS Flex yang disematkan ke rilis lama harus mempertimbangkan untuk melepas sematan dan beralih ke rilis Stabil atau LTS untuk memastikan mereka menerima perbaikan kerentanan ini dan perbaikan kerentanan lainnya.

Kerentanan apa yang ditangani?

CVE-2022-40982 - Untuk mengetahui informasi selengkapnya, lihat Saran Keamanan Intel INTEL-SA-00828.

Tinggi CVE-2022-40982

GCP-2023-023

Dipublikasikan: 08-08-2023

Deskripsi

Deskripsi Keparahan Catatan

AMD mengungkapkan kerentanan pada prosesor tertentu (CVE-2023-20569). Google telah mengambil langkah-langkah untuk memitigasi fleet servernya, termasuk Google Cloud, untuk memastikan pelanggan terlindungi.

Detail kerentanan:

  • CVE-2023-20569 (AMD SB-7005 alias "Inception")

Apa yang sebaiknya saya lakukan?

Pengguna VM Compute Engine harus mempertimbangkan mitigasi yang disediakan OS jika menggunakan eksekusi kode yang tidak tepercaya dalam instance. Sebaiknya pelanggan menghubungi vendor OS mereka untuk mendapatkan panduan yang lebih spesifik.

Perbaikan telah diterapkan ke fleet server Google untuk Google Cloud, termasuk Google Compute Engine.

Kerentanan apa yang ditangani?

CVE-2023-20569 - Untuk mengetahui informasi selengkapnya, lihat AMD SB-7005.

Sedang CVE-2023-20569

GCP-2023-022

Dipublikasikan: 03-08-2023

Deskripsi

Deskripsi Keparahan Catatan

Google mengidentifikasi kerentanan dalam Implementasi gRPC C++ sebelum rilis 1.57. Ini adalah kerentanan Denial of Service dalam implementasi C++ gRPC. Masalah ini telah diperbaiki dalam rilis 1.53.2, 1.54.3, 1.55.2, 1.56.2, dan 1.57.

Apa yang sebaiknya saya lakukan?

Pastikan Anda menggunakan versi terbaru paket software berikut:

  • gRPC (C++, Python, Ruby) versi 1.53, 1.54, 1.55, dan 1.56 perlu diupgrade ke rilis patch berikut:
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • gRPC (C++, Python, Ruby) versi 1.52 dan yang lebih lama perlu diupgrade ke salah satu rilis patch yang disetujui. Misalnya, 1.53.2, 1.54.3, 1.53.4, dll.

Kerentanan apa yang ditangani?

Patch ini memitigasi kerentanan berikut:

  • Kerentanan Denial-Of-Service dalam implementasi gRPC C++: Permintaan yang dibuat secara khusus dapat menyebabkan penghentian koneksi antara proxy dan backend.
Tinggi CVE-2023-33953

GCP-2023-021

Updated:2023-07-26

Published:2023-07-25

Deskripsi

Deskripsi Keparahan Catatan

CVE berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi:

  • CVE-2023-35941: Klien berbahaya dapat membuat kredensial dengan validitas permanen dalam beberapa skenario tertentu. Misalnya, kombinasi host dan waktu habis masa berlaku dalam payload HMAC dapat selalu valid dalam pemeriksaan HMAC filter OAuth2.
  • CVE-2023-35942: Logger akses gRPC yang menggunakan cakupan global pemroses dapat menyebabkan error use-after-free saat pemroses dikosongkan. Hal ini dapat dipicu oleh update LDS dengan konfigurasi log akses gRPC yang sama.
  • CVE-2023-35943: Jika header origin dikonfigurasi untuk dihapus dengan request_headers_to_remove: origin, filter CORS akan segfault dan membuat Envoy error.
  • CVE-2023-35944: Penyerang dapat mengirim permintaan skema campuran untuk mengabaikan pemeriksaan skema di Envoy. Misalnya, jika permintaan dengan skema HTTP campuran dikirim ke filter OAuth2, permintaan tersebut akan gagal dalam pemeriksaan pencocokan persis untuk HTTP, dan memberi tahu endpoint jarak jauh bahwa skemanya adalah HTTPS, sehingga berpotensi mengabaikan pemeriksaan OAuth2 khusus untuk permintaan HTTP.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi

GCP-2023-020

Updated:2023-07-26

Dipublikasikan: 24-07-2023

Deskripsi

Deskripsi Keparahan Catatan

AMD telah merilis update microcode yang mengatasi kerentanan keamanan hardware (CVE-2023-20593). Google telah menerapkan perbaikan yang diperlukan untuk kerentanan ini pada jajaran servernya, termasuk server untuk Google Cloud Platform. Pengujian menunjukkan tidak ada dampak terhadap performa sistem.

Apa yang sebaiknya saya lakukan?

Pelanggan tidak perlu melakukan tindakan apa pun, karena perbaikan telah diterapkan ke fleet server Google untuk Google Cloud Platform.

Kerentanan apa yang ditangani?

CVE-2023-20593 mengatasi kerentanan di beberapa CPU AMD. Informasi selengkapnya dapat ditemukan di sini.

Tinggi CVE-2023-20593

GCP-2023-019

Published:2023-07-18

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru (CVE-2023-35945) telah ditemukan di Envoy, yang memungkinkan respons yang dibuat secara khusus dari layanan upstream yang tidak tepercaya menyebabkan denial of service melalui kehabisan memori. Hal ini disebabkan oleh codec HTTP/2 Envoy yang dapat membocorkan peta header dan struktur pembukuan setelah menerima RST_STREAM yang langsung diikuti oleh frame GOAWAY dari server upstream.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi CVE-2023-35945

GCP-2023-018

Dipublikasikan: 27-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru (CVE-2023-2235) telah ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node. Cluster GKE Autopilot terpengaruh karena node GKE Autopilot selalu menggunakan image node Container-Optimized OS. Cluster GKE Standard dengan versi 1.25 atau yang lebih baru yang menjalankan image node Container-Optimized OS akan terpengaruh.

Cluster GKE tidak terpengaruh jika hanya menjalankan image node Ubuntu, atau menjalankan versi sebelum 1.25, atau menggunakan GKE Sandbox.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-2235

GCP-2023-017

Dipublikasikan: 26-06-2023

Diperbarui: 11-07-2023

Deskripsi

Deskripsi Keparahan Catatan

Update 11-07-2023: Versi GKE baru telah diupdate untuk menyertakan versi Ubuntu terbaru yang melakukan patch CVE-2023-31436.

Kerentanan baru (CVE-2023-31436) telah ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node. Cluster GKE, termasuk cluster Autopilot, akan terpengaruh. Cluster GKE yang menggunakan GKE Sandbox tidak terpengaruh.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-31436

GCP-2023-016

Dipublikasikan: 26-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Sejumlah kerentanan telah ditemukan di Envoy, yang digunakan di Cloud Service Mesh, yang memungkinkan penyerang berbahaya menyebabkan denial of service atau membuat Envoy error. Hal ini dilaporkan secara terpisah sebagai GCP-2023-002.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487

GCP-2023-015

Dipublikasikan: 20-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru, CVE-2023-0468, telah ditemukan di kernel Linux yang dapat memungkinkan pengguna yang tidak memiliki hak istimewa untuk meningkatkan hak istimewa ke root saat io_poll_get_ownership akan terus meningkatkan req->poll_refs pada setiap io_poll_wake, lalu meluap ke 0 yang akan melakukan fput req->file dua kali dan menyebabkan masalah refcount file struct. Cluster GKE, termasuk cluster Autopilot, dengan Container-Optimized OS yang menggunakan Linux Kernel versi 5.15 akan terpengaruh. Cluster GKE yang menggunakan image Ubuntu atau menggunakan GKE Sandbox tidak terpengaruh.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang CVE-CVE-2023-0468

GCP-2023-014

Diperbarui: 11-08-2023
Dipublikasikan: 15-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 11-08-2023: Menambahkan versi patch untuk GKE di VMware, GKE di AWS, GKE di Azure, dan Google Distributed Cloud Virtual untuk Bare Metal.

Dua masalah keamanan baru ditemukan di Kubernetes, yang memungkinkan pengguna meluncurkan container yang mengabaikan batasan kebijakan saat menggunakan container sementara dan ImagePolicyWebhook (CVE-2023-2727) atau plugin penerimaan ServiceAccount (CVE-2023-2728).

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang CVE-2023-2727, CVE-2023-2728

GCP-2023-013

Dipublikasikan: 08-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Saat Anda mengaktifkan Cloud Build API dalam sebuah project, Cloud Build akan otomatis membuat akun layanan default untuk menjalankan build atas nama Anda. Akun layanan Cloud Build ini sebelumnya memiliki izin IAM logging.privateLogEntries.list, yang memungkinkan build memiliki akses untuk mencantumkan log pribadi secara default. Izin ini kini telah dicabut dari akun layanan Cloud Build untuk mematuhi prinsip hak istimewa terendah.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Build.

 Rendah

GCP-2023-010

Dipublikasikan: 07-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Google mengidentifikasi tiga kerentanan baru dalam implementasi gRPC C++. Kerentanan ini akan segera dipublikasikan secara publik sebagai CVE-2023-1428, CVE-2023-32731, dan CVE-2023-32732.

Pada bulan April, kami mengidentifikasi dua kerentanan dalam rilis 1.53 dan 1.54. Satu adalah kerentanan Denial-of-Service dalam implementasi C++ gRPC dan yang lainnya adalah kerentanan pemindahan data yang tidak sah dari jarak jauh. Masalah ini telah diperbaiki dalam rilis 1.53.1, 1.54.2, dan yang lebih baru.

