Bollettini sulla sicurezza

I seguenti bollettini sulla sicurezza sono relativi ai prodotti Google Cloud .

Utilizza questo feed XML per iscriverti ai bollettini sulla sicurezza per questa pagina. Iscriviti

GCP-2026-070

Data di pubblicazione: 21 ottobre 2026

Descrizione

Descrizione Gravità Note

Sono state rilevate due vulnerabilità di esecuzione di codice da remoto nel linguaggio PHP open source. Sebbene Google Cloud non sia vulnerabile, gli utenti di questo linguaggio in esecuzione su Google Cloud potrebbero essere vulnerabili.

Le seguenti versioni della lingua sono interessate da questa vulnerabilità:

  • Tutte le versioni di PHP tra la 5.4 e la 8.5

Le seguenti versioni del framework includono correzioni per questa vulnerabilità:

  • PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35

Che cosa devo fare?

I clienti devono intervenire immediatamente per proteggere i propri workload eseguendo nuovamente il deployment con dipendenze aggiornate. Alcuni workload potrebbero essere corretti e aggiornati automaticamente alla versione più recente di PHP se si trovano su Google App Engine Standard o su uno dei servizi Cloud Run, Cloud Run Functions con aggiornamenti automatici abilitati. Per saperne di più, consulta il blog post.

Qual è l'utilità di Google?

I clienti che utilizzano Artifact Analysis ricevono notifiche di queste vulnerabilità sia sugli artefatti nuovi che su quelli esistenti per aiutarli a identificare i workload a rischio.

 Critico

GCP-2026-069

Data di pubblicazione: 19 ottobre 2026

Descrizione

Descrizione Gravità Note

Sono state rilevate vulnerabilità della sicurezza in Istio ed Envoy Proxy (ISTIO-SECURITY-2026-007).

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da moderato ad alto

GCP-2026-068

Data di pubblicazione: 14 ottobre 2026

Descrizione

Descrizione Gravità Note

Una vulnerabilità di autorizzazione errata nel runtime di esecuzione della convalida e dell'integrazione di AuthConfig nelle versioni di Application Integration precedenti al 27 agosto 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 27 agosto 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato potrebbe eseguire l'escalation dei privilegi e impersonare un account di servizio nel progetto Google Cloud .

 Critico CVE-2026-85298

GCP-2026-067

Data di pubblicazione: 12 ottobre 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di Denial of Service (DoS) in Envoy Proxy quando un filtro HTTP (ad esempio ext_proc con route_cache_action: RETAIN) modifica l'intestazione :path dopo la selezione della route su una route configurata con prefix_rewrite.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta envoyproxy/envoy#47841

GCP-2026-066

Data di pubblicazione: 28 settembre 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità Confused Deputy nel componente Attività email nelle versioni di Application Integration precedenti al 30 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 30 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente malintenzionato autenticato potrebbe leggere ed esfiltrare file interni di Google arbitrari utilizzando un percorso di allegato creato ad hoc.

 Alta CVE-2026-81375

GCP-2026-065

Data di pubblicazione: 28 settembre 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di deserializzazione dei dati non attendibili nell'attività JavaScript nelle versioni di Application Integration precedenti al 28 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 28 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato con autorizzazioni standard potrebbe utilizzare uno script appositamente creato per eseguire codice arbitrario sui server di produzione condivisi.

 Critico CVE-2026-81867

GCP-2026-064

Data di pubblicazione: 28 settembre 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di autorizzazione errata nella configurazione delle attività nelle versioni di Application Integration precedenti al 17 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 17 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato potrebbe utilizzare un tipo di attività solo interno per eseguire RPC interne arbitrarie dalla rete di produzione interna di Google con un'identità con privilegi.

 Critico CVE-2026-19759

GCP-2026-063

Data di pubblicazione: 16 settembre 2026

Descrizione

Descrizione Gravità Note

Una vulnerabilità di gestione impropria dei privilegi in Google Security Operations SOAR è stata corretta con la versione 6.3.85 e non è richiesta alcuna azione da parte del cliente. La vulnerabilità consentiva a un utente malintenzionato autenticato di eseguire l'escalation dei privilegi per ottenere l'accesso amministrativo a livello di sistema utilizzando un'intestazione di autenticazione interna creata ad hoc.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. È stato eseguito l'upgrade automatico di tutti i clienti alla versione corretta: 6.3.85 o successiva.

 Critico CVE-2026-15587

GCP-2026-062

Data di pubblicazione: 11 settembre 2026

Descrizione

Descrizione Gravità Note

Sono state rilevate diverse vulnerabilità di sicurezza in Slurm che interessano i progetti di Cluster Toolkit che fanno riferimento a versioni di immagini specifiche. Queste vulnerabilità interessano il daemon slurmstepd, la gestione delle richieste RPC e il database di accounting.

Che cosa devo fare?

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cluster Toolkit.

Alta

GCP-2026-061

Data di pubblicazione: 9 settembre 2026

Descrizione

Descrizione Gravità Note

Una vulnerabilità di sicurezza (GHSA-p7v4-vr35-mj6f, assegnazione CVE in attesa) nell'implementazione CRI di containerd consente a un container ripristinato da un checkpoint non attendibile tramite l'API CreateContainer di bypassare il contesto di sicurezza di destinazione ed eseguire con privilegi elevati.

I cluster GKE non sono vulnerabili per impostazione predefinita. Le immagini dei nodi GKE non includono lo strumento criu.

Che cosa devo fare?

Per i cluster predefiniti non è richiesta alcuna azione immediata da parte del cliente. Se sui tuoi nodi installi software di runtime personalizzato o strumenti per i nodi che includono il file binario criu, consulta il bollettino sulla sicurezza per i comportamenti consigliati.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta il bollettino sulla sicurezza di GKE.

 Media GHSA-p7v4-vr35-mj6f

GCP-2026-060

Data di pubblicazione: 4 settembre 2026

Ultimo aggiornamento: 8 settembre 2026

Descrizione

Descrizione Gravità Note

Aggiornamento dell'8 settembre 2026: è stato aggiunto un link al bollettino sulla sicurezza di Cluster Toolkit.

Un difetto di sicurezza nello strumento Slurm sbcast (CVE-2026-65107) consente ai file della libreria condivisa di bypassare i controlli di sicurezza e può causare l'arresto anomalo dei nodi nel cluster.

Che cosa devo fare?

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-65107

GCP-2026-059

Data di pubblicazione: 4 settembre 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di autorizzazione mancante nel connettore HTTP in Integration Connectors nelle versioni precedenti all'11 dicembre 2025.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta l'11 dicembre 2025.

Quali vulnerabilità vengono affrontate?

Un utente malintenzionato autenticato potrebbe utilizzare un collegamento di un account di servizio non autorizzato per eseguire l'escalation dei privilegi e assumere il controllo di un progetto Google Cloud .

 Alta CVE-2026-4644

GCP-2026-058

Data di pubblicazione: 2 settembre 2026

Descrizione

Descrizione Gravità Note

Un controllo delle autorizzazioni del progetto mancante nelle API GKE Multi-Cloud (CreateAttachedCluster, CreateAwsCluster, CreateAzureCluster) ha consentito a un malintenzionato di registrare un cluster collegato nella federazione delle identità dei workload per GKE di un progetto di destinazione arbitrario. Questa registrazione ha consentito la creazione non autorizzata di token Workload Identity e l'impersonificazione dei service account Kubernetes con associazioni nel progetto di destinazione tramite la configurazione della federazione delle identità per i carichi di lavoro per GKE.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE

 Critico

GCP-2026-057

Data di pubblicazione: 26 agosto 2026

Descrizione

Descrizione Gravità Note

Sono state rilevate una serie di vulnerabilità in Envoy Proxy.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da moderato ad alto

GCP-2026-056

Data di pubblicazione: 26 agosto 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di convalida dell'input non corretta nel driver JDBC nelle versioni di BigQuery Data Transfer Service precedenti al 1° maggio 2026.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Questa vulnerabilità è stata corretta il 1° maggio 2026.

Quali vulnerabilità vengono affrontate?

Un utente malintenzionato autenticato potrebbe utilizzare parametri della stringa di connessione JDBC appositamente creati per ottenere l'esecuzione di codice da remoto nel container del connettore e l'escalation dei privilegi nel progetto tenant.

 Critico CVE-2026-12717

GCP-2026-055

Data di pubblicazione: 25 agosto 2026

Descrizione

Descrizione Gravità Note

Esiste una vulnerabilità critica di esecuzione di codice da remoto (RCE) non autenticata in Next.js e libheif durante l'elaborazione di file immagine dannosi. L'infrastruttura Google Cloud non è direttamente vulnerabile, ma i workload dei clienti che eseguono Next.js su Google Cloud (ad es. Cloud Run, GKE, App Engine) potrebbero essere interessati.

Che cosa devo fare?

I servizi di backendGoogle Cloud non sono interessati direttamente e non è richiesta alcuna azione per proteggere l'infrastruttura Google Cloud sottostante. Tuttavia, i clienti che ospitano applicazioni Next.js su Google Cloud devono intervenire immediatamente per proteggere i propri workload. Ti consigliamo di eseguire manualmente l'upgrade dei deployment Next.js a una delle seguenti versioni (o successive) nel tuo package.json: 

  • 16.3.3
  • 15.5.24
I clienti che utilizzano libheif devono monitorare le patch del sistema operativo upstream e ricreare le immagini di base dei container di conseguenza. Rifai il deployment dei workload aggiornati per assicurarti che i container in esecuzione utilizzino le versioni con patch.

Quali vulnerabilità vengono affrontate?

Le vulnerabilità, GHSA-2xp9-vwfh-vxw4 e GHSA-g89c-p67h-r497, consentono a un malintenzionato di eseguire codice arbitrario nel contesto dell'applicazione fornendo un file immagine appositamente creato durante l'ottimizzazione delle immagini di Next.js. Questo problema si verifica a causa del modo in cui la libreria libheif sottostante elabora le caselle di apertura pulite nelle immagini HEIF/AVIF.

 Alta GHSA-2xp9-vwfh-vxw4 GHSA-g89c-p67h-r497

GCP-2026-054

Data di pubblicazione: 11 agosto 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità (CVE-2026-6726, nota anche come TCGVRT0010) nel codice di implementazione di riferimento TPM 2.0 di Trusted Computing Group, che interessa tutte le revisioni pubblicate del codice (v1.16, v1.38, v1.59, v1.83, v184).

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Google aggiornerà in modo proattivo i tuoi sistemi durante i periodi di manutenzione standard e pianificati.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Alta CVE-2026-6726

GCP-2026-053

Data di pubblicazione: 11 agosto 2026

Descrizione

Descrizione Gravità Note

Google è a conoscenza di diverse vulnerabilità di sicurezza che interessano il firmware Intel® Trust Domain Extensions (TDX) e che possono compromettere l'integrità dei guest riservati. Queste vulnerabilità potrebbero consentire a un utente malintenzionato con privilegi di host di aggirare i controlli di attestazione, accedere a registri con limitazioni o decriptare la memoria guest normalmente protetta.

Quali prodotti Google sono interessati?

Tutte le istanze Confidential VM che si basano sulla tecnologia Intel TDX.

Che cosa devo fare?

Google ha applicato in modo proattivo questi upgrade del firmware al nostro parco server per mitigare queste vulnerabilità. Non è richiesta alcuna azione per i clienti che non hanno ricevuto un avviso diretto separato per eseguire l'upgrade.

Per saperne di più, consulta gli avvisi tecnici PSIRT di Intel: INTEL-TA-01404, INTEL-TA-01428, INTEL-TA-01419, INTEL-TA-01439, INTEL-TA-01442, INTEL-TA-01436.

Alta

GCP-2026-052

Data di pubblicazione: 7 agosto 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità di sicurezza nell'unità di gestione della memoria (MMU) shadow x86 della macchina virtuale basata su kernel (KVM) che interessa sia le piattaforme Intel che AMD.

Che cosa devo fare?

Non è richiesta alcuna azione per le macchine virtuali Compute Engine gestite. Poiché la vulnerabilità risiede nell'hypervisor host, Google ha mitigato in modo trasparente l'impatto su tutta l'infrastruttura host basata su Intel e AMD tramite l'applicazione di patch in tempo reale, senza richiedere tempi di inattività, riavvii o upgrade manuali delle VM dei clienti.

Se gestisci ambienti virtualizzati autogestiti o hypervisor host personalizzati al di fuori dell'infrastruttura Compute Engine gestita standard, devi assicurarti che il kernel Linux host sia aggiornato con la patch upstream non appena viene resa disponibile dal fornitore della distribuzione del sistema operativo.

Quali vulnerabilità vengono affrontate?

Si tratta di una vulnerabilità KVM che potrebbe portare a un attacco VM escape. Non è stato osservato alcuno sfruttamento attivo e si tratta di un'attività di applicazione di patch proattiva.

 Nessuno CVE-2026-64561

GCP-2026-051

Data di pubblicazione: 31 luglio 2026

Descrizione

Aggiornamento del 4 agosto 2026: la versione di release della patch di VMware è 1.33.1200, non 1.33.1100 come indicato nel bollettino iniziale.

Descrizione Gravità

In containerd (il runtime dei container GDC) sono state rilevate le seguenti vulnerabilità. Queste vulnerabilità consentono agli utenti malintenzionati con autorizzazioni per la creazione di pod di aggirare i limiti di sicurezza di Kubernetes ed eseguire la compromissione dell'host, l'avvelenamento della cache e il denial of service. Sebbene queste vulnerabilità siano critiche nel contesto di containerd, il requisito di disporre dei privilegi del cluster per creare pod per sfruttarle significa che sono considerate elevate in base alla classificazione delle vulnerabilità di GDC (solo software).

  • CVE-2026-50195 (critica): il processo di importazione dei checkpoint CRI di containerd non riesce a convalidare i riferimenti alle immagini. Un malintenzionato con le autorizzazioni per creare pod può utilizzare un'immagine di checkpoint creata ad hoc per compromettere la cache delle immagini locali del nodo, inducendo altri pod a utilizzare un'immagine dannosa.
  • CVE-2026-53488 (critica): il plug-in CRI propaga le etichette da una configurazione dell'immagine a un container senza convalida. Ciò potrebbe comportare l'esecuzione di un comando arbitrario sull'host.
  • CVE-2026-53492 (critica): l'implementazione della CRI considera erroneamente attendibili le annotazioni della Container Device Interface (CDI) durante il ripristino dei container. Ciò consente a un malintenzionato di inserire configurazioni CDI arbitrarie (come montaggi host e nodi di dispositivi) nei container ripristinati, bypassando l'allocazione delle risorse e l'applicazione dei plug-in dei dispositivi.
  • CVE-2026-53489 (alta): il plug-in CRI ripristina container.log senza convalidare un percorso con collegamento simbolico, consentendo a un utente malintenzionato di leggere file host arbitrari tramite i log kubectl.
  • CVE-2026-47262 (moderata): una vulnerabilità in containerd consente a un'immagine creata in modo dannoso di causare l'esaurimento della memoria (DoS) del processo containerd.
Queste vulnerabilità interessano tutte le configurazioni di GDC (solo software) che utilizzano immagini dei nodi Ubuntu.

Che cosa devo fare?

Per il software GDC solo su bare metal, le seguenti patch conterranno correzioni per il problema delle vulnerabilità:

  • 1.34.800
  • 1.33.1100

Per GDC (solo software) su VMware, le seguenti patch conterranno le correzioni per le vulnerabilità:

  • 1.34.800
  • 1.33.1200
 Alta

GCP-2026-050

Data di pubblicazione: 29 luglio 2026

Descrizione

Descrizione Gravità Note

In base all'avviso VMSA-2026-0006, sono state segnalate privatamente a Broadcom diverse vulnerabilità in VMware ESXi e vCenter. Stiamo applicando le patch necessarie fornite da Broadcom. Non sono note soluzioni alternative per queste vulnerabilità segnalate.

Una volta applicata la patch, i deployment di VMware Engine dovrebbero eseguire vCenter ed ESXi 8.0 U3k.

Che cosa devo fare?

Google consiglia ai clienti di monitorare i propri workload su VMware Engine per rilevare eventuali attività insolite.

 Critico
  • VMSA-2026-0006
  • CVE-2026-59309
  • CVE-2026-59310
  • CVE-2026-47876
  • CVE-2026-41703
  • CVE-2026-41709

GCP-2026-049

Data di pubblicazione: 22 luglio 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di cross-site scripting (XSS) riflesso in Google Cloud Looker. Un malintenzionato potrebbe creare un URL dannoso che, se aperto da un amministratore autenticato, gli consentirebbe di eseguire script arbitrari per suo conto e potenzialmente compromettere l'account amministratore.

Che cosa devo fare?

Per le istanze ospitate da Looker, non è richiesta alcuna azione.

Per le istanze Looker self-hosted, aggiorna le istanze Looker il prima possibile. Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker per le istanze self-hosted. Le seguenti versioni sono state tutte aggiornate per correggere questa vulnerabilità:

  • Looker 26.8.7 e tutte le versioni successive
  • Looker 26.6.28+
  • Looker 26.4.36+
  • Looker 26.2.47+
  • Looker 26.0.66+
  • Looker 25.18.68+
  • Looker 25.12.65+
  • Looker 25.6.103+

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta CVE-2026-15810.

 Alta CVE-2026-15810

GCP-2026-048

Data di pubblicazione: 13 luglio 2026

Descrizione

Descrizione Gravità Note

È stata risolta una vulnerabilità di escalation dei privilegi in Developer Connect. In precedenza, per le connessioni GitLab Enterprise e Bitbucket Data Center, quando venivano recuperati i secret di Secret Manager, le autorizzazioni venivano controllate solo in base alle credenziali del service agent (P4SA) di Developer Connect. Developer Connect ora convalida che sia l'entità chiamante sia il P4SA dispongano delle autorizzazioni richieste per i secret a cui viene fatto riferimento.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Developer Connect.

Media

GCP-2026-047

Data di pubblicazione: 13 luglio 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di autorizzazione mancante nei repository in BigQuery, Dataform e Colab Enterprise.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Google ha già applicato misure di mitigazione a tutti i prodotti e servizi interessati.

Quali vulnerabilità vengono affrontate?

Durante la creazione del repository, un utente malintenzionato autenticato potrebbe potenzialmente eseguire l'escalation delle proprie autorizzazioni e assumere il controllo del repository tra tenant.

 Critico CVE-2026-14934

GCP-2026-046

Data di pubblicazione: 6 luglio 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità di virtualizzazione nelle configurazioni di shadow paging e virtualizzazione nidificata di KVM x86. Poiché un aggressore che utilizza una macchina virtuale con virtualizzazione nidificata potrebbe eludere l'isolamento dei confini dell'hypervisor per compromettere l'host fisico sottostante, qualsiasi macchina virtuale x86 (nidificata o meno) ospitata su un server basato su Intel che supporta la virtualizzazione nidificata è potenzialmente esposta.

Che cosa devo fare?

Google sta eseguendo il deployment di hot patch dell'hypervisor in tempo reale su tutti i server host Compute Engine gestiti a livello globale. Non è richiesta alcuna azione per le macchine virtuali Compute Engine o i cluster Google Kubernetes Engine gestiti. Poiché la correzione viene eseguita in modo trasparente a livello di hypervisor dell'host fisico, non sono necessari tempi di inattività, riavvii o upgrade manuali delle VM dei clienti.

I clienti che utilizzano ambienti virtualizzati autogestiti o hypervisor host personalizzati al di fuori dell'infrastruttura Compute Engine gestita standard devono assicurarsi che il kernel Linux host sia aggiornato con la patch upstream non appena viene resa disponibile dal fornitore del sistema operativo.

Quali vulnerabilità vengono affrontate?

La vulnerabilità (CVE-2026-53359) sfrutta un errore use-after-free nelle routine di traduzione della tabella di paging shadow x86 e della tabella di paging nidificata. Google non ha rilevato prove di sfruttamento attivo dei clienti negli ambienti di produzione. Il live patching e il monitoraggio a livello di host sono stati implementati a livello globale per mitigare i rischi e rilevare i tentativi di exploit.

 Alta/S0 CVE-2026-53359
(Januscape)

GCP-2026-045

Data di pubblicazione: 29 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Envoy Proxy in cui la decodifica QPACK bloccata può causare un attacco Denial of Service contro lo stack HTTP/3.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta GHSA-p7c7-7c47-pwch

GCP-2026-044

Data di pubblicazione: 25 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità nell'attività JavaScript di Application Integration, che utilizzava il motore JavaScript Rhino. Questo problema ha interessato solo le attività pubblicate prima di gennaio 2025.

Per maggiori dettagli e istruzioni, consulta il bollettino sulla sicurezza di Application Integration.

Alta CVE-2025-0982

GCP-2026-043

Data di pubblicazione: 24 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Firebase Studio, in cui l'RPC GetSignedGcsUrl consentiva agli utenti autenticati di elencare i bucket e scaricare il codice sorgente del deployment di altri tenant.

Non è richiesta alcuna azione per mitigare questa vulnerabilità, poiché la correzione è stata implementata nel servizio di backend.

A titolo precauzionale, gli utenti che hanno memorizzato informazioni sensibili, come le chiavi API (ad esempio, GEMINI_API_KEY), all'interno del proprio spazio di lavoro Firebase Studio possono scegliere di ruotare queste chiavi. Per istruzioni, consulta la guida alla risoluzione dei problemi di Firebase Studio.

 Alta CVE-2026-12715

GCP-2026-042

Data di pubblicazione: 24 giugno 2026

Descrizione

Descrizione Gravità Note

In Cloud Build è stata risolta una vulnerabilità di escalation dei privilegi. In precedenza, per le connessioni GitLab Enterprise e Bitbucket Data Center, quando venivano recuperati i secret di Secret Manager, le autorizzazioni venivano controllate solo in base alle credenziali dell'agente di servizio Cloud Build (P4SA). Cloud Build ora convalida che sia l'entità chiamante sia il P4SA dispongano delle autorizzazioni richieste per i secret a cui viene fatto riferimento.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Build.

Bassa

GCP-2026-041

Data di pubblicazione: 24 giugno 2026

Descrizione

Descrizione Gravità Note

Di recente è stata condotta un'indagine sulla sicurezza in merito alle vulnerabilità di log4j (CVE-2026-34480 e CVE-2026-34477) segnalate in Apigee Edge for Private Cloud. Google ha stabilito che Apigee Edge for Private Cloud non è vulnerabile a queste CVE. Non è richiesta alcuna azione da parte del cliente.

Per saperne di più, consulta il bollettino sulla sicurezza di Apigee.

Alta CVE-2026-34480
CVE-2026-34477

GCP-2026-040

Data di pubblicazione: 23 giugno 2026

Descrizione

Descrizione Gravità Note

Sono state rilevate una serie di vulnerabilità in Envoy Proxy.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da moderato ad alto CVE-2026-47692
CVE-2026-47207
CVE-2026-47205
CVE-2026-47220
CVE-2026-47221
CVE-2026-48044
CVE-2026-48090
CVE-2026-47778
CVE-2026-47204
CVE-2026-48497
CVE-2026-48706
CVE-2026-48743
CVE-2026-47775
CVE-2026-48042

GCP-2026-039

Data di pubblicazione: 22 giugno 2026

Descrizione

Descrizione Gravità Note

Una vulnerabilità in Cloud Logging avrebbe potuto consentire ad utenti malintenzionati di intercettare le destinazioni dei sink di log ricreando il bucket Cloud Storage di destinazione in un progetto controllato dall'utente malintenzionato. Questo problema potrebbe aver causato il routing continuo di log sensibili a una terza parte non autorizzata.

Per saperne di più, consulta il bollettino sulla sicurezza di Google Cloud Observability.

 Media

GCP-2026-038

Data di pubblicazione: 22 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in App Engine in cui l'operazione dell'API privata GraphQL GetDashboardAppStats nella console Google Cloud ha causato la fuga di log delle richieste tra tenant.

Non è richiesta alcuna azione da parte tua. Questa vulnerabilità è stata corretta.

 Alta CVE-2026-8934

GCP-2026-037

Data di pubblicazione: 18 giugno 2026

Ultimo aggiornamento: 20-06-2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/06/2026: sono state aggiunte le versioni patch di GKE contenenti le correzioni per le immagini dei nodi Container-Optimized OS per le versioni secondarie 1.35 e 1.36. Le patch per le immagini dei nodi Ubuntu sono ancora in attesa e in corso.

Aggiornamento del 19 giugno 2026: sono state aggiunte le versioni patch di GKE contenenti le correzioni per le immagini dei nodi Container-Optimized OS per le versioni secondarie dalla 1.30 alla 1.34. Le patch per le immagini dei nodi Ubuntu e per la versione secondaria 1.35 e 1.36 per le immagini dei nodi Container-Optimized OS sono in corso.

Sono state rilevate più vulnerabilità in containerd (il runtime dei container GKE). Queste vulnerabilità consentono agli utenti malintenzionati con autorizzazioni per la creazione di pod di aggirare i limiti di sicurezza di Kubernetes ed eseguire la compromissione dell'host, il poisoning della cache e il denial of service.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE

 Critico CVE-2026-50195
CVE-2026-53488
CVE-2026-53492
CVE-2026-53489
CVE-2026-47262

GCP-2026-036

Data di pubblicazione: 9 giugno 2026

Descrizione

Descrizione Gravità Note

ARM ha annunciato CVE-2025-10263, un problema di architettura che interessa alcuni core Arm e consente a un malintenzionato di bypassare le fasi di traduzione o le protezioni GPT in determinate condizioni. Questa vulnerabilità consente a un malintenzionato con un livello di eccezione inferiore di scrivere nella memoria di proprietà di un livello di eccezione superiore, aumentando così i privilegi. Questo problema non influisce sulle letture della memoria.

Per saperne di più, consulta i seguenti bollettini:

 Alta CVE-2025-10263

GCP-2026-035

Data di pubblicazione: 8 giugno 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Envoy in cui l'elaborazione delle richieste downstream HTTP/2 consente a un client remoto non autenticato di attivare un consumo eccessivo di memoria, con conseguente potenziale interruzione OOM del processo Envoy e denial of service.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2026-47774

GCP-2026-034

Data di pubblicazione: 20 maggio 2026

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità in Apigee in cui il parametro IntegrationRegion nella policy SetIntegrationRequest non dispone della convalida, consentendo la falsificazione delle richieste lato server (SSRF) e l'esfiltrazione dei token dei account di servizio. Il problema si verifica quando un malintenzionato può controllare una variabile di flusso utilizzata per IntegrationRegion, il che porta all'invio di richieste a un host controllato dal malintenzionato con il token del account di servizio.

 Alta CVE-2026-2264

GCP-2026-033

Data di pubblicazione: 14 maggio 2026

Ultimo aggiornamento: 16/07/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/07/2026: le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei node pool Ubuntu alle seguenti versioni o successive:

  • 1.30.14-gke.2710000
  • 1.31.14-gke.2116000
  • 1.32.13-gke.1829000
  • 1.33.13-gke.1011000
  • 1.34.9-gke.1131000
  • 1.35.6-gke.1127000
  • 1.36.2-gke.1346000

Nel kernel Linux è stata rilevata una vulnerabilità di container breakout CVE-2026-46300, nota come Fragnesia. Consente a un utente malintenzionato locale non privilegiato di eseguire l'escalation a root sull'host.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2026-46300

GCP-2026-032

Data di pubblicazione: 12 maggio 2026

Descrizione

Descrizione Gravità Note

AMD ha identificato una vulnerabilità a livello di hardware nei processori con microarchitettura Zen 2 (incluse le serie EPYC e Ryzen) che comporta una potenziale corruzione all'interno della cache delle micro-operazioni (OP). In condizioni specifiche, questo problema (AMD-SN-7052 / CVE-2025-54518) potrebbe causare bypass dei limiti di sicurezza o accessi ai dati non autorizzati.
Abbiamo implementato correzioni nell'infrastruttura di Google per mitigare questi problemi.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Alta CVE-2025-54518

GCP-2026-031

Data di pubblicazione: 12 maggio 2026

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità nel firmware AMD che, a causa della mancanza di protezione, potrebbe consentire a un hypervisor dannoso di eseguire codice arbitrario sull'AMD Secure Processor (ASP). Ciò consente l'escalation delle autorizzazioni di lettura e autorizzazione in scrittura di Memory Mapped I/O (MMIO), compromettendo la riservatezza e l'integrità dei guest SEV-SNP.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Media

GCP-2026-030

Data di pubblicazione: 11 maggio 2026

Ultimo aggiornamento: 24/06/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 24 giugno 2026: sono state aggiunte le versioni patch per GKE.

Aggiornamento del 20 maggio 2026: aggiunta di CVE-2026-43500 e degli ID CVE ai percorsi di exploit.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2026-43284
  • CVE-2026-43500

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-43284

GCP-2026-029

Data di pubblicazione: 7 maggio 2026

Descrizione

Descrizione Gravità Note

Microsoft sta aggiornando i certificati di avvio protetto emessi originariamente nel 2011 per garantire che i dispositivi Windows continuino a verificare il software di avvio attendibile. Questi certificati meno recenti inizieranno a scadere a giugno 2026. I dispositivi che non hanno ricevuto i nuovi certificati del 2023 continueranno ad avviarsi e a funzionare normalmente e gli aggiornamenti standard di Windows continueranno a essere installati. Tuttavia, questi dispositivi non potranno più ricevere nuove protezioni di sicurezza per la fase iniziale di avvio, inclusi gli aggiornamenti di Windows Boot Manager, i database di Secure Boot, gli elenchi di revoche o le mitigazioni per le vulnerabilità a livello di avvio appena scoperte. Inoltre, le scadenze dei certificati di Avvio protetto a partire da giugno 2026 interessano i sistemi Linux che utilizzano l'Avvio protetto.

Che cosa devo fare?

Google consiglia ai clienti di aggiornare le proprie VM Windows intraprendendo le azioni appropriate consigliate da Microsoft. Distribuzioni come Ubuntu, Red Hat e Fedora stanno già lavorando per fornire pacchetti aggiornati firmati con la nuova chiave del 2023. Consulta anche la documentazione di Broadcom per risolvere gli errori e gli avvisi nelle macchine virtuali VMware quando i certificati di avvio protetto si avvicinano alla scadenza. Dopo giugno 2026, i sistemi privi degli aggiornamenti dei certificati del 2023 potrebbero riscontrare errori durante le nuove installazioni del sistema operativo o durante l'aggiornamento del firmware del bootloader esistente.

 Informativo Broadcom KB 423893

GCP-2026-028

Data di pubblicazione: 5 maggio 2026

Ultimo aggiornamento: 27 maggio 2026

Descrizione

Descrizione Gravità Note

CVE-2026-31431, nota anche come "Copy Fail", è una vulnerabilità di escalation dei privilegi locali (LPE) ad alta gravità nel kernel Linux che consente a un utente senza privilegi di ottenere l'accesso root. Divulgata a fine aprile 2026, deriva da un difetto logico nel sottosistema crittografico del kernel (algif_aead) introdotto nel 2017.

Che cosa devo fare?

Google consiglia ai clienti di proteggere le proprie VM guest Linux aggiornando il kernel su tutte le VM Linux. Le principali distribuzioni hanno rilasciato o stanno implementando correzioni.

 Alta CVE-2026-31431

GCP-2026-027

Data di pubblicazione: 1° maggio 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23351

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23351

GCP-2026-026

Data di pubblicazione: 30 aprile 2026

Ultimo aggiornamento: 4 maggio 2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 maggio 2026: sono state aggiunte le versioni patch per GKE.

Una vulnerabilità nel kernel Linux (CVE-2026-31431) consente a un utente malintenzionato locale non privilegiato di scrivere nella cache della pagina di sistema, il che potrebbe portare all'escalation dei privilegi locali e all'container escape.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-31431

GCP-2026-025

Data di pubblicazione: 30 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23274

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23274

GCP-2026-024

Data di pubblicazione: 28 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-38248

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38248

GCP-2026-023

Data di pubblicazione: 28 aprile 2026

Ultimo aggiornamento: 7 maggio 2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 7 maggio 2026: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23074

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23074

GCP-2026-022

Data di pubblicazione: 16 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23209

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23209

GCP-2026-021

Published: 2026-04-14

Descrizione

Descrizione Gravità Note

AMD ha segnalato una vulnerabilità nel suo firmware che avrebbe potuto consentire a un hypervisor dannoso di indirizzare l'IOMMU a scrivere nella memoria guest delle istanze abilitate per AMD SEV-SNP, compromettendo l'integrità dei dati guest. Google ha implementato una mitigazione per le istanze Confidential VM vulnerabili con AMD SEV-SNP abilitato.

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente. La mitigazione è già stata applicata alle istanze Confidential VM con AMD SEV-SNP abilitato.

Per saperne di più, consulta l'avviso AMD AMD-SB-3016.

Media

CVE-2023-20585

GCP-2026-020

Data di pubblicazione: 14 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23231

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23231

GCP-2026-019

Data di pubblicazione: 14 aprile 2026

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità nel firmware AMD che potrebbe consentire a un hypervisor dannoso di alterare le impostazioni del BIOS e le configurazioni di routing di I/O mappato in memoria (MMIO), compromettendo la riservatezza e l'integrità delle Confidential VM con guest AMD SEV-SNP.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine.

 Media CVE-2025-54510

GCP-2026-018

Data di pubblicazione: 7 aprile 2026

Ultimo aggiornamento: 15/04/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 15/04/2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23111

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23111

GCP-2026-017

Data di pubblicazione: 2 aprile 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2026-23273

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2026-23273

GCP-2026-016

Data di pubblicazione: 27 marzo 2026

Ultimo aggiornamento: 31 marzo 2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 31/03/2026: sono state aggiunte versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38616

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38616

GCP-2026-015

Data di pubblicazione: 27 marzo 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux è stata rilevata la seguente vulnerabilità che può portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2026-23268.

Per saperne di più, consulta il bollettino sulla sicurezza di Compute Engine:

 Alta CVE-2026-23268

GCP-2026-014

Data di pubblicazione: 14 marzo 2026

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25 marzo 2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38678

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38678

GCP-2026-013

Data di pubblicazione: 11 marzo 2026

Descrizione

Descrizione Gravità Note

In Envoy Proxy sono state rilevate le seguenti vulnerabilità:

  • CVE-2026-26311
  • CVE-2026-26309
  • CVE-2026-26310
  • CVE-2026-26308
  • CVE-2026-26330

In Istio sono state rilevate le seguenti vulnerabilità:

  • CVE-2026-31837
  • CVE-2026-31838

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da medio ad alto

GCP-2026-012

Data di pubblicazione: 20 febbraio 2026

Descrizione

Descrizione Gravità Note

In Google Cloud Vertex AI, è stata identificata una vulnerabilità relativa alla denominazione prevedibile dei bucket in Vertex AI Experiments dalla versione 1.21.0 alla versione 1.133.0 (esclusa).

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente per la mitigazione.

CVE-2026-2473 consente a un attaccante remoto non autenticato di ottenere l'esecuzione di codice remoto tra tenant, il furto di modelli e il poisoning utilizzando bucket Cloud Storage pre-creati con nomi prevedibili (Bucket Squatting). Questa vulnerabilità è stata identificata nella versione 1.21.0 di Vertex AI Experiments. Le mitigazioni sono già state applicate alla versione 1.133.0 e successive.

 Alta CVE-2026-2473

GCP-2026-011

Data di pubblicazione: 20 febbraio 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità di cross-site scripting (XSS) archiviata in _genai/_evals_visualization in Google google-cloud-aiplatform (Vertex AI Python SDK Visualization) su Exclusively-Hosted-Service.

Che cosa devo fare?

I clienti dovranno aggiornare l'SDK Python google-cloud-aiplatform alla versione 1.131.0 (rilasciata il 16 dicembre 2025) o successiva per ricevere la correzione.

CVE-2026-2472 consente a un malintenzionato remoto non autenticato di eseguire JavaScript arbitrario nell'ambiente Jupyter o Colab di una vittima utilizzando sequenze di escape di script di inserimento nei risultati di valutazione del modello o nei dati JSON del set di dati. Questa vulnerabilità è stata identificata in Google google-cloud-aiplatform (SDK Vertex AI Python) prima della versione 1.131.0.

 Alta CVE-2026-2472

GCP-2026-010

Data di pubblicazione: 13 febbraio 2026

Descrizione

Descrizione Gravità Note

È stata identificata una vulnerabilità nella piattaforma Apigee che avrebbe potuto consentire a un attore malintenzionato con autorizzazioni di livello amministratore o sviluppatore nel proprio ambiente Apigee di elevare i privilegi e accedere ai dati tra tenant.

In particolare, una vulnerabilità nella tecnologia di sandboxing di Apigee ha consentito l'utilizzo di un endpoint link-local per accedere ai token dei account di servizio (P4SA) all'interno di un progetto tenant del cliente. Sfruttando questa identità, un malintenzionato potrebbe teoricamente leggere i metadati di analisi o manomettere i record di monitoraggio interni in altre organizzazioni (tenant) Apigee.

Che cosa devo fare?

Esegui le seguenti azioni per ogni prodotto interessato:

Apigee

Non è richiesta alcuna azione da parte dei clienti che utilizzano la versione Google Cloud di Apigee. Le correzioni delle vulnerabilità sono state applicate alla release Apigee 1-16-0-apigee-3.

Apigee hybrid

Per risolvere questa vulnerabilità, i clienti devono abilitare la pipeline di analisi basata su Pub/Sub ed eseguire l'upgrade a una versione ibrida supportata:

Configurazione delle funzionalità Versione minima corretta
Apigee hybrid standard v1.14.0 o versioni successive
Con la monetizzazione (Mint) abilitata v1.14.3, v1.15.1 o v1.16.0
Alta CVE-2025-13292

GCP-2026-009

Data di pubblicazione: 13 febbraio 2026

Descrizione

Descrizione Gravità Note

Le versioni dell'interfaccia utente di Observability Analytics precedenti a gennaio 2026 possono essere configurate per eseguire automaticamente le query SQL. Una vulnerabilità può consentire a un utente malintenzionato di creare un URL di query che, se aperto da un utente con credenziali, potrebbe accedere ai contenuti della tabella o comportare costi per le query.

Per saperne di più, consulta il bollettino sulla sicurezza di Google Cloud Observability.

 Alta

GCP-2026-008

Data di pubblicazione: 10 febbraio 2026

Descrizione

Descrizione Gravità Note

Un insieme di vulnerabilità della sicurezza interessa il firmware Intel® TDX. Queste vulnerabilità comprendono vari difetti, tra cui race condition (CVE-2025-30513, CVE-2025-31944), letture fuori dai limiti (CVE-2025-32007, CVE-2025-27940), utilizzo di una variabile non inizializzata (CVE-2025-32467) ed esposizione di informazioni sensibili durante l'esecuzione transitoria (CVE-2025-27572). Nel complesso, questi problemi potrebbero consentire la divulgazione di informazioni, l'escalation dei privilegi o il denial of service. Lo sfruttamento generalmente richiede l'accesso utente con privilegi sul sistema.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Tutte le correzioni pertinenti sono state applicate al parco server di Google. Per saperne di più, consulta l'avviso tecnico PSIRT di Intel INTEL-TA-01397.

Alta

GCP-2026-007

Data di pubblicazione: 9 febbraio 2026

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25 marzo 2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40297

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40297

GCP-2026-006

Data di pubblicazione: 29 gennaio 2026

Ultimo aggiornamento: 20/02/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/02/2026: sono state aggiunte le versioni patch per GKE.

Sono state identificate diverse vulnerabilità della sicurezza nella libreria OpenSSL. Il risultato più significativo è CVE-2025-15467, una vulnerabilità critica che potrebbe consentire attacchi di esecuzione di codice da remoto (RCE) o denial of service (DoS) tramite vettori basati sulla rete.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-15467

GCP-2026-005

Data di pubblicazione: 28 gennaio 2026

Descrizione

Descrizione Gravità Note

Questa vulnerabilità interessa le versioni dell'interfaccia di Analisi dei log e dell'interfaccia della dashboard di Cloud Monitoring precedenti a gennaio 2026.

Per saperne di più, consulta il bollettino sulla sicurezza di Google Cloud Observability.

 Alta

GCP-2026-004

Data di pubblicazione: 14 gennaio 2026

Descrizione

Descrizione Gravità Note

In Compute Engine è stata rilevata una vulnerabilità in alcuni processori Arm che interessa le VM C4A e A4X:

  • CVE-2025-0647

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Media CVE-2025-0647

GCP-2026-003

Data di pubblicazione: 9 gennaio 2026

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25 marzo 2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39964

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39964

GCP-2026-002

Data di pubblicazione: 7 gennaio 2026

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25 marzo 2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40215

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40215

GCP-2026-001

Data di pubblicazione: 7 gennaio 2026

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40214

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40214

GCP-2025-076

Data di pubblicazione: 8 dicembre 2025

Descrizione

Descrizione Gravità Note

In Cloud Data Fusion è stata rilevata la seguente vulnerabilità:

  • CVE-2025-9571

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Data Fusion.

 Alta CVE-2025-9571

GCP-2025-075

Data di pubblicazione: 7 dicembre 2025

Descrizione

Descrizione Gravità Note

Una vulnerabilità nella funzionalità delle integrazioni personalizzate di Google Security Operations SOAR potrebbe consentire a un utente autenticato con un ruolo IDE di eseguire codice da remoto (RCE) sul server. La vulnerabilità era dovuta a una convalida insufficiente del codice del pacchetto Python, che consentiva a un utente malintenzionato di caricare un pacchetto con un file setup.py dannoso. Questo file potrebbe quindi essere eseguito durante l'installazione, compromettendo il server.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. È stato eseguito l'upgrade automatico di tutti i clienti alla versione corretta: 6.3.64 o successive.

 Alta CVE-2025-13428

GCP-2025-074

Data di pubblicazione: 5 dicembre 2025

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39965

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39965

GCP-2025-073

Published:2025-12-03

Descrizione

Descrizione Gravità Note

In Envoy Proxy sono state rilevate le seguenti vulnerabilità:

  • CVE-2025-66220
  • CVE-2025-64527
  • CVE-2025-64763

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Media

GCP-2025-072

Data di pubblicazione: 4 dicembre 2025

Ultimo aggiornamento: 5 dicembre 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 dicembre 2025: è ora disponibile una regola del web application firewall.

È stata rilevata una vulnerabilità di esecuzione di codice da remoto nei framework open source React e Next.js. Sebbene Google Cloud non sia vulnerabile, gli utenti di questi framework in esecuzione su Google Cloud potrebbero essere vulnerabili.

Le seguenti versioni del framework sono interessate da questa vulnerabilità:

  • React 19.0, 19.1.0, 19.1.1 e 19.2.0
  • Next.js 15.x, Next.js 16.x e Next.js 14.3.0-canary.77 e release canary successive

Le seguenti versioni del framework includono correzioni per questa vulnerabilità:

  • React 19.0.1, 19.1.2 e 19.2.1
  • Next.js 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 15.6.0-canary.58 e 16.0.7

Per saperne di più, consulta l'avviso di React e l'avviso di Vercel su queste vulnerabilità.

I clienti devono intervenire immediatamente per proteggere i propri workload eseguendo nuovamente il deployment con dipendenze aggiornate.

Qual è l'utilità di Google?