Sebelumnya pada bulan Maret, tim internal kami menemukan kerentanan Denial of Service dalam implementasi C++ gRPC saat melakukan aktivitas fuzzing rutin. Masalah ini ditemukan dalam rilis gRPC 1.52, dan telah diperbaiki dalam rilis 1.52.2 dan 1.53.

Apa yang harus saya lakukan?

Pastikan Anda menggunakan versi terbaru paket software berikut:

  • grpc (C++, Python, Ruby) versi 1.52, 1.53, dan 1.54 perlu diupgrade ke rilis patch berikut;
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • grpc (C++, Python, Ruby) versi 1.51 dan yang lebih lama tidak terpengaruh, sehingga pengguna dengan versi ini tidak perlu melakukan tindakan apa pun

Kerentanan apa yang diatasi oleh patch ini?

Patch ini memitigasi kerentanan berikut:

  • Rilis 1.53.1, 1.54.2, dan yang lebih baru mengatasi hal berikut: Kerentanan Denial-Of-Service dalam implementasi gRPC C++. Permintaan yang dibuat secara khusus dapat menyebabkan penghentian koneksi antara proxy dan backend. Kerentanan pemindahan data jarak jauh yang tidak sah: Desinkronisasi dalam tabel HPACK karena batasan ukuran header dapat menyebabkan backend proxy membocorkan data header dari klien lain yang terhubung ke proxy.
  • Rilis 1.52.2, 1.53, dan yang lebih baru mengatasi hal berikut: Kerentanan Denial of Service dalam implementasi C++ gRPC. Mengurai beberapa permintaan yang dibentuk secara khusus dapat menyebabkan error yang memengaruhi server.

Sebaiknya upgrade ke versi terbaru paket software berikut seperti yang tercantum di atas.

 Tinggi (CVE-2023-1428, CVE-2023-32731). Sedang (CVE-2023-32732) CVE-2023-1428, CVE-2023-32731, CVE-023-32732

GCP-2023-009

Dipublikasikan: 06-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru (CVE-2023-2878) telah ditemukan di secrets-store-csi-driver, yang memungkinkan pelaku dengan akses ke log driver dapat mengamati token akun layanan.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tidak ada CVE-2023-2878

GCP-2023-008

Dipublikasikan: 05-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru (CVE-2023-1872) telah ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa ke root pada node.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-1872

GCP-2023-007

Dipublikasikan: 2023-06-02

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru-baru ini ditemukan di Cloud SQL untuk SQL Server yang memungkinkan akun administrator pelanggan membuat pemicu di database tempdb dan menggunakannya untuk mendapatkan hak istimewa sysadmin di instance. Hak istimewa sysadmin akan memberi penyerang akses ke database sistem dan akses sebagian ke mesin yang menjalankan instance SQL Server tersebut.

Google Cloud menyelesaikan masalah ini dengan mem-patch kerentanan keamanan paling lambat 1 Maret 2023. Google Cloud tidak menemukan instance pelanggan yang disusupi.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud SQL.

 Tinggi

GCP-2023-005

Dipublikasikan: 18-05-2023

Diperbarui: 06-06-2023

Deskripsi

Deskripsi Keparahan Catatan

Update 06-06-2023: Versi GKE baru telah diupdate untuk menyertakan versi Ubuntu terbaru yang menerapkan patch pada CVE-2023-1281 dan CVE-2023-1829.

Dua kerentanan baru (CVE-2023-1281, CVE-2023-1829) telah ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa ke root pada node.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-1281 CVE-2023-1829

GCP-2023-004

Dipublikasikan: 26-04-2023

Deskripsi

Deskripsi Keparahan Catatan

Dua kerentanan (CVE-2023-1017 dan CVE-2023-1018) ditemukan di Trusted Platform Module (TPM) 2.0.

Kerentanan tersebut dapat memungkinkan penyerang yang canggih untuk mengeksploitasi pembacaan/penulisan di luar batas 2 byte pada VM Compute Engine tertentu.

Untuk mendapatkan petunjuk dan detail selengkapnya, lihat buletin keamanan Compute Engine.

 Sedang

GCP-2023-003

Dipublikasikan: 11-04-2023

Diperbarui: 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Dua kerentanan baru, CVE-2023-0240 dan CVE-2023-23586, telah ditemukan di kernel Linux yang dapat memungkinkan pengguna tanpa hak istimewa untuk meningkatkan hak istimewa.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2023-0240, CVE-2023-23586

GCP-2023-002

Deskripsi

Deskripsi Keparahan Catatan

CVE berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi:

  • CVE-2023-27496: Jika Envoy berjalan dengan filter OAuth yang diaktifkan dan terekspos, pihak berniat jahat dapat membuat permintaan yang akan menyebabkan denial of service dengan membuat Envoy error.
  • CVE-2023-27488: Penyerang dapat menggunakan kerentanan ini untuk mengabaikan pemeriksaan autentikasi saat ext_authz digunakan.
  • CVE-2023-27493: Konfigurasi Envoy juga harus menyertakan opsi untuk menambahkan header permintaan yang dibuat menggunakan input dari permintaan, seperti SAN sertifikat peer.
  • CVE-2023-27492: Penyerang dapat mengirim isi permintaan yang besar untuk rute yang mengaktifkan filter Lua dan memicu error.
  • CVE-2023-27491: Penyerang dapat mengirim permintaan HTTP/2 atau HTTP/3 yang dibuat secara khusus untuk memicu error penguraian pada layanan upstream HTTP/1.
  • CVE-2023-27487: Header `x-envoy-original-path` seharusnya merupakan header internal, tetapi Envoy tidak menghapus header ini dari permintaan di awal pemrosesan permintaan saat dikirim dari klien yang tidak tepercaya.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.:

Tinggi

GCP-2023-001

Dipublikasikan: 01-03-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Kerentanan baru (CVE-2022-4696) telah ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa pada node.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi CVE-2022-4696

GCP-2022-026

Dipublikasikan: 11-01-2023

Deskripsi

Deskripsi Keparahan Catatan

Dua kerentanan baru (CVE-2022-3786 dan CVE-2022-3602) telah ditemukan di OpenSSL v3.0.6 yang berpotensi menyebabkan error.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang

GCP-2022-025

Dipublikasikan: 21-12-2022
Diperbarui: 19-01-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Pembaruan 19-01-2023: Menambahkan informasi bahwa GKE versi 1.21.14-gke.14100 tersedia.

Dua kerentanan baru (CVE-2022-3786 dan CVE-2022-3602) telah ditemukan di OpenSSL v3.0.6 yang berpotensi menyebabkan error.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Sedang

GCP-2022-024

Dipublikasikan: 09-11-2022

Diperbarui: 19-01-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 19-01-2023: Menambahkan informasi bahwa GKE versi 1.21.14-gke.14100 tersedia.

Update 16-12-2022: Menambahkan versi patch untuk GKE dan GKE di VMware.

Dua kerentanan baru (CVE-2022-2585 dan CVE-2022-2588) telah ditemukan di kernel Linux yang dapat menyebabkan container keluar sepenuhnya ke root pada node.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Tinggi

GCP-2022-023

Dipublikasikan: 04-11-2022

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan, CVE-2022-39278, telah ditemukan di Istio, yang digunakan di Cloud Service Mesh, yang memungkinkan penyerang berbahaya membuat bidang kontrol error.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

Tinggi CVE-2022-39278

GCP-2022-022

Dipublikasikan: 28-10-2022

Diperbarui: 14-12-2022

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 14-12-2022: Menambahkan versi patch untuk GKE dan GKE di VMware.

Kerentanan baru, CVE-2022-20409, telah ditemukan di kernel Linux yang dapat memungkinkan pengguna yang tidak memiliki hak istimewa untuk meningkatkan hak istimewa eksekusi sistem.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

Tinggi CVE-2022-20409

GCP-2022-021

Dipublikasikan: 27-10-2022

Diperbarui: 19-01-2023, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Pembaruan 19-01-2023: Menambahkan informasi bahwa GKE versi 1.21.14-gke.14100 tersedia.

Pembaruan 15-12-2022: Memperbarui informasi bahwa Google Kubernetes Engine versi 1.21.14-gke.9400 sedang menunggu peluncuran dan mungkin digantikan oleh nomor versi yang lebih tinggi.

Update 22-11-2022: Menambahkan versi patch untuk GKE di VMware, GKE di AWS, dan GKE di Azure.

Kerentanan baru, CVE-2022-3176, telah ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa lokal. Kerentanan ini memungkinkan pengguna yang tidak memiliki hak istimewa untuk mencapai container breakout penuh ke root pada node.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

Tinggi CVE-2022-3176

GCP-2022-020

Dipublikasikan: 05-10-2022

Diperbarui: 12-10-2022

Deskripsi

Deskripsi Keparahan Catatan

Bidang kontrol Istio istiod rentan terhadap error pemrosesan permintaan, sehingga memungkinkan penyerang berbahaya mengirim pesan yang dibuat khusus yang mengakibatkan bidang kontrol error saat webhook validasi untuk cluster terekspos secara publik. Endpoint ini disajikan melalui port TLS 15017, tetapi tidak memerlukan autentikasi apa pun dari penyerang.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

 Tinggi CVE-2022-39278

GCP-2022-019

Dipublikasikan: 22-09-2022

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan penguraian pesan dan manajemen memori dalam implementasi C++ dan Python ProtocolBuffer dapat memicu kegagalan kehabisan memori (OOM) saat memproses pesan yang dibuat secara khusus. Hal ini dapat menyebabkan denial of service (DoS) pada layanan yang menggunakan library tersebut.

Apa yang harus saya lakukan?

Pastikan Anda menggunakan versi terbaru paket software berikut:

  • protobuf-cpp (3.18.3, 3.19.5, 3.20.2, 3.21.6)
  • protobuf-python (3.18.3, 3.19.5, 3.20.2, 4.21.6)

Jenis kerentanan apa yang dapat diatasi oleh patch ini?