È stata resa disponibile una regola del web application firewall (WAF) di Cloud Armor progettata per rilevare e bloccare i tentativi di exploit correlati. Questa nuova regola è progettata per proteggere le tue applicazioni e i tuoi servizi con connessione a internet che utilizzano bilanciatori del carico delle applicazioni globali o regionali. Ti consigliamo di eseguire il deployment di questa regola come mitigazione temporanea durante l'aggiornamento dei workload. Le istruzioni per l'applicazione di questa regola sono disponibili in questo blog post.

Per i clienti che utilizzano App Engine Standard, Cloud Functions, Cloud Run Functions, Cloud Run, Firebase Hosting o Firebase App Hosting, è già applicata una regola per limitare lo sfruttamento tramite richieste a domini personalizzati e predefiniti.

I clienti che utilizzano Artifact Analysis riceveranno una notifica di queste vulnerabilità sia sugli artefatti nuovi che su quelli esistenti per aiutarli a identificare i workload a rischio.

Questo bollettino sulla sicurezza verrà aggiornato man mano che saranno disponibili nuove informazioni.

 Critico CVE-2025-55182

GCP-2025-071

Data di pubblicazione: 2 dicembre 2025

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Aggiornamento dell'11/12/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40019

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40019

GCP-2025-070

Data di pubblicazione: 2 dicembre 2025

Ultimo aggiornamento: 25/03/2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/03/2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Aggiornamento dell'11/12/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-40018

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40018

GCP-2025-069

Data di pubblicazione: 24 novembre 2025

Descrizione

Descrizione Gravità Note

Sono stati rilevati diversi problemi di sicurezza in runc, un componente software open source utilizzato per l'esecuzione dei container. Gli attacchi divulgati in queste vulnerabilità (CVE-2025-31133, CVE-2025-52565 e CVE-2025-52881) consentono a un malintenzionato di eseguire un container breakout completo nei pool di worker e nei job Cloud Run, con conseguente escalation dei privilegi root dal container all'istanza in sandbox. Un attore con i privilegi per eseguire il deployment di un'immagine container dannosa può sfruttare queste vulnerabilità per ottenere l'accesso agli altri container all'interno dell'istanza in modalità sandbox di Cloud Run.

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

I pool di worker, i job e un numero limitato di servizi che non sono ancora stati aggiornati sono vulnerabili.

È in fase di preparazione un aggiornamento che verrà implementato all'inizio di gennaio. Questo bollettino verrà aggiornato una volta completato il lancio.

Segnala eventuali problemi relativi a questa vulnerabilità al programma Vulnerability Rewards Program di Cloud all'indirizzo g.co/vrp.

 Alta

GCP-2025-068

Data di pubblicazione: 21 novembre 2025

Descrizione

Descrizione Gravità Note

Looker ha corretto una vulnerabilità che avrebbe potuto consentire a un malintenzionato con autorizzazioni di visualizzatore in Looker di creare un URL dannoso che, se aperto da un amministratore di Looker, avrebbe eseguito uno script fornito dal malintenzionato. Lo sfruttamento richiedeva l'installazione di almeno un'estensione Looker sull'istanza.

Sia le istanze ospitate da Looker che quelle in hosting autonomo sono risultate vulnerabili.

Questo problema è già stato mitigato per le istanze ospitate da Looker.

Che cosa devo fare?

Istanze ospitate da Looker:

Non è richiesta alcuna azione del cliente.

Solo per le istanze di Looker in hosting autonomo:

Se la tua istanza di Looker è in hosting autonomo, ti consigliamo di eseguire l'upgrade delle istanze di Looker il prima possibile. Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker per le istanze self-hosted. Le seguenti versioni sono state tutte aggiornate per proteggere da questa vulnerabilità:

  • 25.16.0 e tutte le versioni successive
  • 25.12.7+
  • 25.6.66+
  • 25.0.79+
  • 24.18.201+

Puoi scaricare queste versioni di Looker dalla pagina di download di Looker: https://download.looker.com/

 Alta CVE-2025-12739

GCP-2025-067

Data di pubblicazione: 19 novembre 2025

Descrizione

Descrizione Gravità Note

Looker ha corretto una vulnerabilità che avrebbe potuto consentire a un utente malintenzionato di assumere il controllo di un account Looker in un'istanza di Looker configurata con l'autenticazione OIDC, a causa della normalizzazione della stringa dell'indirizzo email.

Sia le istanze ospitate da Looker che quelle in hosting autonomo sono risultate vulnerabili.

Questo problema è già stato mitigato per le istanze ospitate da Looker.

Che cosa devo fare?

Istanze ospitate da Looker:

Non è richiesta alcuna azione del cliente.

Solo per le istanze di Looker in hosting autonomo:

Se la tua istanza di Looker è in hosting autonomo, ti consigliamo di eseguire l'upgrade delle tue istanze di Looker il prima possibile a una delle seguenti versioni:

  • 25.10.22+
  • 25.8.39+
  • 25.6.57+
  • 25.0.69+
  • 24.18.193+
  • 24.12.100+

Puoi scaricare queste versioni di Looker dalla pagina di download di Looker: https://download.looker.com/

Nota: le release 25.12 e successive non sono interessate da questo problema di sicurezza.

 Alta CVE-2025-12414

GCP-2025-066

Data di pubblicazione: 10 novembre 2025

Ultimo aggiornamento: 27/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 27/11/2025: sono state aggiunte le versioni patch per GKE e GDC (bare metal).

Sono state scoperte tre vulnerabilità di container escape in runc, il runtime dei container di basso livello predefinito per GKE. Le vulnerabilità possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-31133
  • CVE-2025-52565
  • CVE-2025-52881

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2025-065

Data di pubblicazione: 6 novembre 2025

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità in AMD SEV-SNP (Secure Nested Paging) sulle macchine AMD Milan.

Un attacco potrebbe consentire a un hypervisor dannoso di manipolare i valori di inizializzazione RMP, con conseguente potenziale perdita dell'integrità della memoria guest AMD SEV-SNP.

Google ha implementato una mitigazione che impedisce questo problema.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente per la mitigazione. Le mitigazioni sono già state applicate alle istanze Confidential VM con AMD SEV-SNP.

Tuttavia, le istanze Confidential VM con AMD SEV-SNP ora utilizzano il formato di attestazione v4. I clienti che utilizzano la libreria go-sev-guest per analizzare i report di attestazione devono eseguire l'aggiornamento a go-sev-guest v0.14.0 o versioni successive.

Per i clienti che utilizzano i propri parser, il formato del report di attestazione è definito dalla specifica ABI del firmware SEV Secure Nested Paging.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta l'avviso di AMD AMD-SB-3020.

 Media CVE-2025-0033

GCP-2025-064

Data di pubblicazione: 28 ottobre 2025

Descrizione

Descrizione Gravità Note

In Envoy Proxy sono state rilevate le seguenti vulnerabilità:

  • CVE-2025-62504
  • CVE-2025-62409

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Media

GCP-2025-063

Data di pubblicazione: 28 ottobre 2025

Ultimo aggiornamento: 17/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/11/2025: sono state aggiunte le versioni patch per i nodi Ubuntu GKE.

Aggiornamento del 30/10/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per il software GDC per VMware

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39682

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39682

GCP-2025-062

Data di pubblicazione: 22 ottobre 2025

Ultimo aggiornamento: 30/10/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2025: sono state aggiunte versioni patch per i nodi Ubuntu su GKE, nonché versioni patch e un livello di gravità per il software GDC per VMware

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-58240

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-58240

GCP-2025-061

Data di pubblicazione: 21 ottobre 2025

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di esecuzione di codice da remoto in Valkey e Redis open source. Di conseguenza, tutte le versioni supportate da Memorystore for Redis, Memorystore for Redis Cluster e Memorystore for Valkey sono interessate.

Per impostazione predefinita, gli asset Memorystore di Google Cloud non sono esposti alla rete internet pubblica, pertanto il rischio di questa vulnerabilità è Basso per gli utenti di Memorystore che seguono le best practice per la sicurezza di Google Cloud.

Cosa dovresti fare?

Google ha iniziato ad applicare le patch automaticamente, con una data di completamento stimata per il 6 novembre 2025. Non è necessario alcun intervento da parte tua per ricevere questa correzione.

Se vuoi applicare queste patch ai tuoi cluster o alle tue istanze Memorystore prima del 6 novembre 2025, utilizza la manutenzione self-service per completare le seguenti azioni:

  1. Visualizza la versione di manutenzione attuale delle istanze Memorystore for Redis, dei cluster in Memorystore for Redis Cluster o delle istanze Memorystore for Valkey.
  2. Verifica se la versione corrisponde alle ultime versioni con patch.
  3. Se la versione non è l'ultima versione di manutenzione, aggiorna le istanze o i cluster all'ultima versione di manutenzione utilizzando la manutenzione self-service per Memorystore for Redis, Memorystore for Redis Cluster e Memorystore for Valkey.
 Critico CVE-2025-49844

GCP-2025-060

Data di pubblicazione: 21 ottobre 2025

Descrizione

Descrizione Gravità Note

Oracle ha rilasciato un avviso di sicurezza che conferma che Oracle E-Business Suite (EBS) è vulnerabile a un exploit non autenticato.

Che cosa devo fare?

Oracle EBS non viene utilizzato da Google e Google Cloud non è interessato da questa vulnerabilità.

 Bassa CVE-2025-61882

GCP-2025-059

Data di pubblicazione: 21 ottobre 2025

Ultimo aggiornamento: 22/10/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/10/2025: è stato aggiunto il link alla CVE.

Il 23 settembre 2025 abbiamo scoperto un problema tecnico nell'API Vertex AI che ha causato l'instradamento errato di un numero limitato di risposte tra i destinatari per alcuni modelli di terze parti durante l'utilizzo di richieste in streaming. Il problema è stato risolto. I modelli Google, ad esempio Gemini, non sono stati interessati.

Alcuni proxy interni non hanno gestito correttamente le richieste HTTP con un'intestazione Expect: 100-continue, causando una desincronizzazione in una connessione di risposta in streaming, in cui una risposta destinata a una richiesta è stata invece inviata come risposta per una richiesta successiva.

Che cosa devo fare?

Abbiamo implementato delle correzioni per gestire correttamente la presenza dell'intestazione Expect: 100-continue ed evitare che il problema si ripresenti. Abbiamo anche aggiunto test, monitoraggio e avvisi per poter rilevare rapidamente un'occorrenza di questo problema ed evitare la regressione. Al momento i clienti non devono intraprendere alcuna azione per impedire che si verifichi il comportamento indesiderato.

Le correzioni sono state implementate per i diversi modelli in base a pianificazioni separate, con i modelli Anthropic corretti entro il 26 settembre alle 00:45 PDT e tutte le piattaforme corrette entro il 28 settembre alle 19:10 PDT. I modelli interessati nell'API Vertex AI e l'ora della risoluzione sono elencati di seguito:

  • Modelli Partner Model-as-a-Service di Anthropic (Claude)

    • Il problema è stato risolto il 26 settembre 2025 alle 00:45 PDT.

  • Tutti i modelli Open Model-as-a-Service, tra cui: DeepSeek (R1-0528 e V3.1), OpenAI (gpt-oss-120b e gpt-oss-20b), Qwen (Next Instruct 80B, Next Thinking 80B, Qwen 3 Coder e Qwen 3 235B), Llama (Maverick, Scout, 3.3, 3.2, 3.1 405b, 3.1 70b e 3.1 8b)

    • Il problema è stato risolto il 28 settembre 2025 alle 02:43 PDT.

  • Modelli Model-as-a-Service dei partner Mistral e AI21

    • Il problema è stato risolto il 28 settembre 2025 alle 11:00 PDT.

  • Modelli di cui è stato eseguito il deployment autonomo per i quali è stato richiamato il metodo "StreamRawPredict", "ChatCompletions", "GenerateContent" o "StreamGenerateContent" utilizzando endpoint pubblici

    • Il problema è stato risolto il 28 settembre 2025 alle 19:10 PDT.

    • Né gli endpoint dedicati (l'impostazione predefinita su Model Garden) né quelli privati sono stati interessati.

Media CVE-2025-11915

GCP-2025-058

Data di pubblicazione: 20 ottobre 2025

Descrizione

Descrizione Gravità Note

È stato rilevato un difetto nell'istruzione RDSEED nei processori AMD Zen 5 (Turin). Questa istruzione viene utilizzata per generare numeri casuali crittografici. In determinate condizioni di carico del sistema, le versioni a 16 e 32 bit di RDSEED possono non riuscire senza segnalazione, il che potrebbe compromettere le applicazioni che si basano sulla generazione di numeri casuali. I clienti che utilizzano la versione a 64 bit di RDSEED non sono interessati.

Che cosa devo fare?

AMD sta indagando sulla vulnerabilità.

È importante notare che il kernel Linux a 64 bit utilizza la versione sicura a 64 bit dell'istruzione RDSEED, che fornisce i numeri casuali ottenuti da /dev/[u]random. Questi numeri casuali non sono interessati da questa vulnerabilità.

Se hai un codice dell'applicazione che sintetizza autonomamente numeri casuali utilizzando l'istruzione RDSEED, tieni presente che le versioni a 16 e 32 bit dell'istruzione non sono sicure. La versione a 64 bit dell'istruzione è sicura.

Quali vulnerabilità vengono risolte?

Questa vulnerabilità consente a un utente malintenzionato di causare un errore silenzioso di RDSEED, compromettendo potenzialmente la generazione di numeri casuali nelle applicazioni.

Alta CVE-2025-62626

GCP-2025-057

Data di pubblicazione: 17 ottobre 2025

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 27/10/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38618

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38618

GCP-2025-056

Data di pubblicazione: 16 ottobre 2025

Ultimo aggiornamento: 24 marzo 2026

Descrizione

Descrizione Gravità Note

Aggiornamento del 24/03/2026: sono state aggiunte le versioni patch per i nodi Ubuntu con GKE.

Aggiornamento del 13/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-39946

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-39946

GCP-2025-055

Data di pubblicazione: 15 ottobre 2025

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 16/10/2025: sono state aggiunte le versioni delle patch e una valutazione della gravità per il software GDC per VMware

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38617

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38617

GCP-2025-054

Data di pubblicazione: 14/10/2025

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2025-0015, sono state segnalate privatamente a Broadcom diverse vulnerabilità in VMware Aria Operations e VMware Tools. Sono disponibili patch per correggere queste vulnerabilità nei prodotti Broadcom interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation 8.18.5 e VMware Tools 13.0.5.

 Importante

GCP-2025-053

Data di pubblicazione: 30 settembre 2025

Descrizione

Descrizione Gravità Note

Looker Studio ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il Vulnerability Reward Program (VRP) di Google e Alphabet, ma non ha trovato prove di sfruttamento. Questi problemi sono stati risolti e non è necessario alcun intervento da parte dell'utente.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

Quali vulnerabilità vengono risolte?

Le vulnerabilità consentivano l'accesso non autorizzato ai dati tramite report condivisi, origini dati con credenziali del visualizzatore, l'API Studio Linking e l'analisi conversazionale.

 Alta

GCP-2025-052

Data di pubblicazione: 30 settembre 2025

Descrizione

Descrizione Gravità Note

Looker ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il Vulnerability Reward Program (VRP) di Google e Alphabet, ma non ha trovato prove di sfruttamento. Questi problemi sono stati risolti e non è necessario alcun intervento da parte degli utenti per i clienti di Looker (Google Cloud core) e Looker (original) ospitati da Looker. Per le istanze Looker in hosting autonomo, si consiglia di eseguire l'aggiornamento all'ultima versione supportata.

Che cosa devo fare?

Istanze ospitate da Looker: istanze di Looker (Google Cloud core) e Looker (originale)

Non è richiesta alcuna azione del cliente.

Solo istanze di Looker ospitate autonomamente

Se la tua istanza di Looker è in hosting autonomo, ti consigliamo di eseguire l'upgrade delle istanze di Looker a una delle seguenti versioni:

  • 25.12.30+
  • 25.10.54+
  • 25.6.79+
  • 25.0.89+
  • 24.18.209+

Nota: le release 25.14 e successive non sono interessate da questi problemi di sicurezza.

Quali vulnerabilità vengono risolte?

Le vulnerabilità consentivano agli utenti con autorizzazioni di sviluppatore in Looker di accedere sia al sistema sottostante che ospita Looker sia al suo database interno.

 Alta

GCP-2025-051

Data di pubblicazione: 11 settembre 2025

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità della sicurezza che interessa le CPU Intel e tutte le CPU AMD Zen. Questa vulnerabilità consente a un malintenzionato di leggere potenzialmente dati sensibili sfruttando vulnerabilità di esecuzione speculativa note.

Che cosa devo fare?

Al momento non è richiesta alcuna azione, poiché Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per mitigare il problema in modo non invasivo in tutto il parco risorse.

Quali vulnerabilità vengono risolte?

Per saperne di più, consulta il blog post di COMSEC.

 Alta CVE-2025-40300

GCP-2025-050

Data di pubblicazione: 10 settembre 2025

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 15/10/2025: sono state aggiunte le versioni patch e una valutazione della gravità per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38500

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38500

GCP-2025-049

Data di pubblicazione: 10 settembre 2025

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità critica in Google Security Operations SOAR versioni 6.3.54.0 e 6.3.53.2. Un utente autenticato con le autorizzazioni per caricare file ZIP (ad esempio, durante l'importazione di casi d'uso) potrebbe caricare un archivio ZIP in grado di scrivere file in posizioni arbitrarie nel file system del server.

Il sistema per l'estrazione di file da file ZIP non è riuscito a impedire che i file all'interno dell'archivio venissero scritti al di fuori della cartella di destinazione prevista. Questa vulnerabilità è nota anche come Directory Traversal o Zip Slip.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. È stato eseguito l'upgrade automatico di tutti i clienti alla versione corretta o successiva: 6.3.54.1 o 6.3.53.3

Quali vulnerabilità vengono risolte?

Un utente malintenzionato potrebbe sfruttare questa vulnerabilità per sovrascrivere i file dell'applicazione. Sovrascrivendo un file JavaScript utilizzato dalla funzionalità di generazione dei report, un malintenzionato potrebbe ottenere l'esecuzione di codice remoto (RCE) nell'istanza Google SecOps SOAR. L'utente malintenzionato potrebbe eseguire il proprio codice sul server.

Per saperne di più, consulta il bollettino sulla sicurezza di Google SecOps GCP-2025-049.

Alta CVE-2025-9918

GCP-2025-048

Data di pubblicazione: 2 settembre 2025

Descrizione

Descrizione Gravità Note

La seguente vulnerabilità è stata rilevata in Envoy Proxy:

  • CVE-2025-54588

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2025-54588

GCP-2025-047

Data di pubblicazione: 27 agosto 2025

Ultimo aggiornamento: 25/09/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38350

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38350

GCP-2025-046

Data di pubblicazione: 23 agosto 2025

Ultimo aggiornamento: 11/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/11/2025: sono state aggiunte versioni patch per i node pool Ubuntu in GKE.

Aggiornamento del 15/10/2025: sono state aggiunte le versioni patch e una valutazione della gravità per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38477

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38477

GCP-2025-045

Data di pubblicazione: 21 agosto 2025

Descrizione

Descrizione Gravità Note

Un ricercatore esterno ha segnalato una vulnerabilità nell'API Dataform tramite il Vulnerability Reward Program (VRP) di Google e Alphabet. Questa vulnerabilità potrebbe consentire l'accesso non autorizzato ai repository di codice e ai dati dei clienti. Google ha risolto rapidamente il problema e ha rilasciato la correzione in tutte le regioni. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Google ha già applicato mitigazioni a tutti i prodotti e servizi interessati.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta CVE-2025-9118.

 Critico CVE-2025-9118

GCP-2025-044

Data di pubblicazione: 12 agosto 2025

Descrizione

Descrizione Gravità Note

Intel ha informato Google di due nuove vulnerabilità della sicurezza.

CVE-2025-21090: questa vulnerabilità interessa i seguenti processori Intel:

  • Sapphire Rapids: famiglie di VM C3, Z3, H3, A3, v5p
  • Emerald Rapids: famiglie di VM N4, C4, M4, A3 Ultra, A4
  • Granite Rapids: famiglia di VM N4, C4

CVE-2025-22840: questa vulnerabilità interessa il seguente processore Intel:

  • Granite Rapids: famiglia di VM N4, C4

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente per nessuna delle due vulnerabilità. Google aggiornerà in modo proattivo i tuoi sistemi durante i periodi di manutenzione standard e pianificati. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Quali vulnerabilità vengono affrontate?

La vulnerabilità, CVE-2025-21090, consente a un attore non privilegiato che utilizza l'istruzione della CPU AMX, insieme all'istruzione della CPU AVX, di rendere inutilizzabile la macchina host.

La vulnerabilità, CVE-2025-22840, consente a un attore non privilegiato che utilizza l'istruzione CPU prefetchit di caricare contenuti della memoria a cui altrimenti non avrebbe accesso, con la possibilità di esecuzione di codice da remoto.

 Media

GCP-2025-043

Data di pubblicazione: 12 agosto 2025

Descrizione

Descrizione Gravità Note

Esiste una potenziale vulnerabilità di tipo Denial of Service (DoS) nell'implementazione pure-Python di protobuf-python. Un utente malintenzionato può causare l'arresto anomalo di un servizio inviando un messaggio appositamente creato.

Impatto

Potresti essere interessato se importi protobuf-python nei tuoi progetti, direttamente o in modo transitivo. Tieni presente che le librerie client di Cloud per Python utilizzano protobuf-python come dipendenza. Se utilizzi queste librerie, assicurati di utilizzare una versione di protobuf-python menzionata nella sezione seguente.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • protobuf-python (4.25.8, 5.29.5, 6.31.1)

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

La vulnerabilità deriva dalla ricorsione illimitata quando il backend pure-Python analizza determinati messaggi buffer di protocollo. Un utente malintenzionato non autenticato può inviare un messaggio contenente gruppi ricorsivi, messaggi o una serie di tag SGROUP con un livello di nidificazione elevato. Questo input fa sì che l'interprete Python superi la profondità massima di ricorsione, attivando un RecursionError che causa l'arresto anomalo del servizio, con conseguente Denial of Service. Qualsiasi progetto che analizza dati non attendibili con il backend interessato è a rischio.

Per saperne di più, consulta l'avviso di sicurezza di Protobuf.

Alta

CVSS v4.0

Punteggio: 8.2

 CVE-2025-4565

Questo problema riguarda solo il backend di implementazione di Protobuf python.

Indipendentemente dal valore restituito durante il controllo del backend di implementazione di Protobuf, è consigliabile eseguire l'upgrade, poiché la variabile di ambiente PROTOCOL_BUFFERS_PYTHON_IMPLEMENTATION può modificare il backend di implementazione di Protobuf durante il runtime.

GCP-2025-042

Data di pubblicazione: 11 agosto 2025

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità di sicurezza in specifiche CPU Intel, incluse quelle basate sulle microarchitetture Skylake, Broadwell e Haswell. Questa vulnerabilità consente a un malintenzionato di leggere potenzialmente dati sensibili direttamente dalla cache L1 della CPU a cui non è autorizzato ad accedere.

Questa vulnerabilità è stata inizialmente divulgata in CVE-2018-3646 nel 2018. Dopo aver scoperto questa vulnerabilità, Google ha implementato immediatamente delle mitigazioni che hanno affrontato i rischi noti. La comunicazione relativa alla vulnerabilità e alle correzioni iniziali è stata pubblicata in quel momento. Da allora abbiamo effettuato ricerche sul rischio residuo e collaborato con la community Linux upstream per rimediare a questo rischio.

Di recente abbiamo collaborato con ricercatori di sicurezza del mondo accademico per valutare lo stato dell'arte delle mitigazioni della sicurezza della CPU e le potenziali tecniche di attacco non prese in considerazione nel 2018.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per mitigare il problema.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Le mitigazioni sono già state applicate al parco server di Google.

Quali vulnerabilità vengono affrontate?

Per saperne di più, consulta l'avviso di Intel INTEL-SA-00161 e CVE-2018-3646.

 Alta CVE-2018-3646

GCP-2025-041

Data di pubblicazione: 21 luglio 2025

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu:

  • CVE-2025-37890

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37890

GCP-2025-040

Data di pubblicazione: 15 luglio 2025

Descrizione

Descrizione Gravità Note

In base all'avviso VMSA-2025-0013, diverse vulnerabilità in VMware ESXi sono state segnalate privatamente a Broadcom.

Abbiamo già applicato le patch per queste vulnerabilità o stiamo applicando le patch necessarie fornite da Broadcom. Non sono note soluzioni alternative per queste vulnerabilità segnalate.

Una volta applicata la patch, i deployment di VMware Engine dovrebbero eseguire ESXi 7.0U3w o ESXi 8.0U3f o versioni successive.

Che cosa devo fare?

Google consiglia ai clienti di monitorare i propri workload su VMware Engine per rilevare eventuali attività insolite.

 Da medio a critico

GCP-2025-039

Data di pubblicazione: 15 luglio 2025

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Aggiornamento del 28/08/2025: sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38083

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38083

GCP-2025-038

Data di pubblicazione: 9 luglio 2025

Ultimo aggiornamento: 25/09/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37752

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37752

GCP-2025-037

Data di pubblicazione: 8 luglio 2025

Descrizione Gravità Note

AMD ha divulgato due vulnerabilità che interessano le CPU AMD EPYC di 2ª generazione (Rome), 3ª generazione (Milan) e 4ª generazione (Genoa). Le vulnerabilità consentono a un malintenzionato di dedurre i dati da archivi precedenti o dalla cache L1D, con la potenziale perdita di informazioni sensibili.

Google ha implementato una mitigazione che impedisce questa fuga di informazioni tra le VM.

Esiste ancora la possibilità che i processi all'interno di una singola VM possano sfruttare queste vulnerabilità.

Che cosa devo fare?

Dopo l'8 luglio 2025, sarà disponibile una mitigazione a livello di guest che protegge dagli attacchi intra-guest per le seguenti VM:

  • VM avviate per la prima volta.
  • VM che vengono arrestate completamente e avviate di nuovo. I riavvii del sistema operativo non attiveranno la mitigazione, pertanto la VM stessa deve essere riavviata completamente per attivare la mitigazione. Affinché questa mitigazione sia efficace, i kernel del sistema operativo guest devono supportarla.

Per saperne di più, consulta il bollettino sulla sicurezza di AMD AMD-SB-7029.

Media

GCP-2025-036

Data di pubblicazione: 1° luglio 2025

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Aggiornamento del 21/07/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38001

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38001

GCP-2025-035

Data di pubblicazione: 17 giugno 2025

Ultimo aggiornamento: 10/11/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/11/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Aggiornamento del 21/07/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37997

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37997

GCP-2025-034

Data di pubblicazione: 17 giugno 2025

Ultimo aggiornamento: 21 luglio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/07/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-38000

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-38000

GCP-2025-033

Data di pubblicazione: 6 giugno 2025

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza per cui gli utenti malintenzionati potrebbero essere in grado di aggirare le restrizioni di isolamento dei workload sui cluster GKE.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media N/D

GCP-2025-032

Data di pubblicazione: 3 giugno 2025

Ultimo aggiornamento: 21 luglio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/07/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37798

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37798

GCP-2025-031

Data di pubblicazione: 3 giugno 2025

Ultimo aggiornamento: 26/08/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/08/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-37797

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-37797

GCP-2025-030

Data di pubblicazione: 23 maggio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2024-0017, una vulnerabilità di SQL injection in VMware Aria Automation è stata segnalata privatamente a VMware. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation KB325790.

Importante

GCP-2025-029

Data di pubblicazione: 23 maggio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2025-0006, una vulnerabilità di escalation dei privilegi locali in VMware Aria Operations è stata segnalata in modo responsabile a VMware. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Operations 8.18 HF5.

Importante

GCP-2025-028

Data di pubblicazione: 23 maggio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2025-0003, sono state segnalate privatamente a VMware diverse vulnerabilità in VMware Aria Operations for Logs e VMware Aria Operations. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Operations for Logs 8.18.3 e VMware Aria Operations 8.18.3.

Importante

GCP-2025-027

Data di pubblicazione: 16 maggio 2025

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità della sicurezza nel servizio del bilanciatore del carico delle applicazioni classico prima del 26 aprile 2025.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Il problema è stato risolto nel servizio Bilanciatore del carico delle applicazioni classico il 26 aprile 2025.

Quali vulnerabilità vengono affrontate?

CVE-2025-4600 consentiva agli utenti malintenzionati di eseguire il contrabbando di richieste ai bilanciatori del carico delle applicazioni classici a causa di un'analisi errata dei corpi dei blocchi di dimensioni eccessive. Durante l'analisi del corpo della richiesta di una richiesta HTTP che utilizza la codifica di trasferimento in blocchi, il bilanciatore del carico delle applicazioni classico consente corpi di blocchi di dimensioni eccessive. Di conseguenza, era possibile nascondere byte all'interno di questi dati finali ignorati che un server HTTP upstream avrebbe potuto interpretare erroneamente come un terminatore di riga. Questa vulnerabilità è stata risolta all'interno del servizio del bilanciatore del carico delle applicazioni classico il 26 aprile 2025 tramite una logica di analisi e convalida degli input migliorata.

Siamo a tua disposizione

Per qualsiasi domanda o se hai bisogno di aiuto, contatta l'assistenza clienti Google Cloud.

 Alta CVE-2025-4600

GCP-2025-026

Data di pubblicazione: 15 maggio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza di VMware VMSA-2025-0008, una vulnerabilità di cross-site scripting (XSS) basata su DOM in VMware Aria Automation è stata segnalata privatamente a VMware. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation 8.18.1 patch 2.

Importante

GCP-2025-025

Data di pubblicazione: 13 maggio 2025

Descrizione

Descrizione Gravità Note

Intel ha informato Google di una nuova vulnerabilità del canale laterale che interessa i seguenti processori Intel: CascadeLake, Ice Lake XeonSP, Ice Lake XeonD, Sapphire Rapids ed Emerald Rapids.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Sono già state applicate correzioni al parco server di Google per proteggere i clienti.

Quali vulnerabilità vengono affrontate?

CVE-2024-45332. Per saperne di più, consulta l'avviso di Intel INTEL-SA-01247.

Siamo a tua disposizione

Per domande o per assistenza, contatta l'assistenza clienti Google Cloud e menziona il codice problema 417536835.

 Alta CVE-2024-45332

GCP-2025-024

Data di pubblicazione: 12 maggio 2025

Ultimo aggiornamento: 13 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 13 maggio 2025: per domande o per assistenza, contatta l'assistenza clienti Google Cloud e menziona il codice problema 417458390.

Intel ha informato Google di una nuova vulnerabilità di esecuzione speculativa che interessa i processori Intel Cascade Lake e Intel Ice Lake.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Le mitigazioni sono già state applicate al parco server di Google.

Ulteriori mitigazioni da parte dei produttori di apparecchiature originali (OEM) di Intel e di altri partner di sistemi operativi verranno implementate non appena saranno disponibili per mitigare la vulnerabilità ITS (Indirect Target Selection) in modalità identica.

Dopo l'applicazione delle mitigazioni del sistema operativo, i clienti con VM di 3ª generazione o successive con un tempo di esecuzione lungo potrebbero riscontrare un peggioramento involontario delle prestazioni

Quali vulnerabilità vengono affrontate?

CVE-2024-28956. Per saperne di più, consulta l'avviso di sicurezza Intel INTEL-SA-01153.

 Alta CVE-2024-28956

GCP-2025-023

Data di pubblicazione: 5 maggio 2025

Descrizione

Descrizione Gravità Note

Sono state scoperte e risolte potenziali lacune di sicurezza che potrebbero essere sfruttate se non vengono affrontate nelle policy JavaCallout e PythonScript.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Apigee.

Alta CVE-2023-44487

GCP-2025-022

Data di pubblicazione: 1° maggio 2025

Ultimo aggiornamento: 22 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21702

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21702

GCP-2025-021

Data di pubblicazione: 29 aprile 2025

Ultimo aggiornamento: 2 giugno 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 2 giugno 2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21971

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21971

GCP-2025-020

Data di pubblicazione: 29 aprile 2025

Descrizione

Descrizione Gravità Note

Una vulnerabilità in Looker consentiva agli utenti con autorizzazioni amministrative (nello specifico: manage_project_connections_restricted) in Looker di leggere i file dal file system host sottostante e di eseguire query sugli endpoint di rete interni. Il problema è stato risolto e non è necessario alcun intervento da parte degli utenti per i clienti ospitati da Looker che utilizzano Looker (Google Cloud core) e Looker (originale). Per le istanze Looker in hosting autonomo, si consiglia di eseguire l'aggiornamento all'ultima versione supportata.

Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker ospitato dal cliente, disponibili nella pagina di download di Looker.

Che cosa devo fare?

  • Per tutte le istanze ospitate da Looker, incluse quelle di Looker (Google Cloud core) e Looker (originale), non è necessario alcun intervento da parte tua.
  • Per le istanze di Looker ospitate dal cliente, esegui l'aggiornamento all'ultima versione supportata di Looker il prima possibile. Le versioni riportate di seguito sono state tutte aggiornate per proteggere da questa vulnerabilità. Puoi scaricare queste versioni dalla pagina di download di Looker:
    • 25.4 -> 25.4.29+
    • 25.2 -> 25.2.34+
    • 25.0 -> 25.0.55+
    • 24.18 -> 24.18.185+
    • 01:12:24,458 --> 01:12:25,458
    • 24.6 -> 24.6.107+
 Alta

GCP-2025-019

Data di pubblicazione: 25 aprile 2025

Ultimo aggiornamento: 26/06/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/06/2025: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 22 maggio 2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-21701

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21701

GCP-2025-018

Data di pubblicazione: 23 aprile 2025

Ultimo aggiornamento: 9 ottobre 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 9 ottobre 2025: sono state aggiunte le versioni patch per i nodi Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2025-40364

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-40364

GCP-2025-017

Data di pubblicazione: 17 aprile 2025

Ultimo aggiornamento: 22 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 05/05/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21756

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21756

GCP-2025-016

Data di pubblicazione: 16/04/2025

Ultimo aggiornamento: 22 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 29/04/2025: aggiunta della versione patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2023-52927

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-52927

GCP-2025-015

Data di pubblicazione: 15 aprile 2025

Ultimo aggiornamento: 22 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 17/04/2025: sono state aggiunte le versioni patch per GDC (VMware). Aggiornamento della gravità di GDC (VMware) da In attesa ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21700

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21700

GCP-2025-014

Data di pubblicazione: 10 aprile 2025

Ultimo aggiornamento: 22 maggio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/05/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 05/05/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2025-21703

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2025-21703

GCP-2025-013

Data di pubblicazione: 24 marzo 2025

Descrizione

Descrizione Gravità Note

Sono stati rilevati diversi problemi di sicurezza nel controller Ingress NGINX, ingress-nginx, un componente software open source che viene eseguito all'interno dei cluster Kubernetes per facilitare la gestione del traffico di rete in entrata nel cluster. La più critica è CVE-2025-1974. Per i dettagli completi e un elenco completo, consulta il feed CVE di Kubernetes.

Questi problemi influiscono su ingress-nginx. Se non hai installato ingress-nginx sul tuo cluster, non sei interessato.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2025-1974

GCP-2025-012

Data di pubblicazione: 19/03/2025

Ultimo aggiornamento: 10/04/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/04/2025: sono state aggiunte le versioni patch per i nodi Ubuntu GKE e il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-53164

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-53164

GCP-2025-011

Data di pubblicazione: 6 marzo 2025

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2025-0004 che interessano i componenti ESXi distribuiti negli ambienti dei clienti.

Impatto di VMware Engine

I tuoi cloud privati sono già stati corretti o sono in fase di aggiornamento per risolvere la vulnerabilità di sicurezza. Nell'ambito del servizio VMware Engine, tutti i clienti ricevono host bare metal dedicati con dischi collegati localmente, fisicamente isolati da altro hardware. Ciò significa che la vulnerabilità è limitata solo alle VM guest all'interno del tuo cloud privato specifico.

I tuoi cloud privati verranno aggiornati alla versione 7.0u3s, numero build 24534642. Questo equivale a 7.0U3s: numero build 24585291.

Che cosa devo fare?

Segui le istruzioni di Broadcom e dei tuoi fornitori di sicurezza in merito a questa vulnerabilità.

Critico

GCP-2025-010

Data di pubblicazione: 5 marzo 2025

Ultimo aggiornamento: 2 giugno 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 02/06/2025: sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 10/04/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-56770

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-56770

GCP-2025-009

Data di pubblicazione: 5 marzo 2025

Descrizione

Descrizione Gravità Note

Il progetto Envoy ha recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2024-53269, CVE-2024-53270 e CVE-2024-53271) che potrebbero consentire a un malintenzionato di causare l'arresto anomalo di Envoy.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2025-008

Data di pubblicazione: 19 febbraio 2025

Ultimo aggiornamento: 10/04/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/04/2025: sono state aggiunte le versioni patch per il software GDC per VMware. La gravità del software GDC per VMware è stata aggiornata ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-53141

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-53141

GCP-2025-007

Data di pubblicazione: 3 febbraio 2025

Descrizione

Descrizione Gravità Note

Google ha scoperto una vulnerabilità nelle CPU basate su AMD Zen che interessa le istanze Confidential VM con AMD SEV-SNP abilitato. Questa vulnerabilità consente agli utenti malintenzionati con accesso root in una macchina fisica di compromettere la riservatezza e l'integrità dell'istanza Confidential VM.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. I clienti che vogliono verificare la correzione possono controllare la versione della Trusted Computing Base (TCB) nel report di attestazione della propria istanza Confidential VM con AMD SEV-SNP. Le versioni minime che mitigano questa vulnerabilità sono le seguenti:

SNP TCB SVN: 0x18 0d24
tcb_version {
  psp_bootloader_version: 4
  snp_firmware_version: 24 (0x18)
  microcode_version: 219
}

Per saperne di più, consulta il bollettino sulla sicurezza di AMD AMD-SB-3019.

 Alta

CVE-2024-56161

GCP-2025-006

Data di pubblicazione: 23 gennaio 2025

Descrizione

Descrizione Gravità Note

Una vulnerabilità nel provider Google Secret Manager per il driver CSI Secret Store consente a un utente malintenzionato con autorizzazioni di creazione di pod e secret in uno spazio dei nomi di esfiltrare il token account di servizio Kubernetes del driver CSI montando un volume dannoso su un pod.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2025-005

Data di pubblicazione: 22 gennaio 2025

Descrizione

Descrizione Gravità Note

I server che utilizzano le librerie di autenticazione di Google e le librerie client di Cloud per l'autenticazione su Google Cloud con una configurazione delle credenziali controllata da un utente malintenzionato potrebbero essere soggetti a falsificazione delle richieste lato server e letture di file arbitrarie.

Che cosa devo fare?

Se accetti una configurazione delle credenziali (JSON, file o stream delle credenziali) da una fonte esterna per l'autenticazione in Google Cloud, devi convalidarla prima di fornirla alle librerie di autenticazione di Google o alle librerie client di Cloud. Se fornisci una configurazione delle credenziali non convalidata alle librerie Google, puoi compromettere la sicurezza dei tuoi sistemi e dei tuoi dati. Per saperne di più, consulta Convalida le configurazioni delle credenziali da origini esterne.

Quali vulnerabilità vengono affrontate?

Alcuni tipi di configurazioni delle credenziali includono endpoint e percorsi file, che vengono utilizzati dalle librerie di autenticazione per acquisire un token. Quando un servizio o un'applicazione accetta configurazioni delle credenziali di origine esterna e le utilizza con le librerie di autenticazione di Google o le librerie client di Cloud senza convalida, un utente malintenzionato può fornire una configurazione delle credenziali che contiene un endpoint o un percorso dannoso. Ciò consente all'utente malintenzionato di esfiltrare dati o token dal servizio o dalla macchina su cui è in esecuzione il servizio. Per evitare questo problema, le convalide devono essere eseguite sulla configurazione delle credenziali di origine esterna, come descritto in Convalida le configurazioni delle credenziali da origini esterne.

Per informare gli sviluppatori di applicazioni, abbiamo aggiornato la nostra documentazione con le convalide da eseguire quando si accettano configurazioni delle credenziali ottenute da fonti esterne.

Alta

GCP-2025-004

Data di pubblicazione: 16 gennaio 2025

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2025-0001, una vulnerabilità di tipo Server-Side Request Forgery (SSRF) in VMware Aria Automation è stata segnalata in modo responsabile a VMware. Sono disponibili patch per correggere questa vulnerabilità nei prodotti VMware interessati.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Automation 8.18.2 HF.

Media

GCP-2025-003

Data di pubblicazione: 9 gennaio 2025

Ultimo aggiornamento: 23/01/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 23 gennaio 2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-50264

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-50264

GCP-2025-002

Data di pubblicazione: 9 gennaio 2025

Ultimo aggiornamento: 23/01/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 23/01/2025: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 22/01/2025: sono state aggiunte le versioni patch per GDC (VMware). La gravità per GDC (VMware) è stata aggiornata a Media.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-53057

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-53057

GCP-2025-001

Data di pubblicazione: 8 gennaio 2025

Ultimo aggiornamento: 23/01/2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 23/01/2025: è stata aggiornata la sezione Risorse interessate nella scheda GKE.

Aggiornamento dell'8 gennaio 2025: sono state corrette la data e l'ora di inizio del problema.

Un problema di sicurezza ha interessato le risorse nei VPC con gateway multi-cluster (MCG) GKE configurato. MCG è una funzionalità facoltativa utilizzata da un piccolo sottoinsieme di clienti GKE. Stiamo informando individualmente i clienti che avevano attivato la funzionalità durante questo periodo di tempo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta Nessuno

GCP-2024-065

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-53269: Happy Eyeballs: convalida che additional_address siano indirizzi IP anziché arrestarsi in modo anomalo durante l'ordinamento.
  • CVE-2024-53270: HTTP/1: l'invio di un sovraccarico causa un arresto anomalo quando la richiesta viene reimpostata in anticipo.
  • CVE-2024-53271: HTTP/1.1 Problemi multipli con envoy.reloadable_features.http1_balsa_delay_reset.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-064

Data di pubblicazione : 10 dicembre 2024

Descrizione Gravità Note

In base al bollettino sulla sicurezza di VMware VMSA-2024-0022, sono state segnalate in modo responsabile a VMware diverse vulnerabilità in VMware Aria Operations. Sono disponibili aggiornamenti per correggere queste vulnerabilità nel prodotto VMware interessato.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware Aria Operations 8.18.2.

Importante

GCP-2024-063

Data di pubblicazione: 6 dicembre 2024

Descrizione Gravità Note

È stata rilevata una vulnerabilità nell'API Vertex AI che gestisce le richieste multimodali di Gemini, consentendo il bypass dei Controlli di servizio VPC. Un malintenzionato potrebbe essere in grado di utilizzare in modo improprio il parametro fileURI dell'API per esfiltrare i dati.

Che cosa devo fare?

Nessuna azione richiesta. Abbiamo implementato una correzione per restituire un messaggio di errore quando un URL di un file multimediale viene specificato nel parametro fileUri e i Controlli di servizio VPC sono abilitati. Altri casi d'uso non sono interessati.

Quali vulnerabilità vengono risolte?

L'API Cloud Support che gestisce le richieste multimodali di Gemini ti consente di includere file multimediali specificando l'URL del file multimediale nel parametro fileUri. Questa funzionalità può essere utilizzata per bypassare i perimetri dei Controlli di servizio VPC. Un utente malintenzionato all'interno del perimetro di servizio potrebbe codificare i dati sensibili nel parametro fileURI per bypassare il perimetro di servizio.