Patch ini mengurangi jenis kerentanan berikut:

Pesan kecil yang dibuat khusus yang menyebabkan layanan yang berjalan mengalokasikan RAM dalam jumlah besar. Ukuran permintaan yang kecil berarti kerentanan ini mudah dimanfaatkan dan menghabiskan resource. Sistem C++ dan Python yang menggunakan protobuf tidak tepercaya akan rentan terhadap serangan DoS jika berisi objek MessageSet dalam permintaan RPC-nya.

Sedang CVE-2022-1941

GCP-2022-018

Dipublikasikan: 01-08-2022

Diperbarui: 14-09-2022, 21-12-2023

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 21-12-2023: Mengklarifikasi bahwa cluster GKE Autopilot dalam konfigurasi default tidak terpengaruh.

Update 14-09-2022: Menambahkan versi patch untuk GKE di VMware, GKE di AWS, dan GKE di Azure.

Kerentanan baru (CVE-2022-2327) telah ditemukan di kernel Linux yang dapat menyebabkan eskalasi hak istimewa lokal. Kerentanan ini memungkinkan pengguna yang tidak memiliki hak istimewa untuk mencapai container breakout penuh ke root pada node.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

Tinggi CVE-2022-2327

GCP-2022-017

Dipublikasikan: 29-06-2022
Diperbarui: 22-11-2022

Deskripsi

Deskripsi Keparahan Catatan

Update 22-11-2022: Workload yang menggunakan GKE Sandbox tidak terpengaruh oleh kerentanan ini.

Pembaruan 21-07-2022: informasi tambahan tentang GKE on VMware.

Kerentanan baru (CVE-2022-1786) telah ditemukan di versi kernel Linux 5.10 dan 5.11. Kerentanan ini memungkinkan pengguna tanpa hak istimewa dengan akses lokal ke cluster untuk mencapai container breakout penuh ke root pada node. Hanya cluster yang menjalankan Container-Optimized OS yang terpengaruh. GKE versi Ubuntu menggunakan kernel versi 5.4 atau 5.15 dan tidak terpengaruh.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

 Tinggi CVE-2022-1786

GCP-2022-016

Dipublikasikan: 23-06-2022
Diperbarui: 22-11-2022

Deskripsi

Deskripsi Keparahan Catatan

Update 22-11-2022: Cluster Autopilot tidak terpengaruh oleh CVE-2022-29581, tetapi rentan terhadap CVE-2022-29582 dan CVE-2022-1116.

Tiga kerentanan kerusakan memori baru (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116) telah ditemukan di kernel Linux. Kerentanan ini memungkinkan pengguna tanpa hak istimewa dengan akses lokal ke cluster untuk melakukan container breakout penuh ke root pada node. Semua cluster Linux (Container-Optimized OS dan Ubuntu) terpengaruh.

Untuk petunjuk dan detail selengkapnya, lihat buletin berikut:

 Tinggi

GCP-2022-015

Dipublikasikan: 09-06-2022
Diperbarui: 10-06-2022

Deskripsi

Deskripsi Keparahan Catatan

Update 10-06-2022: Versi Cloud Service Mesh telah diupdate. Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

CVE Envoy dan Istio berikut mengekspos Cloud Service Mesh dan Istio di GKE ke kerentanan yang dapat dieksploitasi dari jarak jauh:

  • CVE-2022-31045: Bidang data Istio berpotensi mengakses memori secara tidak aman saat ekstensi Metadata Exchange dan Stats diaktifkan.
  • CVE-2022-29225: Data dapat melebihi batas buffer perantara jika penyerang berbahaya meneruskan payload kecil yang sangat dikompresi (serangan zip bomb).
  • CVE-2021-29224: Potensi dereferensi pointer null di GrpcHealthCheckerImpl.
  • CVE-2021-29226: Filter OAuth memungkinkan bypass yang mudah.
  • CVE-2022-29228: Filter OAuth dapat merusak memori (versi sebelumnya) atau memicu ASSERT() (versi yang lebih baru).
  • CVE-2022-29227: Pengalihan internal error untuk permintaan dengan isi atau trailer.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Kritis

GCP-2022-014

Dipublikasikan: 26-04-2022
Diperbarui: 22-11-2022

Deskripsi

Deskripsi Keparahan Catatan

Update 22-11-2022: Cluster dan workload GKE Autopilot yang berjalan di GKE Sandbox tidak terpengaruh.

Update 12-05-2022: Versi GKE di AWS dan GKE di Azure telah diupdate. Untuk petunjuk dan detail selengkapnya, lihat:

Dua kerentanan keamanan, CVE-2022-1055 dan CVE-2022-27666 telah ditemukan di kernel Linux. Masing-masing dapat menyebabkan penyerang lokal dapat melakukan container breakout, eskalasi hak istimewa di host, atau keduanya. Kerentanan ini memengaruhi semua sistem operasi node GKE (Container-Optimized OS dan Ubuntu). Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tinggi CVE-2022-1055
CVE-2022-27666

GCP-2022-013

Dipublikasikan: 11-04-2022
Diperbarui: 22-04-2022

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan, CVE-2022-23648, telah ditemukan dalam penanganan containerd terhadap traversal jalur dalam spesifikasi volume image OCI. Container yang diluncurkan melalui implementasi CRI containerd dengan konfigurasi image yang dibuat khusus dapat memperoleh akses baca penuh ke file dan direktori arbitrer di host. Kerentanan ini dapat mengabaikan penegakan berbasis kebijakan apa pun pada penyiapan container (termasuk Kebijakan Keamanan Pod Kubernetes).

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Sedang CVE-2022-23648

GCP-2022-012

Dipublikasikan: 07-04-2022
Diperbarui: 22-11-2022

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 22-11-2022: Untuk cluster GKE dalam kedua mode, Standard dan Autopilot, workload yang menggunakan GKE Sandbox tidak terpengaruh.

Kerentanan keamanan, CVE-2022-0847, telah ditemukan di kernel Linux versi 5.8 dan yang lebih baru yang berpotensi meningkatkan hak istimewa container ke root. Kerentanan ini memengaruhi produk berikut:

  • Node pool GKE versi 1.22 dan yang lebih baru yang menggunakan image Container-Optimized OS (Container-Optimized OS 93 dan yang lebih baru)
  • GKE on VMware v1.10 untuk image Container-Optimized OS
  • GKE on AWS v1.21 dan GKE on AWS (generasi sebelumnya) v1.19, v1.20, v1.21, yang menggunakan Ubuntu
  • Cluster terkelola GKE di Azure v1.21 yang menggunakan Ubuntu

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tinggi CVE-2022-0847

GCP-2022-011

Dipublikasikan: 22-03-2022
Diperbarui: 11-08-2022

Deskripsi

Deskripsi Keparahan

Pembaruan 11-08-2022: Menambahkan informasi selengkapnya tentang konfigurasi Multi-Threading Simultan (SMT). SMT dimaksudkan untuk dinonaktifkan, tetapi diaktifkan pada versi yang tercantum.

Jika Anda mengaktifkan SMT secara manual untuk node pool dengan sandbox, SMT akan tetap diaktifkan secara manual meskipun ada masalah ini.

Ada kesalahan konfigurasi pada Simultaneous Multi-Threading (SMT), yang juga dikenal sebagai Hyper-threading, pada image GKE Sandbox. Kesalahan konfigurasi ini berpotensi membuat node rentan terhadap serangan side-channel seperti Microarchitectural Data Sampling (MDS) (untuk konteks selengkapnya, lihat dokumentasi GKE Sandbox). Sebaiknya jangan gunakan versi terpengaruh berikut:

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

Untuk mengetahui petunjuk dan detail selengkapnya, lihat: Buletin keamanan GKE.

 Sedang

GCP-2022-010

Deskripsi

Deskripsi Keparahan Catatan

CVE Istio berikut mengekspos Cloud Service Mesh ke kerentanan yang dapat dieksploitasi dari jarak jauh:

  • CVE-2022-24726: Bidang kontrol Istio, `istiod`, rentan terhadap error pemrosesan permintaan, sehingga memungkinkan penyerang berbahaya mengirim pesan yang dibuat secara khusus yang menyebabkan bidang kontrol error saat webhook validasi untuk cluster terekspos secara publik. Endpoint ini disajikan melalui port TLS 15017, tetapi tidak memerlukan autentikasi apa pun dari penyerang.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tinggi

GCP-2022-009

Dipublikasikan: 01-03-2022

Deskripsi

Deskripsi Keparahan

Beberapa jalur tak terduga untuk mengakses VM node di cluster GKE Autopilot dapat digunakan untuk mengeskalasi hak istimewa di cluster. Masalah ini telah diperbaiki dan Anda tidak perlu melakukan tindakan apa pun. Perbaikan ini mengatasi masalah yang dilaporkan melalui Vulnerability Reward Program kami.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan GKE

 Rendah

GCP-2022-008

Dipublikasikan: 23-02-2022
Diperbarui: 28-04-2022

Deskripsi

Deskripsi Keparahan Catatan

Update 28-04-2022: Menambahkan versi GKE di VMware yang memperbaiki kerentanan ini. Untuk mengetahui detailnya, lihat buletin keamanan GKE di VMware.

Project Envoy baru-baru ini menemukan serangkaian kerentanan. Semua masalah yang tercantum di bawah telah diperbaiki dalam rilis Envoy 1.21.1.
  • CVE-2022-23606: Saat cluster dihapus melalui Cluster Discovery Service (CDS), semua koneksi tidak ada aktivitas yang dibuat ke endpoint di cluster tersebut akan diputus. Rekursi keliru diperkenalkan di Envoy versi 1.19 ke prosedur pemutusan koneksi tidak ada aktivitas yang dapat menyebabkan kehabisan stack dan penghentian proses yang tidak normal saat cluster memiliki banyak koneksi tidak ada aktivitas.
  • CVE-2022-21655: Kode pengalihan internal Envoy mengasumsikan bahwa entri rute ada. Jika pengalihan internal dilakukan ke rute yang memiliki entri respons langsung dan tidak memiliki entri rute, hal ini akan mengakibatkan dereferensi pointer null dan error.
  • CVE-2021-43826: Jika Envoy dikonfigurasi untuk menggunakan tcp_proxy yang menggunakan tunneling upstream (melalui HTTP), dan TLS termination downstream, Envoy akan error jika klien downstream terputus selama TLS handshake saat aliran HTTP upstream masih dibuat. Pemutusan koneksi downstream dapat dimulai oleh klien atau server. Klien dapat memutuskan koneksi karena alasan apa pun. Server dapat terputus jika, misalnya, tidak memiliki cipher TLS atau versi protokol TLS yang kompatibel dengan klien. Error ini juga dapat dipicu dalam konfigurasi downstream lainnya.
  • CVE-2021-43825: Mengirim respons yang dihasilkan secara lokal harus menghentikan pemrosesan lebih lanjut data permintaan atau respons. Envoy melacak jumlah data permintaan dan respons yang di-buffer, serta membatalkan permintaan jika jumlah data yang di-buffer melebihi batas dengan mengirimkan respons 413 atau 500. Namun, saat respons yang dihasilkan secara lokal dikirim karena buffer internal tambahan saat respons diproses oleh rantai filter, operasi mungkin tidak dibatalkan dengan benar dan mengakibatkan akses ke blok memori yang dikosongkan.
  • CVE-2021-43824: Envoy error saat menggunakan filter JWT dengan aturan pencocokan "safe_regex" dan permintaan yang dibuat khusus seperti "CONNECT host:port HTTP/1.1". Saat mencapai filter JWT, aturan "safe_regex" harus mengevaluasi jalur URL, tetapi tidak ada di sini, dan Envoy mengalami error dengan segfault.
  • CVE-2022-21654: Envoy akan salah mengizinkan dimulainya kembali sesi TLS setelah setelan validasi mTLS dikonfigurasi ulang. Jika sertifikat klien diizinkan dengan konfigurasi lama, tetapi tidak diizinkan dengan konfigurasi baru, klien dapat melanjutkan sesi TLS sebelumnya meskipun konfigurasi saat ini seharusnya tidak mengizinkannya. Perubahan pada setelan berikut akan terpengaruh:
    • match_subject_alt_names
    • Perubahan CRL
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657: Envoy tidak membatasi kumpulan sertifikat yang diterimanya dari peer, baik sebagai klien TLS maupun server TLS, hanya untuk sertifikat yang berisi extendedKeyUsage yang diperlukan (masing-masing id-kp-serverAuth dan id-kp-clientAuth). Artinya, peer dapat menampilkan sertifikat email (misalnya, id-kp-emailProtection), baik sebagai sertifikat entitas akhir maupun sebagai CA dalam rantai, dan sertifikat tersebut akan diterima untuk TLS. Hal ini sangat buruk jika digabungkan dengan CVE-2022-21656 , karena memungkinkan CA PKI Web yang hanya ditujukan untuk digunakan dengan S/MIME, dan dengan demikian dikecualikan dari audit atau pengawasan, untuk menerbitkan sertifikat TLS yang akan diterima oleh Envoy.
  • CVE-2022-21656: Implementasi validator yang digunakan untuk mengimplementasikan rutinitas validasi sertifikat default memiliki bug "type confusion" saat memproses subjectAltNames. Pemrosesan ini memungkinkan, misalnya, rfc822Name atau uniformResourceIndicator untuk diautentikasi sebagai nama domain. Kebingungan ini memungkinkan pengabaian nameConstraints, seperti yang diproses oleh implementasi OpenSSL/BoringSSL yang mendasarinya, sehingga mengekspos kemungkinan peniruan identitas server arbitrer.
Untuk mengetahui petunjuk mendetail terkait produk tertentu, lihat buletin keamanan berikut:
Apa yang harus saya lakukan?
Pengguna Envoy yang mengelola Envoy mereka sendiri harus memastikan bahwa mereka menggunakan Envoy rilis 1.21.1. Pengguna Envoy yang mengelola Envoy mereka sendiri membangun biner dari sumber seperti GitHub dan men-deploy-nya.

Tidak ada tindakan yang perlu dilakukan oleh pengguna yang menjalankan Envoy terkelola (Google Cloud menyediakan biner Envoy), yang produk Google Cloud -nya akan beralih ke 1.21.1. 		Tinggi CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654
CVE-2022-21657
CVE-2022-21656

GCP-2022-007

Dipublikasikan: 22-02-2022

Deskripsi

Deskripsi Keparahan Catatan

CVE Envoy dan Istio berikut mengekspos Cloud Service Mesh dan Istio di GKE ke kerentanan yang dapat dieksploitasi dari jarak jauh:

  • CVE-2022-23635: Istiod error saat menerima permintaan dengan header authorization yang dibuat khusus.
  • CVE-2021-43824: Potensi dereferensi pointer null saat menggunakan pencocokan safe_regex filter JWT
  • CVE-2021-43825: Use-after-free saat filter respons meningkatkan data respons, dan data yang meningkat melebihi batas buffer downstream.
  • CVE-2021-43826: Use-after-free saat melakukan tunneling TCP melalui HTTP, jika downstream terputus selama pembuatan koneksi upstream.
  • CVE-2022-21654: Penanganan konfigurasi yang salah memungkinkan penggunaan kembali sesi mTLS tanpa validasi ulang setelah setelan validasi berubah.
  • CVE-2022-21655: Penanganan pengalihan internal yang salah ke rute dengan entri respons langsung.
  • CVE-2022-23606: Stack exhaustion saat cluster dihapus melalui Cluster Discovery Service.

Untuk petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tinggi

GCP-2022-006

Dipublikasikan: 14-02-2022
Diperbarui: 16-05-2022

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 16-05-2022: Menambahkan GKE versi 1.19.16-gke.7800 atau yang lebih baru ke daftar versi yang memiliki kode untuk memperbaiki kerentanan ini. Untuk mengetahui detailnya, lihat buletin keamanan GKE.

Update 12-05-2022: Versi GKE, GKE di VMware, GKE di AWS, dan GKE di Azure telah diupdate. Untuk petunjuk dan detail selengkapnya, lihat:

Kerentanan keamanan, CVE-2022-0492, telah ditemukan dalam fungsi cgroup_release_agent_write kernel Linux. Serangan ini menggunakan namespace pengguna yang tidak memiliki hak istimewa dan dalam kondisi tertentu, kerentanan ini dapat dieksploitasi untuk container breakout.

 Rendah

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

GCP-2022-005

Dipublikasikan: 11-02-2022
Diperbarui: 15-02-2022

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan, CVE-2021-43527, telah ditemukan di biner apa pun yang tertaut ke versi libnss3 yang rentan yang ditemukan di NSS (Network Security Services) versi sebelum 3.73 atau 3.68.1. Aplikasi yang menggunakan NSS untuk validasi sertifikat atau fungsi TLS, X.509, OCSP, atau CRL lainnya mungkin akan terpengaruh, bergantung pada cara NSS digunakan/dikonfigurasi.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Sedang CVE-2021-43527

GCP-2022-004

Dipublikasikan: 04-02-2022

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan, CVE-2021-4034, telah ditemukan di pkexec, bagian dari paket kit kebijakan Linux (polkit), yang memungkinkan pengguna yang diautentikasi untuk melakukan serangan eskalasi hak istimewa. PolicyKit umumnya hanya digunakan pada sistem desktop Linux untuk memungkinkan pengguna non-root melakukan tindakan seperti memulai ulang sistem, menginstal paket, memulai ulang layanan, dll., sebagaimana diatur oleh kebijakan.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Tidak ada CVE-2021-4034

GCP-2022-002

Dipublikasikan: 01-02-2022
Diperbarui: 25-02-2022

Deskripsi

Deskripsi Keparahan Catatan

Update 25-02-2022: Versi GKE telah diupdate. Untuk petunjuk dan detail selengkapnya, lihat:

Update 23-02-2022: Versi GKE dan GKE on VMware telah diupdate. Untuk petunjuk dan detail selengkapnya, lihat:

Pembaruan 04-02-2022: Tanggal mulai peluncuran untuk versi patch GKE adalah 2 Februari.

Tiga kerentanan keamanan, CVE-2021-4154, CVE-2021-22600, dan CVE-2022-0185, telah ditemukan di kernel Linux, yang masing-masing dapat menyebabkan container breakout, eskalasi hak istimewa pada host, atau keduanya. Kerentanan ini memengaruhi semua sistem operasi node (COS dan Ubuntu) di GKE, GKE di VMware, GKE di AWS (generasi saat ini dan sebelumnya), serta GKE di Azure. Pod yang menggunakan GKE Sandbox tidak rentan terhadap kerentanan ini. Lihat catatan rilis COS untuk mengetahui detail selengkapnya.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Tinggi

GCP-2022-001

Dipublikasikan: 06-01-2022

Deskripsi

Deskripsi Keparahan Catatan

Potensi masalah Denial of Service di protobuf-java ditemukan dalam prosedur penguraian untuk data biner.

Apa yang sebaiknya saya lakukan?

Pastikan Anda menggunakan versi terbaru paket software berikut:

  • protobuf-java (3.16.1, 3.18.2, 3.19.2)
  • protobuf-kotlin (3.18.2, 3.19.2)
  • google-protobuf [JRuby gem] (3.19.2)

Pengguna Protobuf "javalite" (biasanya Android) tidak terpengaruh.