Media CVE-2024-12236

GCP-2024-062

Data di pubblicazione: 2 dicembre 2024

Ultimo aggiornamento: 22 gennaio 2025

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/01/2025: sono state aggiunte le versioni patch per GDC (VMware). Aggiornamento della gravità di GDC (VMware) da In attesa ad Alta.

Aggiornamento del 12/12/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-46800

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-46800

GCP-2024-061

Data di pubblicazione: 25 novembre 2024

Descrizione

Descrizione Gravità Note

Un problema di sicurezza rilevato nei cluster Kubernetes potrebbe comportare l'esecuzione di codice da remoto utilizzando un volume gitRepo. Se il repository Git è costruito in modo dannoso, un utente con la possibilità di creare un pod e associare un volume gitRepo potrebbe eseguire comandi arbitrari oltre il confine del container.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-10220

GCP-2024-060

Data di pubblicazione: 17/10/2024

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2024-0020, sono state segnalate in modo responsabile a VMware diverse vulnerabilità in VMware NSX.

La versione NSX-T in esecuzione nel tuo ambiente VMware Engine non è interessata da CVE-2024-38815, CVE-2024-38818 o CVE-2024-38817.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Media

GCP-2024-059

Data di pubblicazione: 16/10/2024

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2024-0021, una vulnerabilità di SQL injection autenticata in VMware HCX è stata segnalata privatamente a VMware.

Abbiamo applicato la mitigazione approvata da VMware per risolvere questa vulnerabilità. Questa correzione risolve una vulnerabilità di sicurezza descritta in CVE-2024-38814. Le versioni immagine in esecuzione nel tuo cloud privato VMware Engine non riflettono alcuna modifica in questo momento per indicare le modifiche applicate. Sono state installate le mitigazioni appropriate e il tuo ambiente è protetto da questa vulnerabilità.

Che cosa devo fare?

Ti consigliamo di eseguire l'upgrade a VMware HCX versione 4.9.2.

Alta

GCP-2024-058

Data di pubblicazione: 16 ottobre 2024

Descrizione

Descrizione Gravità Note

Le versioni da 1.1.0 a 1.2.2 di Migrate to Containers per Windows hanno creato un m2cuser locale con privilegi amministrativi. Questo comportava un rischio per la sicurezza se i comandi analyze o generate venivano interrotti dall'utente o a causa di un errore interno che causava l'omissione dell'azione di eliminazione dell'utente locale m2cuser.

Che cosa devo fare?

Le seguenti versioni dell'interfaccia a riga di comando di Migrate to Containers per Windows sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire manualmente l'upgrade della versione dell'interfaccia a riga di comando di Migrate to Containers alla versione seguente o successiva:

Quali vulnerabilità vengono affrontate?

La vulnerabilità CVE-2024-9858 consente a un utente malintenzionato di ottenere l'accesso amministratore alle macchine Windows interessate utilizzando l'utente amministratore locale creato dal software Migrate to Containers.

 Media CVE-2024-9858

GCP-2024-057

Data di pubblicazione: 3 ottobre 2024

Ultimo aggiornamento: 19/11/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/11/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 15/10/2024: sono state aggiunte le versioni patch per GDC (VMware). Aggiornati i livelli di gravità di GKE e GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-45016

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2024-45016

GCP-2024-056

Data di pubblicazione: 27 settembre 2024

Descrizione

Descrizione Gravità Note

È stata scoperta una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux. Un malintenzionato può sfruttare questa vulnerabilità se i servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno

GCP-2024-055

Data di pubblicazione: 24 settembre 2024

Descrizione

Descrizione Gravità Note

Una vulnerabilità di HTTP Request Smuggling in Looker ha consentito a un utente malintenzionato non autorizzato di acquisire risposte HTTP destinate a utenti legittimi.

Esistono due versioni di Looker ospitate da Looker:

  • Looker (Google Cloud core) è risultato vulnerabile. Questo problema è già stato mitigato e la nostra indagine non ha rilevato segni di sfruttamento.
  • Looker (originale) non era vulnerabile a questo problema.

Le istanze di Looker ospitate dal cliente sono risultate vulnerabili e devono essere aggiornate a una delle versioni riportate di seguito.

Questa vulnerabilità è stata corretta in tutte le versioni supportate di Looker ospitato dal cliente, disponibili nella pagina di download di Looker.

Che cosa devo fare?

  • Per tutte le istanze ospitate da Looker, incluse quelle di Looker (Google Cloud core), non è richiesta alcuna azione da parte tua.
  • Per le istanze di Looker ospitate dal cliente, esegui l'aggiornamento all'ultima versione supportata di Looker il prima possibile. Le versioni riportate di seguito sono state tutte aggiornate per proteggere da questa vulnerabilità. Puoi scaricare queste versioni dalla pagina di download di Looker:
    • 01:23:33,583 --> 01:23:35,333
    • 23.18 -> 23.18.117+
    • 24.0 -> 24.0.92+
    • 24.6 -> 24.6.77+
    • 00:00:08,176 --> 00:00:10,240
    • 24.10 -> 24.10.78+
    • 24.12 -> 24.12.56+
    • 24.14 -> 24.14.37+

Quali vulnerabilità vengono affrontate?

La vulnerabilità, CVE-2024-8912, consente a un attaccante di inviare intestazioni della richiesta HTTP create ad hoc a Looker, con la possibile intercettazione di risposte HTTP destinate ad altri utenti.

Queste risposte potrebbero contenere informazioni sensibili.

Questa vulnerabilità è sfruttabile solo in determinate configurazioni specifiche.

Media CVE-2024-8912

GCP-2024-054

Data di pubblicazione: 23 settembre 2024

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei container e gli utenti NT AUTHORITY\Authenticated potrebbero essere in grado di modificare i log dei container.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2024-5321

GCP-2024-053

Data di pubblicazione: 19 settembre 2024

Descrizione

Descrizione Gravità Note

Durante l'analisi di campi sconosciuti nelle librerie Protobuf Java Full e Lite, un messaggio creato con intenti dannosi può causare un errore StackOverflow e l'arresto anomalo del programma.

Che cosa devo fare?

Abbiamo lavorato diligentemente per risolvere il problema e abbiamo rilasciato una mitigazione che è ora disponibile. Ti consigliamo di utilizzare le ultime versioni dei seguenti pacchetti software:

  • protobuf-java (3.25.5, 4.27.5, 4.28.2)
  • protobuf-javalite (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin (3.25.5, 4.27.5, 4.28.2)
  • protobuf-kotlin-lite (3.25.5, 4.27.5, 4.28.2)
  • com-protobuf [solo gem JRuby] (3.25.5, 4.27.5, 4.28.2)

Quali vulnerabilità vengono affrontate da questa patch?

Questa vulnerabilità è un potenziale Denial of Service.

L'analisi dei gruppi nidificati come campi sconosciuti con DiscardUnknownFieldsParser o il parser Java Protobuf Lite, o rispetto ai campi della mappa Protobuf, crea ricorsioni illimitate di cui un aggressore può abusare.

Punteggio CVSS4.0: 8.7

Alta

 CVE-2024-7254

GCP-2024-052

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-45807: arresto anomalo di oghttp2 su OnBeginHeadersForStream
  • CVE-2024-45808: inserimento di log dannosi tramite i log di accesso
  • CVE-2024-45806: potenziale manipolazione delle intestazioni "x-envoy" da origini esterne
  • CVE-2024-45809: arresto anomalo del filtro JWT nella cache di route vuota con JWK remoti
  • CVE-2024-45810: Envoy si arresta in modo anomalo per LocalReply nel client asincrono http

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Da medio ad alto

GCP-2024-051

Data di pubblicazione: 18 settembre 2024

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2024-0019 che interessano i componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di VMware Engine

  • Google ha già disattivato qualsiasi potenziale exploit di questa vulnerabilità. Ad esempio, Google ha bloccato le porte attraverso le quali questa vulnerabilità potrebbe essere sfruttata.
  • Inoltre, Google garantisce che tutti i deployment futuri di vCenter non siano esposti a questa vulnerabilità.

Che cosa devo fare?

Non sono richieste ulteriori azioni in questo momento.

Critico

GCP-2024-050

Data di pubblicazione: 4 settembre 2024

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità di esecuzione di codice da remoto (CVE-2024-38063) in Windows. Un aggressore potrebbe sfruttare questa vulnerabilità da remoto inviando pacchetti IPv6 appositamente creati a un host.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2024-38063

GCP-2024-049

Data di pubblicazione : 21 agosto 2024

Ultimo aggiornamento: 1° novembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 01/11/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 21/10/2024: sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-36978

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-36978

GCP-2024-048

Data di pubblicazione : 20 agosto 2024

Ultimo aggiornamento: 30 ottobre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 25/10/2024: sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-41009

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-41009

GCP-2024-047

Data di pubblicazione: 19 agosto 2024

Ultimo aggiornamento: 30 ottobre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 21/10/2024: sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-39503

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-39503

GCP-2024-046

Data di pubblicazione: 5 agosto 2024

Descrizione

Descrizione Gravità Note

AMD ha informato Google di tre nuove vulnerabilità del firmware (due a rischio medio, una a rischio elevato) che interessano SEV-SNP nelle CPU AMD EPYC di 3ª generazione (Milan) e 4ª generazione (Genoa).

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Le correzioni sono già state applicate al parco server di Google.

Per saperne di più, consulta il bollettino sulla sicurezza di AMD AMD-SN-3011.

 Medio-alto

CVE-2023-31355

CVE-2024-21978

CVE-2024-21980

GCP-2024-045

Data di pubblicazione: 17 luglio 2024

Ultimo aggiornamento: 19 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 21/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26925

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26925

GCP-2024-044

Data di pubblicazione: 16 luglio 2024

Ultimo aggiornamento: 30 ottobre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 30/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 21/10/2024: sono state aggiunte le versioni delle patch ed è stata aggiornata la gravità per GDC (VMware).

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-36972

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-36972

GCP-2024-043

Data di pubblicazione: 16 luglio 2024

Ultimo aggiornamento: 2 ottobre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 2/10/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 20/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26921

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26921

GCP-2024-042

Data di pubblicazione : 15/07/2024

Ultimo aggiornamento: 18 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: è stato chiarito che i cluster Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26809

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26809

GCP-2024-041

Data di pubblicazione: 8 luglio 2024

Ultimo aggiornamento: 16 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 19/07/2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-52654
  • CVE-2023-52656

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2024-040

Data di pubblicazione: 1° luglio 2024

Ultimo aggiornamento: 16 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamenti del 16 luglio 2024:

Alcuni clienti con accesso VPC serverless sono potenzialmente interessati da una vulnerabilità in OpenSSH (CVE-2024-6387). In caso di exploit riuscito, ciò potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina virtuale di destinazione. Si ritiene che lo sfruttamento sia difficile. Ad esempio, i clienti non possono accedere alle VM e queste non hanno IP pubblici. Non siamo a conoscenza di tentativi di sfruttamento.

Che cosa devo fare?

I deployment di accesso VPC serverless sono stati aggiornati automaticamente da Google, ove possibile. Tuttavia, devi verificare che l'agente di servizio gestito da Google disponga del ruolo richiesto. In caso contrario, il connettore di accesso VPC serverless potrebbe essere ancora vulnerabile. Ti consigliamo di eseguire la migrazione al VPC diretto per il traffico in uscita o di eseguire il deployment di un nuovo connettore ed eliminare quello precedente per assicurarti di avere l'aggiornamento richiesto con la correzione.

Aggiornamento dell'11 luglio 2024: sono state aggiunte le versioni patch per il software GDC per VMware, GKE su AWS e GKE su Azure. Per i dettagli, consulta i seguenti bollettini nella documentazione di GKE:

Aggiornamento del 10/07/2024:

  • Aggiunto il bollettino sulla sicurezza per Migrate to Virtual Machines.

Aggiornamenti del 9 luglio 2024:

Alcuni clienti dell'ambiente flessibile di App Engine sono potenzialmente interessati da una vulnerabilità in OpenSSH (CVE-2024-6387). In caso di exploit riuscito, ciò potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina virtuale di destinazione.

Che cosa devo fare?

Google ha già aggiornato automaticamente i deployment dell'ambiente flessibile, ove possibile. Tuttavia, alcuni clienti che hanno disattivato l'agente di servizio gestito da Google o hanno apportato modifiche alle API Google Cloud o ad altre configurazioni predefinite non hanno potuto eseguire l'aggiornamento e potrebbero essere ancora vulnerabili. Devi eseguire il deployment di una nuova versione della tua app per applicare l'aggiornamento con la correzione.

Tieni presente che i deployment aggiornati segnaleranno la versione SSH OpenSSH_9.6p1. Questa versione è stata aggiornata con una correzione per CVE-2024-6387.

Quali vulnerabilità vengono risolte?

La vulnerabilità CVE-2024-6387, che consente a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina di destinazione.

Aggiornamenti dell'8 luglio 2024:

I cluster Managed Service for Apache Spark su Google Compute Engine in esecuzione sulla versione immagine 2.2 (tutti i sistemi operativi) e 2.1 (solo Debian) sono interessati da una vulnerabilità in OpenSSH (CVE-2024-6387) che, in caso di exploit riuscito, potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario come root sulla macchina di destinazione.

Le versioni immagine 2.0 e 1.5 di Managed Service for Apache Spark su Google Compute Engine, nonché le versioni immagine 2.1 di Managed Service for Apache Spark non in esecuzione su Debian, non sono interessate. I cluster Managed Service for Apache Spark con l'autenticazione personale abilitata non sono interessati. Anche Managed Service for Apache Spark Serverless non è interessato.

Che cosa devo fare?

Aggiorna i cluster Managed Service for Apache Spark su Google Compute Engine a una delle seguenti versioni:

  • 2.2.24 o versioni successive
  • 2.1.58 o versioni successive

Se non riesci ad aggiornare i cluster Managed Service for Apache Spark a una delle versioni precedenti, ti consigliamo di utilizzare l'azione di inizializzazione disponibile in questa posizione: gs://dataproc-initialization-actions/hotfixes/openssh-CVE-2024-6387-mitigation.sh

Segui queste istruzioni su come specificare le azioni di inizializzazione per Managed Service for Apache Spark. Tieni presente che l'azione di inizializzazione deve essere eseguita su ogni nodo (master e worker) per i cluster preesistenti.

Aggiornamenti del 3 luglio 2024:

  • Sono state aggiunte le versioni patch per GKE.
  • Aggiunto il bollettino sulla sicurezza per GDC Connected.

Aggiornamenti del 2 luglio 2024:

  • È stato chiarito che i cluster Autopilot sono interessati e richiedono l'intervento dell'utente.
  • Aggiunte valutazioni dell'impatto e passaggi di mitigazione per il software GDC per VMware, GKE su AWS e GKE su Azure.
  • Il bollettino sulla sicurezza del software GDC per Bare Metal è stato corretto per chiarire che il software GDC per Bare Metal non è direttamente interessato e che i clienti devono rivolgersi ai fornitori del sistema operativo per le patch.

Di recente è stata scoperta una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387, in OpenSSH. La vulnerabilità sfrutta una race condition che può essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli aggressori di ottenere l'accesso root. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina attaccata. Non siamo a conoscenza di tentativi di exploit.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Critico CVE-2024-6387

GCP-2024-039

Data di pubblicazione: 28 giugno 2024

Ultimo aggiornamento: 25 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 20/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26923

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26923

GCP-2024-038

Data di pubblicazione : 26 giugno 2024

Ultimo aggiornamento: 17 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26924

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26924

GCP-2024-037

Data di pubblicazione: 18 giugno 2024

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2024-0012 che interessano i componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di Google Cloud VMware Engine

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Google ha già bloccato le porte vulnerabili sul server vCenter, impedendo così qualsiasi potenziale exploit di questa vulnerabilità.
  • Inoltre, Google garantisce che tutti i deployment futuri di vCenter non siano esposti a questa vulnerabilità.

Che cosa devo fare?

Non sono richieste ulteriori azioni in questo momento.

Critico

GCP-2024-036

Data di pubblicazione: 18 giugno 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-035

Data di pubblicazione: 12/06/2024

Ultimo aggiornamento: 18 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: sono state aggiunte versioni patch per i node pool Ubuntu su GKE e una versione patch per la versione 1.27 sui node pool Container-Optimized OS.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26584

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26584

GCP-2024-034

Data di pubblicazione: 11 giugno 2024

Ultimo aggiornamento: 10 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 10/07/2024: sono state aggiunte versioni patch per i nodi Container-Optimized OS che eseguono le versioni secondarie 1.26 e 1.27 e sono state aggiunte versioni patch per i nodi Ubuntu.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2024-26583

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26583

GCP-2024-033

Data di pubblicazione: 10 giugno 2024

Ultimo aggiornamento: 26/09/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare all'escalation dei privilegi sui nodi Container-Optimized OS:

  • CVE-2022-23222

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-23222

GCP-2024-032

Data di pubblicazione: 4 giugno 2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23326: Envoy accetta erroneamente la risposta HTTP 200 per l'attivazione della modalità di upgrade.
  • CVE-2024-32974: arresto anomalo in EnvoyQuicServerStream::OnInitialHeadersComplete().
  • CVE-2024-32975: arresto anomalo in QuicheDataReader::PeekVarInt62Length().
  • CVE-2024-32976: loop infinito durante la decompressione dei dati Brotli con input aggiuntivo.
  • CVE-2024-34362: arresto anomalo (use-after-free) in EnvoyQuicServerStream.
  • CVE-2024-34363: arresto anomalo dovuto a un'eccezione JSON nlohmann non rilevata.
  • CVE-2024-34364: vettore OOM di Envoy dal client asincrono HTTP con buffer di risposta illimitato per la risposta mirror.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-031

Data di pubblicazione: 24 maggio 2024

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2024-4323) in Fluent Bit che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit dalla 2.0.7 alla 3.0.3.

GKE, GKE on VMware, GKE on AWS, GKE on Azure e GKE on Bare Metal non utilizzano una versione vulnerabile di Fluent Bit e non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2024-4323

GCP-2024-030

Data di pubblicazione: 15 maggio 2024

Ultimo aggiornamento: 18 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: aggiunte versioni patch per i node pool Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-52620

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-52620

GCP-2024-029

Data di pubblicazione: 14 maggio 2024

Ultimo aggiornamento: 19 agosto 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26642

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26642

GCP-2024-028

Data di pubblicazione: 13 maggio 2024

Ultimo aggiornamento: 22 maggio 2024

Descrizione

Descrizione Gravità Note

2024-05-22 Aggiornamento: Aggiunte versioni patch per Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26581

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26581

GCP-2024-027

Data di pubblicazione: 8 maggio 2024

Ultimo aggiornamento: 25 settembre 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/09/2024: sono state aggiunte le versioni patch per il software GDC per VMware.

Aggiornamento del 15/05/2024: sono state aggiunte le versioni patch per i node pool Ubuntu GKE.

Aggiornamento del 09/05/2024: la gravità è stata corretta da Media ad Alta ed è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26808

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26808

GCP-2024-026

Data di pubblicazione: 7 maggio 2024

Ultimo aggiornamento: 6 agosto 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE.

Aggiornamento del 09/05/2024: la gravità è stata corretta da Media ad Alta.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26643

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26643

GCP-2024-025

Data di pubblicazione:26 aprile 2024

Descrizione

Descrizione Gravità Note

Looker ha corretto le vulnerabilità segnalate da un ricercatore esterno tramite il Vulnerability Reward Program (VRP) di Google e Alphabet, ma non ha trovato prove di sfruttamento. Questi problemi sono stati risolti e non è necessario alcun intervento da parte degli utenti per i clienti di Looker (Google Cloud core) e Looker (original) ospitati da Looker. Per le istanze Looker in hosting autonomo, si consiglia di eseguire l'aggiornamento all'ultima versione supportata.

Che cosa devo fare?

Istanze ospitate da Looker: istanze di Looker (Google Cloud core) e Looker (originale)

Non è richiesta alcuna azione del cliente.

Solo istanze di Looker ospitate autonomamente

Se la tua istanza di Looker è in hosting autonomo, ti consigliamo di eseguire l'upgrade delle istanze di Looker a una delle seguenti versioni:

  • 24.6.12+
  • 24.4.27+
  • 24.2.58+
  • 24.0.65+
  • 23.18.100+
  • 23.12.105+
  • 23.6.163+

Come è stato risolto il problema?

Google ha disattivato l'accesso amministrativo diretto al database interno dall'applicazione Looker, ha rimosso i privilegi elevati che consentivano l'accesso tra tenant e ha ruotato i secret esposti. Inoltre, abbiamo applicato patch alle vulnerabilità di path traversal che potenzialmente esponevano le credenziali degli account di servizio. Stiamo inoltre conducendo una revisione approfondita del nostro codice e dei nostri sistemi per identificare e risolvere eventuali potenziali vulnerabilità simili.

 Critico

GCP-2024-024

Data di pubblicazione: 25 aprile 2024

Ultimo aggiornamento: 18 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 18/07/2024: aggiunte versioni patch per i node pool Ubuntu su GKE

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-26585

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-26585

GCP-2024-023

Data di pubblicazione: 24 aprile 2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-27919: HTTP/2: esaurimento della memoria dovuto a un flood di frame CONTINUATION.
  • CVE-2024-30255: HTTP/2: esaurimento della CPU dovuto a un flood di frame CONTINUATION
  • CVE-2024-32475: terminazione anomala quando si utilizza "auto_sni" con l'intestazione ":authority" più lunga di 255 caratteri.
  • CVE-2023-45288: i frame HTTP/2 CONTINUATION possono essere utilizzati per attacchi DoS.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-022

Data di pubblicazione:3 aprile 2024

Ultimo aggiornamento: 17 luglio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/07/2024: sono state aggiunte le versioni patch per GKE on VMware

Aggiornamento del 9 luglio 2024: sono state aggiunte le versioni patch per GKE on Bare Metal

Aggiornamento del 24/04/2024: sono state aggiunte le versioni patch per GKE.