Kerentanan apa yang diatasi oleh patch ini?

Patch ini mengurangi jenis kerentanan berikut:

Kelemahan implementasi dalam cara kolom yang tidak diketahui diuraikan di Java. Payload berbahaya berukuran kecil (~800 KB) dapat memenuhi parser selama beberapa menit dengan membuat sejumlah besar objek berumur pendek yang menyebabkan jeda pembersihan sampah memori yang sering dan berulang.

 Tinggi CVE-2021-22569

GCP-2021-024

Dipublikasikan: 21-10-2021

Deskripsi

Deskripsi Keparahan Catatan

Masalah keamanan ditemukan di pengontrol ingress-nginx Kubernetes, CVE-2021-25742. Cuplikan kustom ingress-nginx memungkinkan pengambilan token dan secret akun layanan ingress-nginx di semua namespace.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Tidak ada CVE-2021-25742

GCP-2021-019

Dipublikasikan: 29-09-2021

Deskripsi

Deskripsi Keparahan Catatan

Ada masalah umum saat mengupdate resource BackendConfig menggunakan API v1beta1 akan menghapus kebijakan keamanan Google Cloud Armor yang aktif dari layanannya.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan GKE.

 Rendah

GCP-2021-022

Dipublikasikan: 22-09-2021

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan telah ditemukan dalam modul LDAP GKE Enterprise Identity Service (AIS) GKE on VMware versi 1.8 dan 1.8.1, di mana kunci seed yang digunakan dalam pembuatan kunci dapat diprediksi. Dengan kerentanan ini, pengguna yang diautentikasi dapat menambahkan klaim arbitrer dan meningkatkan hak istimewa tanpa batas.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan GKE di VMware.

 Tinggi

GCP-2021-021

Dipublikasikan: 22-09-2021

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan, CVE-2020-8561, telah ditemukan di Kubernetes, yang memungkinkan webhook tertentu dibuat untuk mengalihkan permintaan kube-apiserver ke jaringan pribadi server API tersebut.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Sedang CVE-2020-8561

GCP-2021-023

Dipublikasikan: 21-09-2021

Deskripsi

Deskripsi Keparahan Catatan

Sesuai dengan saran keamanan VMware VMSA-2021-0020, VMware menerima laporan tentang beberapa kerentanan di vCenter. VMware telah menyediakan update untuk memperbaiki kerentanan ini pada produk VMware yang terpengaruh.

Kami telah menerapkan patch yang disediakan oleh VMware untuk stack vSphere ke Google Cloud VMware Engine sesuai dengan saran keamanan VMware. Update ini mengatasi kerentanan keamanan yang dijelaskan dalam CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008, dan CVE-2021-22010. Masalah keamanan non-kritis lainnya akan diatasi dalam upgrade stack VMware mendatang (sesuai dengan pemberitahuan awal yang dikirim pada bulan Juli, detail selengkapnya akan segera diberikan terkait linimasa spesifik upgrade tersebut).

Dampak VMware Engine

Berdasarkan investigasi kami, tidak ada pelanggan yang terpengaruh.

Apa yang harus saya lakukan?

Karena cluster VMware Engine tidak terpengaruh oleh kerentanan ini, tidak diperlukan tindakan lebih lanjut.

 Kritis

GCP-2021-020

Dipublikasikan: 17-09-2021

Deskripsi

Deskripsi Keparahan Catatan

Load balancer Google Cloud tertentu yang merutekan ke Layanan Backend yang mengaktifkan Identity-Aware Proxy (IAP) mungkin rentan terhadap pihak yang tidak tepercaya dalam kondisi terbatas. Hal ini mengatasi masalah yang dilaporkan melalui Vulnerability Reward Program kami.

Kondisinya adalah server:
  • Load balancer HTTP(S) dan
  • Menggunakan backend default atau backend yang memiliki aturan pemetaan host karakter pengganti (yaitu, host="*")

Selain itu, pengguna di organisasi Anda harus mengklik link yang dibuat khusus dan dikirim oleh pihak yang tidak tepercaya.

Masalah ini sekarang telah diselesaikan. IAP telah diupdate untuk menerbitkan cookie hanya kepada host yang diizinkan mulai 17 September 2021. Host dianggap diizinkan jika cocok dengan setidaknya satu Subject Alternative Name (SAN) di salah satu sertifikat yang diinstal di load balancer Anda.

Yang harus dilakukan

Beberapa pengguna Anda mungkin mengalami respons HTTP 401 Unauthorized dengan kode error IAP 52 saat mencoba mengakses aplikasi atau layanan. Kode error ini berarti klien mengirim header Host yang tidak cocok dengan Nama Alternatif Subjek yang terkait dengan sertifikat SSL load balancer. Administrator load balancer perlu memperbarui sertifikat SSL untuk memastikan bahwa daftar Subject Alternative Name (SAN) berisi semua nama host yang digunakan pengguna untuk mengakses aplikasi atau layanan yang dilindungi IAP. Pelajari kode error IAP lebih lanjut.

Tinggi

GCP-2021-018

Dipublikasikan: 15-09-2021
Diperbarui: 20-09-2021

Deskripsi

Deskripsi Keparahan Catatan

Masalah keamanan ditemukan di Kubernetes, CVE-2021-25741, yang memungkinkan pengguna membuat container dengan pemasangan volume subjalur untuk mengakses file & direktori di luar volume, termasuk di sistem file host.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Tinggi CVE-2021-25741

GCP-2021-017

Dipublikasikan: 01-09-2021
Diperbarui: 23-09-2021

Deskripsi

Deskripsi Keparahan Catatan

Update 23-09-2021: Container yang berjalan di dalam GKE Sandbox tidak terpengaruh oleh kerentanan ini untuk serangan yang berasal dari dalam container.

Dua kerentanan keamanan, CVE-2021-33909 dan CVE-2021-33910, telah ditemukan di kernel Linux yang dapat menyebabkan error OS atau eskalasi ke root oleh pengguna yang tidak memiliki hak istimewa. Kerentanan ini memengaruhi semua sistem operasi node GKE (COS dan Ubuntu).

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tinggi CVE-2021-33909, CVE-2021-33910

GCP-2021-016

Dipublikasikan: 24-08-2021

Deskripsi

Deskripsi Keparahan Catatan

CVE Envoy dan Istio berikut mengekspos Cloud Service Mesh dan Istio di GKE ke kerentanan yang dapat dieksploitasi dari jarak jauh:

  • CVE-2021-39156: Permintaan HTTP dengan fragmen (bagian di akhir URI yang diawali dengan karakter #) di jalur URI dapat mengabaikan kebijakan otorisasi berbasis jalur URI Istio.
  • CVE-2021-39155: Permintaan HTTP berpotensi mengabaikan kebijakan otorisasi Istio saat menggunakan aturan berdasarkan hosts atau notHosts.
  • CVE-2021-32781: Memengaruhi ekstensi decompressor, json-transcoder, atau grpc-web Envoy atau ekstensi eksklusif yang mengubah dan meningkatkan ukuran isi permintaan atau respons. Mengubah dan meningkatkan ukuran isi dalam ekstensi Envoy melebihi ukuran buffer internal dapat menyebabkan Envoy mengakses memori yang tidak dialokasikan dan berhenti secara tidak normal.
  • CVE-2021-32780: Layanan upstream yang tidak tepercaya dapat menyebabkan Envoy berhenti secara tidak normal dengan mengirimkan frame GOAWAY diikuti dengan frame SETTINGS dengan parameter SETTINGS_MAX_CONCURRENT_STREAMS yang ditetapkan ke 0. (Tidak berlaku untuk Istio di GKE)
  • CVE-2021-32778: Klien Envoy yang membuka, lalu mereset sejumlah besar permintaan HTTP/2 dapat menyebabkan konsumsi CPU yang berlebihan. (Tidak berlaku untuk Istio di GKE)
  • CVE-2021-32777: Permintaan HTTP dengan header beberapa nilai dapat melakukan pemeriksaan kebijakan otorisasi yang tidak lengkap saat ekstensi ext_authz digunakan.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tinggi

GCP-2021-015

Dipublikasikan: 13-07-2021
Diperbarui: 15-07-2021

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan keamanan baru, CVE-2021-22555, telah ditemukan, yang memungkinkan pihak berniat jahat dengan hak istimewa CAP_NET_ADMIN berpotensi menyebabkan container breakout ke root di host. Kerentanan ini memengaruhi semua cluster GKE dan GKE di VMware yang menjalankan Linux versi 2.6.19 atau yang lebih baru.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tinggi CVE-2021-22555

GCP-2021-014

Dipublikasikan: 05-07-2021

Deskripsi

Deskripsi Keparahan Catatan

Microsoft memublikasikan buletin keamanan tentang kerentanan Eksekusi kode jarak jauh (RCE), CVE-2021-34527, yang memengaruhi print spooler di server Windows. CERT Coordination Center (CERT/CC) memublikasikan catatan update tentang kerentanan terkait, yang disebut "PrintNightmare" yang juga memengaruhi print spooler Windows - PrintNightmare, Kerentanan Print Spooler Windows yang Penting

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan GKE.

Tinggi CVE-2021-34527

GCP-2021-012

Dipublikasikan: 24-06-2021
Diperbarui: 09-07-2021

Deskripsi

Deskripsi Keparahan Catatan

Project Istio baru-baru ini mengumumkan kerentanan keamanan, yaitu kredensial yang ditentukan di kolom credentialName Gateway dan DestinationRule dapat diakses dari namespace yang berbeda.