Di recente è stata scoperta una vulnerabilità Denial of Service (DoS) (CVE-2023-45288) in più implementazioni del protocollo HTTP/2, incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un DoS del control plane di Google Kubernetes Engine (GKE).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-45288

GCP-2024-021

Data di pubblicazione : 3 aprile 2024

Descrizione

Descrizione Gravità Note

Compute Engine non è interessato da CVE-2024-3094, che interessa le versioni 5.6.0 e 5.6.1 del pacchetto xz-utils nella libreria liblzma e potrebbe compromettere l'utilità OpenSSH.

Per maggiori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Media CVE-2024-3094

GCP-2024-020

Data di pubblicazione: 2 aprile 2024

Descrizione

Descrizione Gravità Note

I ricercatori hanno scoperto una vulnerabilità (CVE-2023-48022) in Ray. Ray è uno strumento open source di terze parti per i workload di AI. Poiché Ray non richiede l'autenticazione, i malintenzionati possono eseguire codice da remoto inviando job a istanze esposte pubblicamente. La vulnerabilità è stata contestata da Anyscale, lo sviluppatore di Ray. Ray sostiene che le sue funzioni sono una funzionalità del prodotto principale prevista e che la sicurezza deve essere implementata al di fuori di un cluster Ray, poiché qualsiasi esposizione di rete non intenzionale del cluster Ray potrebbe portare a una compromissione.

In base alla risposta, questa CVE è contestata e potrebbe non essere visualizzata negli scanner di vulnerabilità. In ogni caso, viene sfruttata attivamente in natura e gli utenti devono configurare il proprio utilizzo come suggerito di seguito.

Che cosa devo fare?

Segui le best practice e le linee guida di Ray, tra cui l'esecuzione di codice attendibile su reti attendibili, per proteggere i tuoi workload Ray. Il deployment di ray.io nelle istanze cloud dei clienti rientra nel modello di responsabilità condivisa.

Il team di sicurezza di Google Kubernetes Engine (GKE) ha pubblicato un blog sull'hardening di Ray su GKE.

Per ulteriori informazioni sui modi per aggiungere l'autenticazione e l'autorizzazione ai servizi Ray, consulta la documentazione di Identity-Aware Proxy (IAP). Gli utenti di GKE possono implementare IAP seguendo queste indicazioni o riutilizzando i moduli Terraform collegati nel blog.

Alta CVE-2023-48022

GCP-2024-018

Data di pubblicazione: 12 marzo 2024

Ultimo aggiornamento: 4 aprile 2024, 6 maggio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 6 maggio 2024: sono state aggiunte le versioni patch per i node pool Ubuntu di GKE.

Aggiornamento del 4 aprile 2024: sono state corrette le versioni minime per i node pool di Container-Optimized OS di GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-1085

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-1085

GCP-2024-017

Data di pubblicazione: 6 marzo 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-3611

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3611

GCP-2024-016

Data di pubblicazione: 5 marzo 2024

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2024-0006 che interessano i componenti ESXi di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto di Google Cloud VMware Engine

I tuoi cloud privati sono stati aggiornati per risolvere la vulnerabilità di sicurezza.

Che cosa devo fare?

Non è necessaria alcuna azione da parte tua.

Critico

GCP-2024-014

Data di pubblicazione: 26 febbraio 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-3776

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3776

GCP-2024-013

Data di pubblicazione: 27 febbraio 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-3610

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3610

GCP-2024-012

Data di pubblicazione : 20 febbraio 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2024-0193

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-0193

GCP-2024-011

Data di pubblicazione: 15 febbraio 2024

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu:

  • CVE-2023-6932

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6932

GCP-2024-010

Data di pubblicazione: 14 febbraio 2024

Ultimo aggiornamento: 17 aprile 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 17/04/2024: sono state aggiunte le versioni patch per GKE on VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-6931

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6931

GCP-2024-009

Data di pubblicazione:13 febbraio 2024

Descrizione

Descrizione Gravità Note

Il 13 febbraio 2024, AMD ha divulgato due vulnerabilità che interessano SEV-SNP su CPU EPYC basate su core Zen "Milan" di terza generazione e "Genoa" di quarta generazione. Le vulnerabilità consentono ad aggressori con privilegi di accedere a dati obsoleti dei guest o di causare una perdita di integrità dei guest.

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente. Le correzioni sono già state applicate al parco server di Google per Google Cloud, incluso Compute Engine.

Per saperne di più, consulta il bollettino sulla sicurezza AMD AMD-SN-3007.

 Moderato

GCP-2024-008

Data di pubblicazione: 12 febbraio 2024

Descrizione

Descrizione Gravità Note

CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da abilitare l'escalation dei privilegi amministrativi su questi nodi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5528

GCP-2024-007

Data di pubblicazione: 8 febbraio 2024

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2024-23322: Envoy si arresta in modo anomalo quando è inattivo e si verificano timeout delle richieste per tentativo entro l'intervallo di backoff.
  • CVE-2024-23323: utilizzo eccessivo della CPU quando il matcher del modello URI è configurato utilizzando regex.
  • CVE-2024-23324: l'autorizzazione esterna può essere ignorata quando il filtro del protocollo proxy imposta metadati UTF-8 non validi.
  • Envoy si arresta in modo anomalo quando utilizza un tipo di indirizzo non supportato dal sistema operativo.
  • CVE-2024-23327: arresto anomalo nel protocollo proxy quando il tipo di comando è LOCAL.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2024-006

Data di pubblicazione: 5 febbraio 2024

Descrizione

Descrizione Gravità Note

Quando un proxy di gestione delle API Apigee si connette a un endpoint di destinazione o a un server di destinazione, per impostazione predefinita il proxy non esegue la convalida del nome host per il certificato presentato dall'endpoint di destinazione o dal server di destinazione. Se la convalida del nome host non è abilitata utilizzando una delle seguenti opzioni, i proxy Apigee che si connettono a un endpoint di destinazione o a un server di destinazione potrebbero essere a rischio di un attacco man-in-the-middle da parte di un utente autorizzato. Per ulteriori informazioni, consulta Configurazione di TLS da Edge al backend (Cloud e cloud privato).

I deployment dei proxy Apigee sulle seguenti piattaforme Apigee sono interessati:

  • Apigee Edge for Public Cloud
  • Apigee Edge for Private Cloud

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Apigee.

 Alta

GCP-2024-005

Data di pubblicazione: 31 gennaio 2024
Ultimo aggiornamento: 2 aprile 2024, 6 maggio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 6 maggio 2024: sono state aggiunte le versioni patch per GKE su AWS e GKE su Azure.

Aggiornamento del 02/04/2024: sono state aggiunte le versioni patch per GKE on Bare Metal

Aggiornamento del 06/03/2024: sono state aggiunte le versioni patch per GKE on VMware

Aggiornamento del 28/02/2024: aggiunte le versioni patch per Ubuntu

Aggiornamento del 15/02/2024: è stato chiarito che le versioni patch di Ubuntu 1.25 e 1.26 nell'aggiornamento del 14/02/2024 potrebbero causare nodi non integri.

Aggiornamento del 14/02/2024: aggiunte le versioni patch per Ubuntu

Aggiornamento del 06/02/2024: sono state aggiunte le versioni delle patch per Container-Optimized OS.

È stata rilevata una vulnerabilità di sicurezza, CVE-2024-21626, in runc, per cui un utente con l'autorizzazione per creare pod su nodi Container-Optimized OS e Ubuntu potrebbe essere in grado di ottenere l'accesso completo al file system del nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2024-21626

GCP-2024-004

Data di pubblicazione: 24/01/2024
Ultimo aggiornamento: 07/02/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 7 febbraio 2024: sono state aggiunte le versioni delle patch per Ubuntu.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-6817

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6817

GCP-2024-003

Data di pubblicazione: 19 gennaio 2024
Ultimo aggiornamento: 26 gennaio 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 26/01/2024: abbiamo chiarito il numero di cluster interessati e le azioni che abbiamo intrapreso per contribuire a mitigare l'impatto. Per maggiori dettagli, consulta il bollettino sulla sicurezza GCP-2024-003.

Abbiamo identificato diversi cluster in cui gli utenti hanno concesso privilegi Kubernetes al gruppo system:authenticated, che include tutti gli utenti con un Account Google. Questi tipi di associazioni non sono consigliati, in quanto violano il principio del privilegio minimo e concedono l'accesso a gruppi di utenti molto ampi. Consulta le indicazioni nella sezione "Cosa devo fare" per istruzioni su come trovare questi tipi di associazioni.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2024-002

Data di pubblicazione: 17 gennaio 2024

Ultimo aggiornamento: 20-02-2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/02/2024: sono state aggiunte le versioni patch per GKE on VMware.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS.

  • CVE-2023-6111

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-6111

GCP-2024-001

Data di pubblicazione: 9 gennaio 2024

Descrizione

Descrizione Gravità Note

Sono state rilevate diverse vulnerabilità nel firmware UEFI TianoCore EDK II. Questo firmware viene utilizzato nelle VM di Google Compute Engine. Se sfruttate, le vulnerabilità potrebbero consentire un bypass dell'avvio protetto, che fornirebbe misurazioni false nel processo di avvio protetto, anche se utilizzato nelle Shielded VM.

Che cosa devo fare?

Non è richiesta alcuna azione da parte tua. Google ha applicato una patch a questa vulnerabilità in Compute Engine e tutte le VM sono protette da questa vulnerabilità.

Quali vulnerabilità vengono affrontate da questa patch?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-36763
  • CVE-2022-36764
  • CVE-2022-36765
 Media

GCP-2023-051

Data di pubblicazione: 28 dicembre 2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3609

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3609

GCP-2023-050

Data di pubblicazione: 27 dicembre 2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3389

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3389

GCP-2023-049

Data di pubblicazione: 20/12/2023

Descrizione

Descrizione Gravità Note

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3090

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3090

GCP-2023-048

Data di pubblicazione: 15/12/2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3390

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3390

GCP-2023-047

Data di pubblicazione: 14 dicembre 2023

Descrizione

Descrizione Gravità Note

Un malintenzionato che ha compromesso il container di logging Fluent Bit potrebbe combinare questo accesso con i privilegi elevati richiesti da Cloud Service Mesh (sui cluster in cui è abilitato) per eseguire l'escalation dei privilegi nel cluster.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2023-046

Data di pubblicazione: 22/11/2023
Ultimo aggiornamento: 4/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 marzo 2024: sono state aggiunte le versioni di GKE per GKE on VMware.

Aggiornamento del 22 gennaio 2024: aggiunte le versioni delle patch di Ubuntu

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-5717

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5717

GCP-2023-045

Data di pubblicazione: 20/11/2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-5197

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-5197

GCP-2023-044

Data di pubblicazione: 15 novembre 2023

Descrizione

Descrizione Gravità Note

Il 14 novembre, AMD ha divulgato diverse vulnerabilità che interessano varie CPU dei server AMD. In particolare, le vulnerabilità interessano le CPU server EPYC che utilizzano i core Zen di seconda generazione "Rome", di terza generazione "Milan" e di quarta generazione "Genoa".

Google ha applicato correzioni agli asset interessati, tra cui Google Cloud, per garantire la protezione dei clienti. Al momento, non sono state trovate o segnalate a Google prove di sfruttamento.

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

Le correzioni sono già state applicate al parco server di Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono risolte?

La patch ha mitigato le seguenti vulnerabilità:

  • CVE-2022-23820
  • CVE-2021-46774
  • CVE-2023-20533
  • CVE-2023-20519
  • CVE-2023-20592
  • CVE-2023-20566
  • CVE-2023-20521
  • CVE-2021-46766
  • CVE-2022-23830
  • CVE-2023-20526
  • CVE-2021-26345

Per saperne di più, consulta l'avviso di sicurezza di AMD AMD-SN-3005: "AMD INVD Instruction Security Notice", pubblicato anche come CacheWarp, e AMD-SN-3002: "AMD Server Vulnerabilities – November 2023".

 Moderato

GCP-2023-043

Data di pubblicazione: 14 novembre 2023

Descrizione

Descrizione Gravità Note

Intel ha divulgato una vulnerabilità della CPU in alcuni processori. Google ha adottato misure per mitigare il suo parco server, tra cui Google Compute Engine per Google Cloud, e i dispositivi ChromeOS per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-23583

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

La mitigazione fornita da Intel per i processori interessati è stata applicata al parco server di Google, incluso Google Compute Engine per Google Cloud.

Al momento, Google Distributed Cloud Edge richiede un aggiornamento da parte dell'OEM. Google correggerà questo prodotto non appena l'aggiornamento sarà disponibile e questo bollettino verrà aggiornato di conseguenza.

I dispositivi ChromeOS con i processori interessati hanno ricevuto la correzione automaticamente nell'ambito delle release 119, 118 e 114 (LTS).

Quali vulnerabilità vengono risolte?

CVE-2023-23583. Per maggiori dettagli, consulta l'avviso di sicurezza Intel INTEL-SA-00950.

 Alta CVE-2023-23583

GCP-2023-042

Data di pubblicazione: 13 novembre 2023
Ultimo aggiornamento: 15 novembre 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 15/11/2023: viene chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4147

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4147

GCP-2023-041

Data di pubblicazione: 8 novembre 2023

Ultimo aggiornamento: 21/11/2023, 5/12/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 05/12/2023: sono state aggiunte altre versioni di GKE per i node pool di Container-Optimized OS.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4004

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4004

GCP-2023-040

Data di pubblicazione: 6 novembre 2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: viene chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4921

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4921

GCP-2023-039

Data di pubblicazione: 6 novembre 2023

Ultimo aggiornamento: 21/11/2023, 16/11/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Aggiornamento del 16/11/2023: la vulnerabilità associata a questo bollettino sulla sicurezza è CVE-2023-4622. CVE-2023-4623 è stata erroneamente indicata come vulnerabilità in una versione precedente del bollettino sulla sicurezza.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4622

GCP-2023-038

Data di pubblicazione: 6 novembre 2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: viene chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4623

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4623

GCP-2023-037

Data di pubblicazione: 6 novembre 2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: viene chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4015

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4015

GCP-2023-036

Data di pubblicazione: 30 ottobre 2023

Descrizione

Descrizione Gravità Note

Deep Learning VM Images è un insieme di immagini di macchine virtuali preconfezionate con un framework di deep learning, pronte per essere eseguite immediatamente. Di recente, è stata scoperta una vulnerabilità di scrittura out-of-bounds nella funzione "ReadHuffmanCodes()" della libreria "libwebp". Ciò potrebbe influire sulle immagini che utilizzano questa libreria.

Google Cloud esegue continuamente la scansione delle immagini pubblicate pubblicamente e aggiorna i pacchetti per garantire che le distribuzioni con patch siano incluse nelle ultime release disponibili per l'adozione da parte dei clienti. Le Deep Learning VM Image sono state aggiornate per garantire che le immagini VM più recenti includano le distribuzioni con patch. I clienti che adottano le immagini VM più recenti non sono esposti a questa vulnerabilità.

Che cosa devo fare?

I clienti diGoogle Cloud che utilizzano immagini VM pubblicate devono assicurarsi di adottare le immagini più recenti e che i loro ambienti siano aggiornati in base al modello di responsabilità condivisa.

CVE-2023-4863 potrebbe essere sfruttata da un utente malintenzionato per eseguire codice arbitrario. Questa vulnerabilità è stata identificata in Google Chrome prima della versione 116.0.5845.187 e in "libwebp" prima della versione 1.3.2 ed è elencata con il codice CVE-2023-4863.

 Alta CVE-2023-4863

GCP-2023-035

Data di pubblicazione:26 ottobre 2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: viene chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-4206CVE-2023-4207, CVE-2023-4208, CVE-2023-4128

GCP-2023-034

Data di pubblicazione: 25 ottobre 2023

Ultimo aggiornamento: 27/10/2023

Descrizione

Descrizione Gravità Note

VMware ha divulgato diverse vulnerabilità in VMSA-2023-0023 che interessano i componenti vCenter di cui è stato eseguito il deployment negli ambienti dei clienti.

Impatto sull'assistenza clienti Google Cloud

  • La vulnerabilità può essere sfruttata accedendo a porte specifiche in vCenter Server. Queste porte non sono esposte alla rete internet pubblica.
  • Se le porte vCenter 2012/tcp, 2014/tcp e 2020/tcp non sono accessibili da sistemi non attendibili, non sei esposto a questa vulnerabilità.
  • Google ha già bloccato le porte vulnerabili sul server vCenter, impedendo qualsiasi potenziale exploit di questa vulnerabilità.
  • Inoltre, Google garantirà che tutti i deployment futuri del server vCenter non siano esposti a questa vulnerabilità.
  • Al momento della pubblicazione del bollettino, VMware non è a conoscenza di alcuno sfruttamento "in the wild". Per ulteriori dettagli, consulta la documentazione di VMware.

Che cosa devo fare?

Non sono richieste ulteriori azioni in questo momento

 Critico CVE-2023-34048,CVE-2023-34056

GCP-2023-033

Data di pubblicazione: 24 ottobre 2023

Ultimo aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarimento sul fatto che i cluster GKE Autopilot nella configurazione predefinita e i workload di GKE Sandbox non sono interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

Nel kernel Linux sono state rilevate le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS e Ubuntu.

  • CVE-2023-3777

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3777

GCP-2023-032

Data di pubblicazione: 13 ottobre 2023

Ultimo aggiornamento: 3 novembre 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 3 novembre 2023: è stato aggiunto un problema noto per Apigee Edge for Private Cloud.

Di recente è stata scoperta una vulnerabilità Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il servizio Apigee Ingress (Cloud Service Mesh) utilizzato da Apigee X e Apigee Hybrid. La vulnerabilità potrebbe causare un DoS della funzionalità di gestione delle API Apigee.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Apigee.

Alta CVE-2023-44487

GCP-2023-031

Data di pubblicazione: 10 ottobre 2023

Descrizione

Descrizione Gravità Note

Un attacco denial of service può influire sul piano dati quando si utilizza il protocollo HTTP/2. Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-44487

GCP-2023-030

Data di pubblicazione: 10 ottobre 2023

Ultimo aggiornamento: 20/03/2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 20/03/2024: sono state aggiunte versioni patch per GKE su AWS e GKE su Azure con le patch più recenti per CVE-2023-44487.

Aggiornamento del 14/02/2024: sono state aggiunte le versioni patch per GKE on VMware.

Aggiornamento del 9 novembre 2023:è stata aggiunta la vulnerabilità CVE-2023-39325. Versioni GKE aggiornate con le patch più recenti per CVE-2023-44487 e CVE-2023-39325.

Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un DoS del control plane di Google Kubernetes Engine (GKE). I cluster GKE con reti autorizzate configurate sono protetti limitando l'accesso alla rete, ma tutti gli altri cluster sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-44487, CVE-2023-39325

GCP-2023-029

Data di pubblicazione: 3 ottobre 2023

Descrizione

Descrizione Gravità Note

TorchServe viene utilizzato per ospitare i modelli di machine learning PyTorch per la previsione online. Vertex AI fornisce container di erogazione del modello PyTorch predefiniti che dipendono da TorchServe. Di recente sono state scoperte vulnerabilità in TorchServe che consentirebbero a un malintenzionato di assumere il controllo di un deployment di TorchServe se la relativa API di gestione dei modelli è esposta. I clienti con modelli PyTorch di cui è stato eseguito il deployment nella previsione online di Vertex AI non sono interessati da queste vulnerabilità, poiché Vertex AI non espone l'API di gestione dei modelli di TorchServe. I clienti che utilizzano TorchServe al di fuori di Vertex AI devono adottare precauzioni per garantire che i loro deployment siano configurati in modo sicuro.

Che cosa devo fare?

I clienti di Vertex AI con modelli di cui è stato eseguito il deployment utilizzando i container di pubblicazione PyTorch predefiniti di Vertex AI non devono intraprendere alcuna azione per risolvere le vulnerabilità, poiché i deployment di Vertex AI non espongono il server di gestione di TorchServe a internet.

I clienti che utilizzano i container PyTorch predefiniti in altri contesti o che utilizzano una distribuzione di TorchServe personalizzata o di terze parti devono:

  • Assicurati che l'API di gestione dei modelli di TorchServe non sia esposta a internet. L'API di gestione dei modelli può essere limitata al solo accesso locale assicurandosi che management_address sia associato a 127.0.0.1.
  • Utilizza l'impostazione allowed_urls per assicurarti che i modelli possano essere caricati solo dalle origini previste.
  • Esegui l'upgrade di TorchServe alla versione 0.8.2, che include le mitigazioni per questo problema, il prima possibile. In via precauzionale, Vertex AI rilascerà container predefiniti corretti entro il 13 ottobre 2023.

Quali vulnerabilità vengono risolte?

L'API di gestione di TorchServe è associata a 0.0.0.0 per impostazione predefinita nella maggior parte delle immagini Docker di TorchServe, incluse quelle rilasciate da Vertex AI, rendendola accessibile alle richieste esterne. L'indirizzo IP predefinito per l'API di gestione è stato modificato in 127.0.0.1 in TorchServe 0.8.2, mitigando questo problema.

CVE-2023-43654 e CVE-2022-1471 consentono a un utente con accesso all'API di gestione di caricare modelli da origini arbitrarie ed eseguire codice da remoto. Le mitigazioni per entrambi i problemi sono incluse in TorchServe 0.8.2: il percorso di esecuzione di codice da remoto viene rimosso e viene emesso un avviso se viene utilizzato il valore predefinito per allowed_urls.