Untuk mengetahui petunjuk khusus produk dan detail selengkapnya, lihat:

 Tinggi CVE-2021-34824

GCP-2021-011

Dipublikasikan: 04-06-2021
Diperbarui: 19-10-2021

Deskripsi

Deskripsi Keparahan Catatan

Pembaruan 19-10-2021:

Untuk petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Komunitas keamanan baru-baru ini mengungkapkan kerentanan keamanan baru (CVE-2021-30465) yang ditemukan di runc yang berpotensi mengizinkan akses penuh ke sistem file node.

Untuk GKE, karena mengeksploitasi kerentanan ini memerlukan kemampuan untuk membuat pod, kami telah menilai tingkat keparahan kerentanan ini sebagai MEDIUM.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan GKE.

Sedang CVE-2021-30465

GCP-2021-010

Dipublikasikan: 25-05-2021

Deskripsi

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2021-0010, kerentanan eksekusi kode jarak jauh dan bypass autentikasi di vSphere Client (HTML5) dilaporkan secara pribadi ke VMware. VMware telah menyediakan update untuk memperbaiki kerentanan ini pada produk VMware yang terpengaruh.

Kami telah menerapkan patch yang disediakan oleh VMware untuk stack vSphere sesuai dengan saran keamanan VMware. Update ini mengatasi kerentanan keamanan yang dijelaskan dalam CVE-2021-21985 dan CVE-2021-21986. Versi image yang berjalan di cloud pribadi VMware Engine Anda saat ini tidak mencerminkan perubahan apa pun yang menunjukkan patch yang diterapkan. Yakinlah bahwa patch yang sesuai telah diinstal dan lingkungan Anda aman dari kerentanan ini.

Dampak VMware Engine

Berdasarkan investigasi kami, tidak ada pelanggan yang terpengaruh.

Apa yang harus saya lakukan?

Karena cluster VMware Engine tidak terpengaruh oleh kerentanan ini, tidak diperlukan tindakan lebih lanjut.

 Kritis

GCP-2021-008

Dipublikasikan: 17-05-2021

Deskripsi

Deskripsi Keparahan Catatan

Istio berisi kerentanan yang dapat dieksploitasi dari jarak jauh, yang memungkinkan klien eksternal mengakses layanan yang tidak terduga dalam cluster, sehingga mengabaikan pemeriksaan otorisasi, saat gateway dikonfigurasi dengan konfigurasi perutean AUTO_PASSTHROUGH.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi

 CVE-2021-31921

GCP-2021-007

Dipublikasikan: 17-05-2021

Deskripsi

Deskripsi Keparahan Catatan

Istio berisi kerentanan yang dapat dieksploitasi dari jarak jauh, di mana jalur permintaan HTTP dengan beberapa garis miring atau karakter garis miring yang di-escape (%2F atau %5C) berpotensi mengabaikan kebijakan otorisasi Istio saat aturan otorisasi berbasis jalur digunakan.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan Cloud Service Mesh.

Tinggi

 CVE-2021-31920

GCP-2021-006

Dipublikasikan: 11-05-2021

Deskripsi

Deskripsi Keparahan Catatan

Project Istio baru-baru ini mengungkapkan kerentanan keamanan baru (CVE-2021-31920) yang memengaruhi Istio.

Istio berisi kerentanan yang dapat dieksploitasi dari jarak jauh, di mana permintaan HTTP dengan beberapa garis miring atau karakter garis miring yang di-escape dapat mengabaikan kebijakan otorisasi Istio saat aturan otorisasi berbasis jalur digunakan.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Tinggi

 CVE-2021-31920

GCP-2021-005

Dipublikasikan: 11-05-2021

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan yang dilaporkan menunjukkan bahwa Envoy tidak mendekode urutan garis miring yang di-escape %2F dan %5C di jalur URL HTTP di Envoy versi 1.18.2 dan yang lebih lama. Selain itu, beberapa produk berbasis Envoy tidak mengaktifkan kontrol normalisasi jalur. Penyerang jarak jauh dapat membuat jalur dengan garis miring yang di-escape (misalnya, /something%2F..%2Fadmin,), untuk mengabaikan kontrol akses (misalnya, pemblokiran pada /admin). Server backend kemudian dapat mendekode urutan garis miring dan menormalisasi jalur untuk memberikan akses kepada penyerang di luar cakupan yang disediakan oleh kebijakan kontrol akses.

Apa yang harus saya lakukan?

Jika server backend memperlakukan / dan %2F atau \ dan %5C secara bergantian dan pencocokan berbasis jalur URL dikonfigurasi, sebaiknya konfigurasi ulang server backend agar tidak memperlakukan \ dan %2F atau \ dan %5C secara bergantian, jika memungkinkan.

Perubahan perilaku apa yang diperkenalkan?

Opsi normalize_path dan merge adjacent slashes Envoy diaktifkan untuk mengatasi kerentanan kebingungan jalur umum lainnya di produk berbasis Envoy.

Tinggi

 CVE-2021-29492

GCP-2021-004

Dipublikasikan: 06-05-2021

Deskripsi

Deskripsi Keparahan Catatan

Project Envoy dan Istio baru-baru ini mengumumkan beberapa kerentanan keamanan baru (CVE-2021-28683, CVE-2021-28682 dan CVE-2021-29258), yang dapat memungkinkan penyerang membuat Envoy error.

Cluster Google Kubernetes Engine tidak menjalankan Istio secara default dan tidak rentan. Jika Istio telah diinstal di cluster dan dikonfigurasi untuk mengekspos layanan ke internet, layanan tersebut mungkin rentan terhadap denial of service.

Google Distributed Cloud Virtual untuk Bare Metal dan GKE di VMware menggunakan Envoy secara default untuk Ingress, sehingga layanan Ingress mungkin rentan terhadap denial of service.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Sedang

GCP-2021-003

Dipublikasikan: 19-04-2021

Deskripsi

Deskripsi Keparahan Catatan

Project Kubernetes baru-baru ini mengumumkan kerentanan keamanan baru, CVE-2021-25735, yang dapat memungkinkan update node mengabaikan Webhook Penerimaan Validasi.

Dalam skenario saat penyerang memiliki hak istimewa yang memadai dan saat Webhook Penerimaan Validasi diterapkan yang menggunakan properti objek Node lama (misalnya kolom di Node.NodeSpec), penyerang dapat memperbarui properti node yang dapat menyebabkan penyusupan cluster. Tidak ada kebijakan yang diterapkan oleh pengontrol penerimaan bawaan GKE dan Kubernetes yang terpengaruh, tetapi sebaiknya pelanggan memeriksa webhook penerimaan tambahan yang telah mereka instal.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Sedang

CVE-2021-25735

GCP-2021-002

Dipublikasikan: 05-03-2021

Deskripsi

Deskripsi Keparahan Catatan

Berdasarkan saran keamanan VMware VMSA-2021-0002, VMware menerima laporan tentang beberapa kerentanan di VMware ESXi dan vSphere Client (HTML5). VMware telah menyediakan update untuk memperbaiki kerentanan ini pada produk VMware yang terpengaruh.

Kami telah menerapkan solusi yang didokumentasikan secara resmi untuk stack vSphere sesuai dengan saran keamanan VMware. Update ini mengatasi kerentanan keamanan yang dijelaskan dalam CVE-2021-21972, CVE-2021-21973, dan CVE-2021-21974.

Dampak VMware Engine

Berdasarkan investigasi kami, tidak ada pelanggan yang terpengaruh.

Apa yang harus saya lakukan?

Karena cluster VMware Engine tidak terpengaruh oleh kerentanan ini, tidak diperlukan tindakan lebih lanjut.

 Kritis

GCP-2021-001

Dipublikasikan: 28-01-2021

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru-baru ini ditemukan di utilitas Linux sudo, yang dijelaskan dalam CVE-2021-3156, yang dapat memungkinkan penyerang dengan akses shell lokal tanpa hak istimewa pada sistem yang menginstal sudo untuk mengeskalasi hak istimewa mereka ke root pada sistem.

Infrastruktur dasar yang menjalankan Compute Engine tidak terpengaruh oleh kerentanan ini.

Semua cluster Google Kubernetes Engine (GKE), GKE di VMware, GKE di AWS, dan Google Distributed Cloud Virtual untuk Bare Metal tidak terpengaruh oleh kerentanan ini.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat buletin keamanan berikut:

Tidak ada CVE-2021-3156

GCP-2020-015

Dipublikasikan: 07-12-2020
Diperbarui: 22-12-2020

Deskripsi

Deskripsi Keparahan Catatan

Diperbarui: 22-12-2021 Perintah untuk GKE di bagian berikut harus menggunakan gcloud beta, bukan perintah gcloud. 

gcloud container clusters update –no-enable-service-externalips
Diperbarui: 15-12-2021 Untuk GKE, mitigasi berikut kini tersedia:
  1. Mulai GKE versi 1.21, layanan dengan ExternalIP diblokir oleh pengontrol penerimaan DenyServiceExternalIPs yang diaktifkan secara default untuk cluster baru.
  2. Pelanggan yang mengupgrade ke GKE versi 1.21 dapat memblokir layanan dengan ExternalIP menggunakan perintah berikut: 
    gcloud container clusters update –no-enable-service-externalips

Untuk mengetahui informasi selengkapnya, lihat Meningkatkan keamanan cluster Anda.

Project Kubernetes baru-baru ini menemukan kerentanan keamanan baru, CVE-2020-8554, yang mungkin memungkinkan penyerang yang telah memperoleh izin untuk membuat Service Kubernetes jenis LoadBalancer atau ClusterIP untuk mengintersepsi traffic jaringan yang berasal dari Pod lain di cluster. Kerentanan ini tidak memberikan izin kepada penyerang untuk membuat Service Kubernetes.

Semua cluster Google Kubernetes Engine (GKE), GKE di VMware, dan GKE di AWS terpengaruh oleh kerentanan ini.

Apa yang harus saya lakukan?

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Sedang

 CVE-2020-8554

GCP-2020-014

Dipublikasikan: 20-10-2020
Diperbarui: 20-10-2020

Deskripsi

Deskripsi Keparahan Catatan

Project Kubernetes baru-baru ini menemukan beberapa masalah yang memungkinkan tereksposnya data rahasia saat opsi logging panjang diaktifkan. Masalahnya adalah:

  • CVE-2020-8563: Kebocoran secret di log untuk kube-controller-manager Penyedia vSphere
  • CVE-2020-8564: Secret konfigurasi Docker bocor saat file salah format dan loglevel >= 4
  • CVE-2020-8565: Perbaikan yang tidak lengkap untuk CVE-2019-11250 di Kubernetes memungkinkan kebocoran token dalam log saat logLevel >= 9. Ditemukan oleh Keamanan GKE.
  • CVE-2020-8566: Ceph RBD adminSecrets terekspos di log saat loglevel >= 4

Apa yang harus saya lakukan?

Anda tidak perlu melakukan tindakan lebih lanjut karena level logging panjang respons default GKE.

Tidak ada

DampakGoogle Cloud

Detail per produk tercantum di bawah.

Produk

Dampak

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) tidak terpengaruh.

GKE On-Prem

GKE On-Prem tidak terpengaruh.

GKE di AWS

GKE di AWS tidak terpengaruh.

GCP-2020-013

Dipublikasikan: 29-09-2020

Deskripsi

Microsoft telah mengungkapkan kerentanan berikut:

Kerentanan

Keparahan

CVE

CVE-2020-1472 — Kerentanan di Windows Server memungkinkan penyerang menggunakan Netlogon Remote Protocol untuk menjalankan aplikasi yang dibuat khusus di perangkat di jaringan.

Skor Dasar NVD: 10 (Kritis)

CVE-2020-1472

Untuk mengetahui informasi selengkapnya, lihat pengungkapan Microsoft.

DampakGoogle Cloud

Infrastruktur yang menghosting produk Google dan Google Cloud tidak terpengaruh oleh kerentanan ini. Detail tambahan per produk tercantum di bawah.

Produk

Dampak

Compute Engine

CVE-2020-1472

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Pelanggan yang menggunakan virtual machine Compute Engine yang menjalankan Windows Server harus memastikan instance mereka telah diupdate dengan patch Windows terbaru atau menggunakan image Windows Server yang dipublikasikan setelah 17-08-2020 (v20200813 atau yang lebih tinggi).

Google Kubernetes Engine

CVE-2020-1472

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Setiap pelanggan yang menghosting pengontrol domain di node Windows Server GKE mereka harus memastikan bahwa node dan workload dalam container yang berjalan di node tersebut memiliki image node Windows terbaru saat tersedia. Versi image node baru akan diumumkan dalam catatan rilis GKE pada bulan Oktober.

Layanan Terkelola untuk Microsoft Active Directory

CVE-2020-1472

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Patch bulan Agustus yang dirilis oleh Microsoft yang menyertakan perbaikan pada protokol NetLogon telah diterapkan ke semua pengontrol domain Microsoft AD Terkelola. Patch ini memberikan fungsi untuk melindungi dari potensi eksploitasi. Penerapan patch yang tepat waktu adalah salah satu keuntungan utama menggunakan Layanan Terkelola untuk Microsoft Active Directory. Setiap pelanggan yang menjalankan Microsoft Active Directory secara manual (dan tidak menggunakan layanan terkelola Google Cloud) harus memastikan instance mereka memiliki patch Windows terbaru atau menggunakan image Windows Server.

Google Workspace

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Lingkungan standar App Engine

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Lingkungan fleksibel App Engine

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud Run

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud Run Functions

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Managed Service untuk Apache Airflow

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Dataflow

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Managed Service untuk Apache Spark

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud SQL

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

GCP-2020-012

Dipublikasikan: 14-09-2020
Diperbarui: 17-09-2020

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan baru-baru ini ditemukan di kernel Linux, yang dijelaskan dalam CVE-2020-14386, yang dapat memungkinkan container escape untuk mendapatkan hak istimewa root pada node host.

Semua node GKE terpengaruh. Pod yang berjalan di GKE Sandbox tidak dapat memanfaatkan kerentanan ini.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:


Kerentanan apa yang diatasi oleh patch ini?

Patch ini mengurangi kerentanan berikut:

Kerentanan CVE-2020-14386, yang memungkinkan container dengan CAP_NET_RAW
menulis 1 hingga 10 byte memori kernel, dan mungkin keluar dari container dan mendapatkan hak istimewa root pada node host. Kerentanan ini dinilai sebagai Kerentanan tingkat keparahan tinggi.

Tinggi

CVE-2020-14386

GCP-2020-011

Dipublikasikan: 24-07-2020

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan jaringan, CVE-2020-8558, baru-baru ini ditemukan di Kubernetes. Service terkadang berkomunikasi dengan aplikasi lain yang berjalan di dalam Pod yang sama menggunakan antarmuka loopback lokal (127.0.0.1). Kerentanan ini memungkinkan penyerang yang memiliki akses ke jaringan cluster untuk mengirim traffic ke antarmuka loopback Pod dan node yang berdekatan. Layanan yang mengandalkan antarmuka loopback yang tidak dapat diakses di luar Pod-nya dapat dieksploitasi.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Rendah (GKE dan GKE di AWS),
Sedang (GKE di VMware)

CVE-2020-8558

GCP-2020-010

Dipublikasikan: 27-07-2020

Deskripsi

Microsoft telah mengungkapkan kerentanan berikut:

Kerentanan

Keparahan

CVE

CVE-2020-1350 — Windows Server yang berfungsi dalam kapasitas server DNS dapat dieksploitasi untuk menjalankan kode yang tidak tepercaya oleh Akun Sistem Lokal.

Skor Dasar NVD: 10,0 (Kritis)

CVE-2020-1350

Untuk mengetahui informasi selengkapnya, lihat pengungkapan Microsoft.

DampakGoogle Cloud

Infrastruktur yang menghosting produk Google Cloud dan Google tidak terpengaruh oleh kerentanan ini. Detail tambahan per produk tercantum di bawah.

Produk

Dampak

Compute Engine

CVE-2020-1350

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Pelanggan yang menggunakan virtual machine Compute Engine yang menjalankan Windows Server dalam kapasitas server DNS harus memastikan instance mereka memiliki patch Windows terbaru atau menggunakan image Windows Server yang disediakan sejak 14/07/2020.

Google Kubernetes Engine

CVE-2020-1350

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Pelanggan yang menggunakan GKE dengan node Windows Server dalam kapasitas server DNS harus mengupdate node dan workload dalam container yang berjalan di node tersebut secara manual ke versi server Windows yang berisi perbaikan.

Layanan Terkelola untuk Microsoft Active Directory

CVE-2020-1350

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Semua domain Microsoft AD Terkelola telah otomatis diupdate dengan image yang di-patch. Setiap pelanggan yang menjalankan Microsoft Active Directory secara manual (dan tidak menggunakan Microsoft AD Terkelola) harus memastikan instance mereka memiliki patch Windows terbaru atau menggunakan image Windows Server yang disediakan sejak 14/07/2020.

Google Workspace

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Lingkungan standar App Engine

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Lingkungan fleksibel App Engine

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud Run

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud Run Functions

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Managed Service untuk Apache Airflow

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Dataflow

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Managed Service untuk Apache Spark

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud SQL

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

GCP-2020-009

Dipublikasikan: 15-07-2020

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan eskalasi hak istimewa, CVE-2020-8559, baru-baru ini ditemukan di Kubernetes. Kerentanan ini memungkinkan penyerang yang telah menyusupi node untuk menjalankan perintah di Pod mana pun dalam cluster. Dengan demikian, penyerang dapat menggunakan node yang telah disusupi untuk menyusupi node lain dan berpotensi membaca informasi, atau menyebabkan tindakan yang merusak.

Perhatikan bahwa agar penyerang dapat mengeksploitasi kerentanan ini, node di cluster Anda harus sudah disusupi. Kerentanan ini, dengan sendirinya, tidak akan membahayakan node apa pun di cluster Anda.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Sedang

CVE-2020-8559

GCP-2020-008

Dipublikasikan: 19-06-2020

Deskripsi

Deskripsi Keparahan Catatan

Deskripsi

VM yang mengaktifkan Login OS mungkin rentan terhadap kerentanan eskalasi hak istimewa. Kerentanan ini memberi pengguna yang diberi izin Login OS (tetapi tidak diberi akses admin) kemampuan untuk meningkatkan akses ke akses root di VM.

Untuk mendapatkan petunjuk dan detail selengkapnya, lihat buletin keamanan Compute Engine.

 Tinggi

GCP-2020-007

Dipublikasikan: 01-06-2020

Deskripsi

Deskripsi Keparahan Catatan

Kerentanan Pemalsuan Permintaan Sisi Server (SSRF), CVE-2020-8555, baru-baru ini ditemukan di Kubernetes, yang memungkinkan pengguna tertentu yang berwenang membocorkan hingga 500 byte informasi sensitif dari jaringan host bidang kontrol. Bidang kontrol Google Kubernetes Engine (GKE) menggunakan pengontrol dari Kubernetes sehingga terpengaruh oleh kerentanan ini. Sebaiknya upgrade bidang kontrol ke versi patch terbaru. Upgrade node tidak diperlukan.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Sedang

CVE-2020-8555

GCP-2020-006

Dipublikasikan: 01-06-2020

Deskripsi

Deskripsi Keparahan Catatan

Kubernetes telah mengungkapkan kerentanan yang memungkinkan container dengan hak istimewa mengalihkan traffic node ke container lain. Traffic TLS/SSH bersama, seperti antara kubelet dan server API, atau traffic dari aplikasi yang menggunakan mTLS tidak dapat dibaca atau diubah oleh serangan ini. Semua node Google Kubernetes Engine (GKE) terpengaruh oleh kerentanan ini, dan sebaiknya Anda mengupgrade ke versi patch terbaru.