 Alta CVE-2023-43654, CVE-2022-1471

GCP-2023-028

Data di pubblicazione: 19 settembre 2023

Ultimo aggiornamento: 29 maggio 2024

Descrizione

Descrizione Gravità Note
Aggiornamento del 29 maggio 2024: i nuovi feed non utilizzano più il account di servizio condiviso, che però rimane attivo per i feed esistenti per evitare interruzioni del servizio. Le modifiche all'origine nei feed meno recenti sono bloccate per impedire l'uso improprio del account di servizio condiviso. I clienti possono continuare a utilizzare i loro vecchi feed normalmente, a condizione che non cambino l'origine.

I clienti possono configurare Google Security Operations per importare i dati dai bucket Cloud Storage di loro proprietà utilizzando un feed di importazione. Fino a poco tempo fa, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione al bucket. Esisteva un'opportunità per cui l'istanza di Google Security Operations di un cliente poteva essere configurata per importare dati dal bucket Cloud Storage di un altro cliente. Dopo aver eseguito un'analisi dell'impatto, non abbiamo riscontrato alcuno sfruttamento attuale o precedente di questa vulnerabilità. La vulnerabilità era presente in tutte le versioni di Google Security Operations precedenti al 19 settembre 2023.

Che cosa devo fare?

A partire dal 19 settembre 2023, Google Security Operations è stato aggiornato per risolvere questa vulnerabilità. Non è richiesta alcuna azione del cliente.

Quali vulnerabilità vengono risolte?

In precedenza, Google Security Operations forniva un account di servizio condiviso che i clienti utilizzavano per concedere l'autorizzazione a un bucket. Poiché clienti diversi hanno concesso allo stesso account di servizio Google Security Operations l'autorizzazione per il proprio bucket, esisteva un vettore di exploit che consentiva al feed di un cliente di accedere al bucket di un altro cliente durante la creazione o la modifica di un feed. Questo vettore di exploit richiedeva la conoscenza dell'URI del bucket. Ora, durante la creazione o la modifica dei feed, Google Security Operations utilizza service account univoci per ogni cliente.

 Alta

GCP-2023-027

Data di pubblicazione: 11 settembre 2023
Descrizione Gravità Note

Gli aggiornamenti di VMware vCenter Server risolvono diverse vulnerabilità di danneggiamento della memoria (CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, CVE-2023-20896)

Impatto sull'assistenza clienti

VMware vCenter Server (vCenter Server) e VMware Cloud Foundation (Cloud Foundation).

Che cosa devo fare?

I clienti non sono interessati e non è necessario intraprendere alcuna azione.

 Media

GCP-2023-026

Data di pubblicazione: 6 settembre 2023

Descrizione

Descrizione Gravità Note

Sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) in Kubernetes, in cui un utente che può creare pod sui nodi Windows potrebbe essere in grado di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e del proxy CSI di Kubernetes.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-3676, CVE-2023-3955, CVE-2023-3893

GCP-2023-025

Data di pubblicazione: 8 agosto 2023
Descrizione Gravità Note

Intel ha recentemente annunciato l'Intel Security Advisory INTEL-SA-00828 che interessa alcune delle sue famiglie di processori. Ti invitiamo a valutare i rischi in base all'avviso.

Impatto di Google Cloud VMware Engine

Il nostro parco macchine utilizza le famiglie di processori interessate. Nel nostro deployment, l'intero server è dedicato a un cliente. Pertanto, il nostro modello di deployment non aggiunge ulteriori rischi alla tua valutazione di questa vulnerabilità.

Stiamo collaborando con i nostri partner per ottenere le patch necessarie e le implementeremo in via prioritaria in tutto il parco risorse utilizzando la procedura di upgrade standard nelle prossime settimane.

Che cosa devo fare?

Non è necessario alcun intervento da parte tua. Stiamo lavorando per eseguire l'upgrade di tutti i sistemi interessati.

 Alta

GCP-2023-024

Data di pubblicazione: 8 agosto 2023

Ultimo aggiornamento: 10 agosto 2023, 4 giugno 2024

Descrizione

Descrizione Gravità Note

Aggiornamento del 4 giugno 2024: i seguenti prodotti mancanti sono stati aggiornati per correggere questa vulnerabilità:

  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge

Aggiornamento del 10/08/2023:è stato aggiunto il numero di versione di ChromeOS LTS.

Intel ha divulgato una vulnerabilità in alcuni processori (CVE-2022-40982). Google ha adottato misure per mitigare il proprio parco server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2022-40982 (Intel IPU 2023.3, "GDS" noto anche come "Downfall")

Che cosa devo fare?

Non è richiesta alcuna azione del cliente.

Tutte le patch disponibili sono già state applicate al parco server di Google per Google Cloud, incluso Google Compute Engine.

Al momento, i seguenti prodotti richiedono ulteriori aggiornamenti da parte di partner e fornitori.

  • Google Cloud VMware Engine
  • Google Distributed Cloud Hosted
  • Google Distributed Cloud Edge
  • Bare Metal Solution di Google Cloud
  • Evolved Packet Core

Google correggerà questi prodotti una volta che queste patch saranno state rese disponibili e questo bollettino verrà aggiornato di conseguenza.

I clienti di Google Chromebook e ChromeOS Flex hanno ricevuto automaticamente le mitigazioni fornite da Intel in Stable (115), LTS (108), Beta (116) e LTC (114). I clienti di Chromebook e ChromeOS Flex bloccati su una release precedente dovrebbero prendere in considerazione la possibilità di sbloccarla e passare alle release Stable o LTS per assicurarsi di ricevere questa e altre correzioni di vulnerabilità.

Quali vulnerabilità vengono risolte?

CVE-2022-40982 - Per saperne di più, consulta Intel Security Advisory INTEL-SA-00828.

Alta CVE-2022-40982

GCP-2023-023

Data di pubblicazione: 8 agosto 2023

Descrizione

Descrizione Gravità Note

AMD ha divulgato una vulnerabilità in alcuni processori (CVE-2023-20569). Google ha adottato misure per mitigare il proprio parco server, incluso Google Cloud, per garantire la protezione dei clienti.

I dettagli della vulnerabilità:

  • CVE-2023-20569 (AMD SB-7005, noto anche come "Inception")

Che cosa devo fare?

Gli utenti delle VM di Compute Engine devono prendere in considerazione le mitigazioni fornite dal sistema operativo se utilizzano l'esecuzione di codice non attendibile all'interno dell'istanza. Consigliamo ai clienti di contattare i fornitori del sistema operativo per indicazioni più specifiche.

Le correzioni sono già state applicate al parco risorse di server Google per Google Cloud, incluso Google Compute Engine.

Quali vulnerabilità vengono risolte?

CVE-2023-20569 - Per ulteriori informazioni, consulta AMD SB-7005.

Moderato CVE-2023-20569

GCP-2023-022

Data di pubblicazione: 3 agosto 2023

Descrizione

Descrizione Gravità Note

Google ha identificato una vulnerabilità nelle implementazioni gRPC C++ precedenti alla release 1.57. Si trattava di una vulnerabilità di tipo Denial of Service nell'implementazione C++ di gRPC. Questi problemi sono stati risolti nelle release 1.53.2, 1.54.3, 1.55.2, 1.56.2 e 1.57.

Che cosa devo fare?

Assicurati di utilizzare le ultime versioni dei seguenti pacchetti software:

  • Le versioni 1.53, 1.54, 1.55 e 1.56 di gRPC (C++, Python, Ruby) devono essere aggiornate alle seguenti release di patch:
    • 1.53.2
    • 1.54.3
    • 1.55.2
    • 1.56.2
  • Le versioni 1.52 e precedenti di gRPC (C++, Python, Ruby) devono essere aggiornate a una delle release di patch approvate. Ad esempio, 1.53.2, 1.54.3, 1.53.4 e così via.

Quali vulnerabilità vengono risolte?

Queste patch mitigano le seguenti vulnerabilità:

  • Vulnerabilità di Denial of Service nelle implementazioni gRPC C++: richieste appositamente create possono causare l'interruzione della connessione tra un proxy e un backend.
Alta CVE-2023-33953

GCP-2023-021

Updated:2023-07-26

Published:2023-07-25

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-35941: un client dannoso è in grado di creare credenziali con validità permanente in alcuni scenari specifici. Ad esempio, la combinazione di host e ora di scadenza nel payload HMAC può essere sempre valida nel controllo HMAC del filtro OAuth2.
  • CVE-2023-35942: i logger di accesso gRPC che utilizzano l'ambito globale del listener possono causare un arresto anomalo di tipo use-after-free quando il listener viene svuotato. Questo può essere attivato da un aggiornamento LDS con la stessa configurazione del log di accesso gRPC.
  • CVE-2023-35943: se l'intestazione origin è configurata per essere rimossa con request_headers_to_remove: origin, il filtro CORS segfault e Envoy si arresta in modo anomalo.
  • CVE-2023-35944: gli utenti malintenzionati possono inviare richieste di schemi misti per bypassare i controlli degli schemi in Envoy. Ad esempio, se una richiesta con schema HTTP misto viene inviata al filtro OAuth2, non supererà i controlli di corrispondenza esatta per HTTP e informerà l'endpoint remoto che lo schema è HTTPS, bypassando potenzialmente i controlli OAuth2 specifici per le richieste HTTP.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

GCP-2023-020

Updated:2023-07-26

Data di pubblicazione: 24 luglio 2023

Descrizione

Descrizione Gravità Note

AMD ha rilasciato un aggiornamento del microcodice che risolve una vulnerabilità di sicurezza dell'hardware (CVE-2023-20593). Google ha applicato le correzioni necessarie per questa vulnerabilità al suo parco server, inclusi i server per la Google Cloud Platform. I test indicano che non vi è alcun impatto sulle prestazioni dei sistemi.

Che cosa devo fare?

Non è richiesta alcuna azione da parte dei clienti, poiché le correzioni sono già state applicate al parco server di Google per Google Cloud Platform.

Quali vulnerabilità vengono risolte?

CVE-2023-20593 risolve una vulnerabilità in alcune CPU AMD. Ulteriori informazioni sono disponibili qui.

Alta CVE-2023-20593

GCP-2023-019

Published:2023-07-18

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-35945) in Envoy, in cui una risposta creata in modo specifico da un servizio upstream non attendibile può causare un attacco Denial of Service tramite l'esaurimento della memoria. Ciò è causato dal codec HTTP/2 di Envoy, che potrebbe causare la perdita di una mappa di intestazioni e di strutture di contabilità alla ricezione di RST_STREAM immediatamente seguito dai frame GOAWAY da un server upstream.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta CVE-2023-35945

GCP-2023-018

Data di pubblicazione: 27 giugno 2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-2235) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo. I cluster GKE Autopilot sono interessati perché i nodi GKE Autopilot utilizzano sempre immagini dei nodi Container-Optimized OS. Sono interessati i cluster GKE Standard con versioni 1.25 o successive che eseguono immagini dei nodi Container-Optimized OS.

I cluster GKE non sono interessati se eseguono solo immagini dei nodi Ubuntu, se eseguono versioni precedenti alla 1.25 o se utilizzano GKE Sandbox.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-2235

GCP-2023-017

Data di pubblicazione: 26 giugno 2023

Ultimo aggiornamento: 11 luglio 2023

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/07/2023: le nuove versioni di GKE sono state aggiornate per includere le ultime versioni di Ubuntu che applicano la patch CVE-2023-31436.

È stata scoperta una nuova vulnerabilità (CVE-2023-31436) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo. I cluster GKE, inclusi i cluster Autopilot, sono interessati. I cluster GKE che utilizzano GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-31436

GCP-2023-016

Data di pubblicazione: 26 giugno 2023

Descrizione

Descrizione Gravità Note

In Envoy, utilizzato in Cloud Service Mesh, sono state rilevate diverse vulnerabilità che consentono a un malintenzionato di causare un denial of service o un arresto anomalo di Envoy. Questi sono stati segnalati separatamente come GCP-2023-002.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487

GCP-2023-015

Data di pubblicazione: 20/06/2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità, CVE-2023-0468, nel kernel Linux che potrebbe consentire a un utente senza privilegi di eseguire l'escalation dei privilegi a root quando io_poll_get_ownership continua ad aumentare req->poll_refs su ogni io_poll_wake, per poi eseguire l'overflow a 0, che eseguirà fput req->file due volte e causerà un problema di refcount del file struct. Sono interessati i cluster GKE, inclusi i cluster Autopilot, con Container-Optimized OS che utilizzano la versione kernel Linux 5.15. I cluster GKE che utilizzano immagini Ubuntu o GKE Sandbox non sono interessati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-CVE-2023-0468

GCP-2023-014

Ultimo aggiornamento: 11 agosto 2023
Data di pubblicazione: 15 giugno 2023

Descrizione

Descrizione Gravità Note

Aggiornamento dell'11/08/2023: sono state aggiunte le versioni patch per GKE on VMware, GKE on AWS, GKE on Azure e Google Distributed Cloud Virtual per Bare Metal.

Sono stati scoperti due nuovi problemi di sicurezza in Kubernetes, in cui gli utenti potrebbero essere in grado di avviare container che aggirano le limitazioni delle policy quando utilizzano container temporanei e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media CVE-2023-2727, CVE-2023-2728

GCP-2023-013

Data di pubblicazione: 8 giugno 2023

Descrizione

Descrizione Gravità Note

Quando abiliti l'API Cloud Build in un progetto, Cloud Build crea automaticamente un account di servizio predefinito per eseguire le build per tuo conto. In precedenza, questo service account Cloud Build disponeva dell'autorizzazione IAM logging.privateLogEntries.list, che consentiva alle build di accedere per elencare i log privati per impostazione predefinita. Questa autorizzazione è stata revocata dal account di servizio Cloud Build per rispettare il principio di sicurezza del privilegio minimo.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di Cloud Build.

 Bassa

GCP-2023-010

Data di pubblicazione: 7 giugno 2023

Descrizione

Descrizione Gravità Note

Google ha identificato tre nuove vulnerabilità nell'implementazione di gRPC C++. Queste verranno pubblicate a breve pubblicamente come CVE-2023-1428, CVE-2023-32731 e CVE-2023-32732.

Ad aprile abbiamo identificato due vulnerabilità nelle release 1.53 e 1.54. Una era una vulnerabilità di Denial of Service nell'implementazione C++ di gRPC e l'altra era una vulnerabilità di esfiltrazione di dati da remoto. Questi problemi sono stati risolti nelle versioni 1.53.1, 1.54.2 e successive.

In precedenza, a marzo, i nostri team interni hanno scoperto una vulnerabilità di tipo Denial of Service nell'implementazione C++ di gRPC durante l'esecuzione di attività di fuzzing di routine. È stata rilevata nella release gRPC 1.52 ed è stata corretta nelle release 1.52.2 e 1.53.

Che cosa devo fare?

Assicurati di utilizzare le ultime versioni dei seguenti pacchetti software:

  • grpc (C++, Python, Ruby) versione 1.52, 1.53 e 1.54 devono eseguire l'upgrade alle seguenti release di patch;
    • 1.52.2
    • 1.53.1
    • 1.54.2
  • grpc (C++, Python, Ruby) versione 1.51 e precedenti non sono interessati, quindi gli utenti con queste versioni non devono intraprendere alcuna azione

Quali vulnerabilità vengono risolte da queste patch?

Queste patch mitigano le seguenti vulnerabilità:

  • Le versioni 1.53.1, 1.54.2 e successive risolvono il seguente problema: vulnerabilità di denial of service nell'implementazione gRPC C++. Richieste appositamente create possono causare la chiusura della connessione tra un proxy e un backend. Vulnerabilità di esfiltrazione di dati da remoto: la desincronizzazione nella tabella HPACK dovuta alle limitazioni delle dimensioni dell'intestazione può causare la perdita di dati dell'intestazione da parte dei backend proxy da altri client connessi a un proxy.
  • Le versioni 1.52.2, 1.53 e successive risolvono quanto segue: vulnerabilità di Denial of Service nell'implementazione C++ di gRPC. L'analisi di alcune richieste con un formato specifico può causare un arresto anomalo che influisce su un server.

Ti consigliamo di eseguire l'upgrade alle ultime versioni dei seguenti pacchetti software, come elencato sopra.

 Alta (CVE-2023-1428, CVE-2023-32731). Media (CVE-2023-32732) CVE-2023-1428, CVE-2023-32731, CVE-023-32732

GCP-2023-009

Data di pubblicazione: 6 giugno 2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) nel driver secrets-store-csi-driver, in cui un attore con accesso ai log del driver potrebbe osservare i token dei account di servizio.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Nessuno CVE-2023-2878

GCP-2023-008

Data di pubblicazione: 5 giugno 2023

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità (CVE-2023-1872) nel kernel Linux che può portare a un'escalation dei privilegi a root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1872

GCP-2023-007

Data di pubblicazione: 2 giugno 2023

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità in Cloud SQL per SQL Server che consentiva agli account amministratore dei clienti di creare trigger nel database tempdb e utilizzarli per ottenere privilegi sysadmin nell'istanza. I privilegi sysadmin consentirebbero all'utente malintenzionato di accedere ai database di sistema e di ottenere un accesso parziale alla macchina che esegue l'istanza SQL Server.

Google Cloud ha risolto il problema applicando una patch alla vulnerabilità di sicurezza entro il 1° marzo 2023. Google Cloud non ha trovato istanze di clienti compromesse.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud SQL.

 Alta

GCP-2023-005

Data di pubblicazione: 18 maggio 2023

Ultimo aggiornamento: 6 giugno 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 6 giugno 2023: le nuove versioni di GKE sono state aggiornate per includere le ultime versioni di Ubuntu che applicano patch a CVE-2023-1281 e CVE-2023-1829.

Nel kernel Linux sono state rilevate due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi a root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-1281 CVE-2023-1829

GCP-2023-004

Data di pubblicazione: 26 aprile 2023

Descrizione

Descrizione Gravità Note

Sono state scoperte due vulnerabilità (CVE-2023-1017 e CVE-2023-1018) in Trusted Platform Module (TPM) 2.0.

Le vulnerabilità avrebbero potuto consentire a un malintenzionato sofisticato di sfruttare una lettura/scrittura fuori limite di 2 byte su determinate VM di Compute Engine.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Media

GCP-2023-003

Data di pubblicazione: 11 aprile 2023

Ultimo aggiornamento: 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Nel kernel Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di eseguire l'escalation dei privilegi.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2023-0240, CVE-2023-23586

GCP-2023-002

Descrizione

Descrizione Gravità Note

Le seguenti CVE espongono Cloud Service Mesh a vulnerabilità sfruttabili:

  • CVE-2023-27496: se Envoy è in esecuzione con il filtro OAuth abilitato esposto, un malintenzionato potrebbe creare una richiesta che causerebbe un denial of service arrestando Envoy in modo anomalo.
  • CVE-2023-27488: l'utente malintenzionato può utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz.
  • CVE-2023-27493: la configurazione di Envoy deve includere anche un'opzione per aggiungere intestazioni della richiesta generate utilizzando gli input della richiesta, ad esempio il SAN del certificato peer.
  • CVE-2023-27492: gli utenti malintenzionati possono inviare corpi di richiesta di grandi dimensioni per le route con filtro Lua abilitato e attivare arresti anomali.
  • CVE-2023-27491: gli utenti malintenzionati possono inviare richieste HTTP/2 o HTTP/3 appositamente create per attivare errori di analisi nel servizio upstream HTTP/1.
  • CVE-2023-27487: l'intestazione "x-envoy-original-path" deve essere un'intestazione interna, ma Envoy non la rimuove dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh:

Alta

GCP-2023-001

Data di pubblicazione: 1° marzo 2023, 21 dicembre 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

È stata scoperta una nuova vulnerabilità (CVE-2022-4696) nel kernel Linux che può portare a un'escalation dei privilegi sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta CVE-2022-4696

GCP-2022-026

Data di pubblicazione: 11 gennaio 2023

Descrizione

Descrizione Gravità Note

Sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) in OpenSSL v3.0.6 che possono potenzialmente causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2022-025

Data di pubblicazione: 21 dicembre 2022
Ultimo aggiornamento: 19 gennaio 2023, 21 dicembre 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 19/01/2023: sono state aggiunte informazioni sulla disponibilità della versione GKE 1.21.14-gke.14100.

Sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) in OpenSSL v3.0.6 che possono potenzialmente causare un arresto anomalo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Media

GCP-2022-024

Data di pubblicazione: 9 novembre 2022

Ultimo aggiornamento: 19 gennaio 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 19/01/2023: sono state aggiunte informazioni sulla disponibilità della versione GKE 1.21.14-gke.14100.

Aggiornamento del 16/12/2022: aggiunte versioni patch per GKE e GKE on VMware.

Nel kernel Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare a un'evasione completa del container verso l'utente root sul nodo.

Per istruzioni e ulteriori dettagli, consulta:

Alta

GCP-2022-023

Data di pubblicazione: 4 novembre 2022

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di sicurezza, CVE-2022-39278, in Istio, utilizzato in Cloud Service Mesh, che consente a un malintenzionato di causare l'arresto anomalo del control plane.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-39278

GCP-2022-022

Data di pubblicazione: 28 ottobre 2022

Ultimo aggiornamento: 14 dicembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 14/12/2022: sono state aggiunte le versioni patch per GKE e GKE on VMware.

È stata scoperta una nuova vulnerabilità, CVE-2022-20409, nel kernel Linux che potrebbe consentire a un utente senza privilegi di eseguire l'escalation al privilegio di esecuzione del sistema.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-20409

GCP-2022-021

Data di pubblicazione: 27 ottobre 2022

Ultimo aggiornamento: 19/01/2023, 21/12/2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 19/01/2023: sono state aggiunte informazioni sulla disponibilità della versione GKE 1.21.14-gke.14100.