Untuk mengetahui petunjuk dan detail selengkapnya, lihat:

Sedang

Masalah Kubernetes 91507

GCP-2020-005

Dipublikasikan: 07-05-2020

Deskripsi

Kerentanan

Keparahan

CVE

Kerentanan baru-baru ini ditemukan di kernel Linux, yang dijelaskan dalam CVE-2020-8835, yang memungkinkan container escape mendapatkan hak istimewa root pada node host.

Node Ubuntu Google Kubernetes Engine (GKE) yang menjalankan GKE 1.16 atau 1.17 terpengaruh oleh kerentanan ini, dan sebaiknya Anda mengupgrade ke versi patch terbaru sesegera mungkin.

Lihat buletin keamanan GKE untuk mengetahui petunjuk dan detail selengkapnya.

Tinggi

CVE-2020-8835

GCP-2020-004

Dipublikasikan: 31-03-2020
Diperbarui: 31-03-2020

Deskripsi

Kubernetes telah mengungkapkan kerentanan berikut:

Kerentanan

Keparahan

CVE

CVE-2019-11254 — Ini adalah kerentanan Denial of Service (DoS) yang memengaruhi server API.

Sedang

CVE-2019-11254

Lihat buletin keamanan GKE di VMware untuk mengetahui petunjuk dan detail selengkapnya.

GCP-2020-003

Dipublikasikan: 31-03-2020
Diperbarui: 31-03-2020

Deskripsi

Kubernetes telah mengungkapkan kerentanan berikut:

Kerentanan

Keparahan

CVE

CVE-2019-11254 — Ini adalah kerentanan Denial of Service (DoS) yang memengaruhi server API.

Sedang

CVE-2019-11254

Lihat buletin keamanan GKE untuk mengetahui petunjuk dan detail selengkapnya.

GCP-2020-002

Dipublikasikan: 23-03-2020
Diperbarui: 23-03-2020

Deskripsi

Kubernetes telah mengungkapkan kerentanan berikut:

Kerentanan

Keparahan

CVE

CVE-2020-8551 — Ini adalah kerentanan Denial of Service (DoS) yang memengaruhi kubelet.

Sedang

CVE-2020-8551

CVE-2020-8552 — Ini adalah kerentanan Denial of Service (DoS) yang memengaruhi server API.

Sedang

CVE-2020-8552

Lihat buletin keamanan GKE untuk mengetahui petunjuk dan detail selengkapnya.

GCP-2020-001

Dipublikasikan: 21-01-2020
Diperbarui: 21-01-2020

Deskripsi

Microsoft telah mengungkapkan kerentanan berikut:

Kerentanan

Keparahan

CVE

CVE-2020-0601 — Kerentanan ini juga dikenal sebagai Kerentanan Spoofing Windows Crypto API. Kerentanan ini dapat dieksploitasi untuk membuat file yang dapat dieksekusi berbahaya tampak tepercaya atau memungkinkan penyerang melakukan serangan man-in-the-middle dan mendekripsi informasi rahasia pada koneksi pengguna ke software yang terpengaruh.

Skor Dasar NVD: 8,1 (Tinggi)

CVE-2020-0601

Untuk mengetahui informasi selengkapnya, lihat pengungkapan Microsoft.

DampakGoogle Cloud

Infrastruktur yang menghosting produk Google dan Google Cloud tidak terpengaruh oleh kerentanan ini. Detail tambahan per produk tercantum di bawah.

Produk

Dampak

Compute Engine

CVE-2020-0601

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Pelanggan yang menggunakan virtual machine Compute Engine yang menjalankan Windows Server harus memastikan instance mereka memiliki patch Windows terbaru atau menggunakan image Windows Server yang disediakan sejak 15/1/2020. Lihat buletin keamanan Compute Engine untuk mengetahui detail selengkapnya.

Google Kubernetes Engine

CVE-2020-0601

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Pelanggan yang menggunakan GKE dengan node Windows Server, baik node maupun workload dalam container yang berjalan di node tersebut, harus diupdate ke versi yang di-patch untuk mengurangi kerentanan ini. Lihat buletin keamanan GKE untuk mengetahui petunjuk dan detail selengkapnya.

Layanan Terkelola untuk Microsoft Active Directory

CVE-2020-0601

Bagi sebagian besar pelanggan, tidak diperlukan tindakan lebih lanjut.

Semua domain Microsoft AD Terkelola telah otomatis diupdate dengan image yang di-patch. Setiap pelanggan yang menjalankan Microsoft Active Directory secara manual (dan tidak menggunakan Microsoft AD Terkelola) harus memastikan instance mereka memiliki patch Windows terbaru atau menggunakan image Windows Server yang disediakan sejak 15/1/2020.

Google Workspace

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Lingkungan standar App Engine

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Lingkungan fleksibel App Engine

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud Run

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud Run Functions

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Managed Service untuk Apache Airflow

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Dataflow

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Managed Service untuk Apache Spark

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

Cloud SQL

Pelanggan tidak perlu melakukan tindakan apa pun.

Layanan ini tidak terpengaruh oleh kerentanan ini.

GCP-2019-001

Dipublikasikan: 12-11-2019
Diperbarui: 12-11-2019

Deskripsi

Intel telah mengungkapkan kerentanan berikut:

Kerentanan

Keparahan

CVE

CVE-2019-11135 — Kerentanan ini disebut sebagai TSX Async Abort (TAA) dan dapat digunakan untuk mengeksploitasi eksekusi spekulatif dalam transaksi TSX. Kerentanan ini berpotensi memungkinkan data terekspos melalui struktur data mikroarsitektur yang sama yang terekspos oleh Sampling Data Mikroarsitektur (MDS).

Sedang

CVE-2019-11135

CVE-2018-12207 — Ini adalah kerentanan Denial of Service (DoS) yang memengaruhi host virtual machine (bukan tamu). Masalah ini dikenal sebagai "Machine Check Error on Page Size Change".

Sedang

CVE-2018-12207

Untuk mengetahui informasi selengkapnya, lihat pengungkapan Intel:

DampakGoogle Cloud

Infrastruktur yang menghosting produk Google Cloud dan Google dilindungi dari kerentanan ini. Detail tambahan per produk tercantum di bawah.

Produk

Dampak

Compute Engine

CVE-2019-11135

Bagi sebagian besar pelanggan, tidak diperlukan tindakan tambahan.

Pelanggan N2, C2, atau M2 yang menjalankan kode yang tidak tepercaya di layanan multi-tenant mereka sendiri dalam virtual machine Compute Engine harus menghentikan dan memulai VM mereka untuk memastikan bahwa mereka memiliki mitigasi keamanan terbaru.

CVE-2018-12207

Untuk semua pelanggan, tidak diperlukan tindakan tambahan.

Google Kubernetes Engine

CVE-2019-11135

Bagi sebagian besar pelanggan, tidak diperlukan tindakan tambahan.

Jika Anda menggunakan node pool dengan node N2, M2, atau C2, dan node tersebut menjalankan kode yang tidak tepercaya di dalam cluster GKE multi-tenant Anda sendiri, Anda harus memulai ulang node. Jika Anda ingin memulai ulang semua node di node pool, upgrade node pool yang terpengaruh.

CVE-2018-12207

Untuk semua pelanggan, tidak diperlukan tindakan tambahan.

Lingkungan standar App Engine

Anda tidak perlu melakukan tindakan apa pun.

Lingkungan fleksibel App Engine

CVE-2019-11135

Anda tidak perlu melakukan tindakan tambahan apa pun.

Pelanggan harus meninjau praktik terbaik Intel terkait berbagi tingkat aplikasi yang dapat terjadi antara hyperthread dalam Flex VM.

CVE-2018-12207

Tidak diperlukan tindakan tambahan.

Cloud Run

Anda tidak perlu melakukan tindakan apa pun.

Cloud Run Functions

Anda tidak perlu melakukan tindakan apa pun.

Managed Service untuk Apache Airflow

Anda tidak perlu melakukan tindakan apa pun.

Dataflow

CVE-2019-11135

Bagi sebagian besar pelanggan, tidak diperlukan tindakan tambahan.

Pelanggan Dataflow yang menjalankan beberapa workload yang tidak tepercaya di VM Compute Engine N2, C2, atau M2 yang dikelola oleh Dataflow dan mengkhawatirkan serangan intra-guest harus mempertimbangkan untuk memulai ulang pipeline streaming apa pun yang saat ini sedang berjalan. Atau, pipeline batch dapat dibatalkan dan dijalankan ulang. Anda tidak perlu melakukan tindakan apa pun untuk pipeline yang diluncurkan setelah hari ini.

CVE-2018-12207

Untuk semua pelanggan, tidak diperlukan tindakan tambahan.

Managed Service untuk Apache Spark

CVE-2019-11135

Bagi sebagian besar pelanggan, tidak diperlukan tindakan tambahan.

Pelanggan Cloud Dataproc yang menjalankan beberapa workload yang tidak tepercaya di cluster Cloud Dataproc yang sama yang berjalan di VM Compute Engine N2, C2, atau M2 dan khawatir tentang serangan intra-guest, harus men-deploy ulang cluster mereka.

CVE-2018-12207

Untuk semua pelanggan, tidak diperlukan tindakan tambahan.

Cloud SQL

Anda tidak perlu melakukan tindakan apa pun.