Aggiornamento del 15/12/2022: informazioni aggiornate sul fatto che la versione 1.21.14-gke.9400 di Google Kubernetes Engine è in attesa di implementazione e potrebbe essere sostituita da un numero di versione superiore.

Aggiornamento del 22/11/2022: sono state aggiunte le versioni patch per GKE on VMware, GKE on AWS e GKE on Azure.

È stata scoperta una nuova vulnerabilità, CVE-2022-3176, nel kernel Linux che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di ottenere un container breakout completo per l'accesso root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-3176

GCP-2022-020

Data di pubblicazione: 5 ottobre 2022

Ultimo aggiornamento: 12/10/2022

Descrizione

Descrizione Gravità Note

Il control plane Istio istiod è vulnerabile a un errore di elaborazione delle richieste, che consente a un utente malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida di un cluster viene esposto pubblicamente. Questo endpoint viene fornito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'utente malintenzionato.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

 Alta CVE-2022-39278

GCP-2022-019

Data di pubblicazione: 22 settembre 2022

Descrizione

Descrizione Gravità Note

Una vulnerabilità di analisi dei messaggi e gestione della memoria nelle implementazioni C++ e Python di ProtocolBuffer può attivare un errore di memoria esaurita (OOM) durante l'elaborazione di un messaggio appositamente creato. Ciò potrebbe causare un attacco denial of service (DoS) ai servizi che utilizzano le librerie.

Che cosa devo fare?

Assicurati di utilizzare le versioni più recenti dei seguenti pacchetti software:

  • protobuf-cpp (3.18.3, 3.19.5, 3.20.2, 3.21.6)
  • protobuf-python (3.18.3, 3.19.5, 3.20.2, 4.21.6)

Quali vulnerabilità vengono affrontate da questa patch?

La patch attenua la seguente vulnerabilità:

Un piccolo messaggio appositamente creato che induce il servizio in esecuzione ad allocare grandi quantità di RAM. Le dimensioni ridotte della richiesta indicano che è facile sfruttare la vulnerabilità ed esaurire le risorse. I sistemi C++ e Python che utilizzano protobuf non attendibili sarebbero vulnerabili agli attacchi DoS se contengono un oggetto MessageSet nella richiesta RPC.

Media CVE-2022-1941

GCP-2022-018

Data di pubblicazione: 1° agosto 2022

Ultimo aggiornamento: 14 settembre 2022, 21 dicembre 2023

Descrizione

Descrizione Gravità Note

Aggiornamento del 21/12/2023: chiarisce che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 14/09/2022: sono state aggiunte le versioni patch per GKE on VMware, GKE on AWS e GKE on Azure.

È stata scoperta una nuova vulnerabilità (CVE-2022-2327) nel kernel Linux che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente senza privilegi di ottenere un container breakout completo per l'accesso root sul nodo.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

Alta CVE-2022-2327

GCP-2022-017

Data di pubblicazione: 29 giugno 2022
Ultimo aggiornamento: 22 novembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: i workload che utilizzano GKE Sandbox non sono interessati da queste vulnerabilità.

Aggiornamento del 21/07/2022: informazioni aggiuntive su GKE on VMware.

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni kernel Linux 5.10 e 5.11. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di ottenere un container breakout completo per l'accesso root sul nodo. Sono interessati solo i cluster che eseguono Container-Optimized OS. Le versioni di GKE Ubuntu utilizzano la versione 5.4 o 5.15 del kernel e non sono interessate.

Per istruzioni e ulteriori dettagli, consulta:

 Alta CVE-2022-1786

GCP-2022-016

Data di pubblicazione: 23 giugno 2022
Data di aggiornamento: 22 novembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: i cluster Autopilot non sono interessati dalla vulnerabilità CVE-2022-29581, ma sono vulnerabili a CVE-2022-29582 e CVE-2022-1116.

Nel kernel Linux sono state scoperte tre nuove vulnerabilità di danneggiamento della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di ottenere un container breakout completo per l'accesso root sul nodo. Sono interessati tutti i cluster Linux (Container-Optimized OS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini:

 Alta

GCP-2022-015

Data di pubblicazione: 9 giugno 2022
Data di aggiornamento: 10 giugno 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 10 giugno 2022: le versioni di Cloud Service Mesh sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2022-31045: il piano dati Istio può potenzialmente accedere alla memoria in modo non sicuro quando sono abilitate le estensioni Metadata Exchange e Stats.
  • CVE-2022-29225: i dati possono superare i limiti del buffer intermedio se un malintenzionato passa un payload di piccole dimensioni altamente compresso (attacco zip bomb).
  • CVE-2021-29224: potenziale dereferenziazione del puntatore null in GrpcHealthCheckerImpl.
  • CVE-2021-29226: il filtro OAuth consente un bypass banale.
  • CVE-2022-29228: il filtro OAuth può danneggiare la memoria (versioni precedenti) o attivare un ASSERT() (versioni successive).
  • CVE-2022-29227: arresto anomalo dei reindirizzamenti interni per le richieste con corpo o trailer.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Critico

GCP-2022-014

Data di pubblicazione: 26 aprile 2022
Ultimo aggiornamento: 22 novembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: i cluster e i workload GKE Autopilot in esecuzione in GKE Sandbox non sono interessati.

Aggiornamento del 12/05/2022: le versioni di GKE su AWS e GKE su Azure sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Nel kernel Linux sono state rilevate due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuna di queste vulnerabilità può consentire a un utente malintenzionato locale di eseguire un container breakout, un'escalation dei privilegi sull'host o entrambi. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-1055
CVE-2022-27666

GCP-2022-013

Published: 2022-04-11
Updated: 2022-04-22

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione da parte di containerd dell'attraversamento dei percorsi nella specifica del volume dell'immagine OCI. I container avviati tramite l'implementazione CRI di containerd con una configurazione dell'immagine appositamente creata potrebbero ottenere l'accesso completo in lettura a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe aggirare qualsiasi applicazione basata su policy nella configurazione del container (inclusa una policy di sicurezza dei pod di Kubernetes).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media CVE-2022-23648

GCP-2022-012

Data di pubblicazione: 7 aprile 2022
Data di aggiornamento: 22 novembre 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 22/11/2022: per i cluster GKE in entrambe le modalità, Standard e Autopilot, i workload che utilizzano GKE Sandbox non sono interessati.

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, nella versione kernel Linux 5.8 e successive che può potenzialmente elevare i privilegi del container a root. Questa vulnerabilità interessa i seguenti prodotti:

  • Versioni pool di nodi GKE 1.22 e successive che utilizzano immagini sistema operativo Container-Optimized OS (Container-Optimized OS 93 e successive)
  • GKE on VMware v1.10 per le immagini Container-Optimized OS
  • GKE su AWS v1.21 e GKE su AWS (generazione precedente) v1.19, v1.20, v1.21, che utilizzano Ubuntu
  • Cluster gestiti di GKE su Azure v1.21 che utilizzano Ubuntu

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2022-0847

GCP-2022-011

Data di pubblicazione: 22/03/2022
Data di aggiornamento: 11/08/2022

Descrizione

Descrizione Gravità

Aggiornamento dell'11/08/2022: sono state aggiunte ulteriori informazioni sulla configurazione del multi-threading simultaneo (SMT). L'SMT doveva essere disattivato, ma è stato attivato nelle versioni elencate.

Se hai attivato manualmente SMT per un pool di nodi in modalità sandbox, SMT rimarrà attivato manualmente nonostante questo problema.

Si è verificato un errore di configurazione con il multi-threading simultaneo (SMT), noto anche come hyper-threading, sulle immagini GKE Sandbox. La configurazione errata lascia i nodi potenzialmente esposti ad attacchi side channel come il campionamento dei dati microarchitetturali (MDS) (per ulteriori informazioni, consulta la documentazione di GKE Sandbox). Ti consigliamo di non utilizzare le seguenti versioni interessate:

  • 1.22.4-gke.1501
  • 1.22.6-gke.300
  • 1.23.2-gke.300
  • 1.23.3-gke.600

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

 Media

GCP-2022-010

Descrizione

Descrizione Gravità Note

La seguente CVE di Istio espone Cloud Service Mesh a una vulnerabilità sfruttabile da remoto:

  • CVE-2022-24726: il control plane Istio, "istiod", è vulnerabile a un errore di elaborazione delle richieste, che consente a un malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida per un cluster viene esposto pubblicamente. Questo endpoint viene gestito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'utente malintenzionato.

Per istruzioni e ulteriori dettagli, consulta il seguente bollettino sulla sicurezza:

Alta

GCP-2022-009

Data di pubblicazione: 1° marzo 2022

Descrizione

Descrizione Gravità

Alcuni percorsi imprevisti per accedere alla VM del nodo sui cluster GKE Autopilot potrebbero essere stati utilizzati per l'escalation dei privilegi nel cluster. Questi problemi sono stati risolti e non sono richieste ulteriori azioni. Le correzioni risolvono i problemi segnalati tramite il nostro Vulnerability Reward Program.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE

 Bassa

GCP-2022-008

Data di pubblicazione: 23 febbraio 2022
Ultimo aggiornamento: 28 aprile 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 28/04/2022: sono state aggiunte versioni di GKE on VMware che correggono queste vulnerabilità. Per maggiori dettagli, consulta il bollettino sulla sicurezza di GKE on VMware.

Il progetto Envoy ha recentemente scoperto una serie di vulnerabilità. Tutti i problemi elencati di seguito sono stati risolti nella release 1.21.1 di Envoy.
  • CVE-2022-23606: quando un cluster viene eliminato tramite il servizio di rilevamento dei cluster (CDS), tutte le connessioni inattive stabilite con gli endpoint in quel cluster vengono disconnesse. Nella versione 1.19 di Envoy è stata erroneamente introdotta una ricorsione nella procedura di disconnessione delle connessioni inattive che può portare all'esaurimento dello stack e alla terminazione anomala del processo quando un cluster ha un numero elevato di connessioni inattive.
  • CVE-2022-21655: il codice di reindirizzamento interno di Envoy presuppone l'esistenza di una voce di route. Quando viene eseguito un reindirizzamento interno a una route che ha una voce di risposta diretta e nessuna voce di route, viene annullato il riferimento a un puntatore null e si verifica un arresto anomalo.
  • CVE-2021-43826: quando Envoy è configurato per utilizzare tcp_proxy, che utilizza il tunneling upstream (su HTTP) e la terminazione TLS downstream, Envoy si arresta in modo anomalo se il client downstream si disconnette durante il TLS handshake mentre lo stream HTTP upstream è ancora in fase di stabilimento. La disconnessione downstream può essere avviata dal client o dal server. Il client può disconnettersi per qualsiasi motivo. Il server potrebbe disconnettersi se, ad esempio, non dispone di crittografie TLS o versioni del protocollo TLS compatibili con il client. Potrebbe essere possibile attivare questo arresto anomalo anche in altre configurazioni downstream.
  • CVE-2021-43825: l'invio di una risposta generata localmente deve interrompere l'ulteriore elaborazione dei dati della richiesta o della risposta. Envoy monitora la quantità di dati di richiesta e risposta memorizzati nel buffer e interrompe la richiesta se la quantità di dati memorizzati nel buffer supera il limite inviando risposte 413 o 500. Tuttavia, quando viene inviata una risposta generata localmente a causa dell'overflow del buffer interno mentre la risposta viene elaborata dalla catena di filtri, l'operazione potrebbe non essere interrotta correttamente e comportare l'accesso a un blocco di memoria liberato.
  • CVE-2021-43824: Envoy si arresta in modo anomalo quando utilizza il filtro JWT con una regola di corrispondenza "safe_regex" e una richiesta appositamente creata come "CONNECT host:port HTTP/1.1". Quando raggiunge il filtro JWT, una regola "safe_regex" deve valutare il percorso dell'URL, ma qui non ce n'è uno ed Envoy si arresta in modo anomalo con errori di segmentazione.
  • CVE-2022-21654: Envoy consentiva erroneamente la ripresa della sessione TLS dopo la riconfigurazione delle impostazioni di convalida mTLS. Se un certificato client era consentito con la configurazione precedente, ma non con quella nuova, il client potrebbe riprendere la sessione TLS precedente anche se la configurazione attuale non lo consente. Le modifiche alle seguenti impostazioni sono interessate:
    • match_subject_alt_names
    • Modifiche CRL
    • allow_expired_certificate
    • Trust_chain_verification
    • only_verify_leaf_cert_crl
  • CVE-2022-21657: Envoy non limita l'insieme di certificati che accetta dal peer, come client TLS o server TLS, solo ai certificati che contengono l'extendedKeyUsage necessario (rispettivamente id-kp-serverAuth e id-kp-clientAuth). Ciò significa che un peer può presentare un certificato email (ad es. id-kp-emailProtection), come certificato foglia o come CA nella catena, e verrà accettato per TLS. Questo è particolarmente grave se combinato con CVE-2022-21656 , in quanto consente a una CA PKI web destinata solo all'uso con S/MIME, e quindi esentata da audit o supervisione, di emettere certificati TLS che verranno accettati da Envoy.
  • CVE-2022-21656: l'implementazione del programma di convalida utilizzata per implementare le routine di convalida dei certificati predefinite presenta un bug di "confusione dei tipi" durante l'elaborazione di subjectAltNames. Questa elaborazione consente, ad esempio, di autenticare un rfc822Name o un uniformResourceIndicator come nome di dominio. Questa confusione consente di bypassare nameConstraints, come elaborato dall'implementazione OpenSSL/BoringSSL sottostante, esponendo alla possibilità di furto d'identità di server arbitrari.
Per istruzioni dettagliate relative a prodotti specifici, consulta i seguenti bollettini sulla sicurezza:
Che cosa devo fare?
Gli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi di utilizzare la release 1.21.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i binari da un'origine come GitHub ed eseguono il deployment.

Non è richiesta alcuna azione da parte degli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy), per i quali i prodotti Google Cloud passeranno alla versione 1.21.1. 		Alta CVE-2022-23606
CVE-2022-21655
CVE-2021-43826
CVE-2021-43825
CVE-2021-43824
CVE-2022-21654
CVE-2022-21657
CVE-2022-21656

GCP-2022-007

Data di pubblicazione: 22 febbraio 2022

Descrizione

Descrizione Gravità Note

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2022-23635: Istiod si arresta in modo anomalo quando riceve richieste con un'intestazione authorization appositamente creata.
  • CVE-2021-43824: potenziale dereferenziazione del puntatore null quando si utilizza la corrispondenza safe_regex del filtro JWT
  • CVE-2021-43825: Use After Free quando i filtri di risposta aumentano i dati di risposta e i dati aumentati superano i limiti del buffer downstream.
  • CVE-2021-43826: Use After Free durante il tunneling TCP su HTTP, se il downstream si disconnette durante la creazione della connessione upstream.
  • CVE-2022-21654: la gestione errata della configurazione consente il riutilizzo della sessione mTLS senza riconvalida dopo la modifica delle impostazioni di convalida.
  • CVE-2022-21655: gestione errata dei reindirizzamenti interni alle route con una voce di risposta diretta.
  • CVE-2022-23606: esaurimento dello stack quando un cluster viene eliminato tramite il servizio di rilevamento dei cluster.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2022-006

Data di pubblicazione: 14/02/2022
Data di aggiornamento: 16/05/2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 16/05/2022: è stata aggiunta la versione GKE 1.19.16-gke.7800 o successiva all'elenco delle versioni con codice per correggere questa vulnerabilità. Per maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Aggiornamento del 12/05/2022: le versioni di GKE, GKE on VMware, GKE on AWS e GKE on Azure sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

È stata rilevata una vulnerabilità di sicurezza, CVE-2022-0492, nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi utente non privilegiati e, in determinate circostanze, questa vulnerabilità può essere sfruttata per il container breakout.

 Bassa

Per istruzioni e ulteriori dettagli, consulta:

GCP-2022-005

Data di pubblicazione: 11/02/2022
Data di aggiornamento: 15/02/2022

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità della sicurezza, CVE-2021-43527, in qualsiasi programma binario che si collega alle versioni vulnerabili di libnss3 presenti nelle versioni di NSS (Network Security Services) precedenti alla 3.73 o alla 3.68.1. Le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL potrebbero essere interessate, a seconda di come viene utilizzato/configurato NSS.

Per istruzioni e ulteriori dettagli, consulta:

Media CVE-2021-43527

GCP-2022-004

Data di pubblicazione: 4 febbraio 2022

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità di sicurezza, CVE-2021-4034, in pkexec, una parte del pacchetto del kit di policy Linux (polkit), che consente a un utente autenticato di eseguire un attacco di escalation dei privilegi. PolicyKit viene generalmente utilizzato solo sui sistemi desktop Linux per consentire agli utenti non root di eseguire azioni come il riavvio del sistema, l'installazione di pacchetti, il riavvio dei servizi e così via, in base a una policy.

Per istruzioni e ulteriori dettagli, consulta:

Nessuno CVE-2021-4034

GCP-2022-002

Data di pubblicazione: 1° febbraio 2022
Ultimo aggiornamento: 25 febbraio 2022

Descrizione

Descrizione Gravità Note

Aggiornamento del 25/02/2022: le versioni di GKE sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Aggiornamento del 23/02/2022: le versioni di GKE e GKE on VMware sono state aggiornate. Per istruzioni e ulteriori dettagli, consulta:

Aggiornamento del 4 febbraio 2022: la data di inizio dell'implementazione delle versioni patch di GKE era il 2 febbraio.

Nel kernel Linux sono state rilevate tre vulnerabilità della sicurezza, CVE-2021-4154, CVE-2021-22600 e CVE-2022-0185, ognuna delle quali può causare un container breakout, un'escalation dei privilegi sull'host o entrambi. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE on VMware, GKE on AWS (generazione attuale e precedente) e GKE on Azure. I pod che utilizzano GKE Sandbox non sono vulnerabili a queste vulnerabilità. Per ulteriori dettagli, consulta le note di rilascio di COS.

Per istruzioni e ulteriori dettagli, consulta:

Alta

GCP-2022-001

Data di pubblicazione: 6 gennaio 2022

Descrizione

Descrizione Gravità Note

È stato rilevato un potenziale problema di Denial of Service in protobuf-java nella procedura di analisi dei dati binari.

Che cosa devo fare?

Assicurati di utilizzare le ultime versioni dei seguenti pacchetti software:

  • protobuf-java (3.16.1, 3.18.2, 3.19.2)
  • protobuf-kotlin (3.18.2, 3.19.2)
  • google-protobuf [gemma JRuby] (3.19.2)

Gli utenti di Protobuf "javalite" (in genere Android) non sono interessati.

Quali vulnerabilità vengono risolte da questa patch?

La patch attenua la seguente vulnerabilità:

Una debolezza di implementazione nel modo in cui i campi sconosciuti vengono analizzati in Java. Un payload dannoso di piccole dimensioni (~800 KB) può occupare l'analizzatore per diversi minuti creando un numero elevato di oggetti di breve durata che causano pause di garbage collection frequenti e ripetute.

 Alta CVE-2021-22569

GCP-2021-024

Data di pubblicazione: 21 ottobre 2021

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza nel controller ingress-nginx di Kubernetes, CVE-2021-25742. Gli snippet personalizzati di ingress-nginx consentono il recupero dei token e dei secret account di servizio ingress-nginx in tutti i namespace.

Per istruzioni e ulteriori dettagli, consulta:

Nessuno CVE-2021-25742

GCP-2021-019

Data di pubblicazione: 29 settembre 2021

Descrizione

Descrizione Gravità Note

Esiste un problema noto per cui l'aggiornamento di una risorsa BackendConfig utilizzando l'API v1beta1 rimuove una policy di sicurezza Google Cloud Armor attiva dal relativo servizio.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

 Bassa

GCP-2021-022

Data di pubblicazione: 22 settembre 2021

Descrizione

Descrizione Gravità Note

È stata rilevata una vulnerabilità nel modulo LDAP del servizio di identità GKE Enterprise (AIS) di GKE on VMware versioni 1.8 e 1.8.1, in cui una chiave seed utilizzata per generare le chiavi è prevedibile. Con questa vulnerabilità, un utente autenticato potrebbe aggiungere claim arbitrari ed eseguire l'escalation dei privilegi a tempo indeterminato.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE on VMware.

 Alta

GCP-2021-021

Data di pubblicazione: 22 settembre 2021

Descrizione

Descrizione Gravità Note

È stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, in Kubernetes, in cui determinati webhook possono essere utilizzati per reindirizzare le richieste kube-apiserver alle reti private di quel server API.

Per istruzioni e ulteriori dettagli, consulta:

Media CVE-2020-8561

GCP-2021-023

Data di pubblicazione: 21 settembre 2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0020, VMware ha ricevuto segnalazioni di più vulnerabilità in vCenter. VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo già applicato le patch fornite da VMware per lo stack vSphere a Google Cloud VMware Engine in base al bollettino sulla sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità della sicurezza descritte in CVE-2021-22005, CVE-2021-22006, CVE-2021-22007, CVE-2021-22008 e CVE-2021-22010. Altri problemi di sicurezza non critici verranno risolti nel prossimo upgrade dello stack VMware (come da preavviso inviato a luglio, a breve verranno forniti ulteriori dettagli sulla sequenza temporale specifica dell'upgrade).

Impatto di VMware Engine

In base alle nostre indagini, non sono stati rilevati clienti interessati.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-020

Data di pubblicazione: 17 settembre 2021

Descrizione

Descrizione Gravità Note

Alcuni bilanciatori del carico di Google Cloud che eseguono il routing a un servizio di backend abilitato per Identity-Aware Proxy (IAP) potrebbero essere stati vulnerabili a una parte non attendibile in condizioni limitate. In questo modo viene risolto un problema segnalato tramite il nostro Vulnerability Reward Program.

Le condizioni erano che i server:
  • Bilanciatori del carico HTTP(S) e
  • Utilizzava un backend predefinito o un backend con una regola di mappatura host con carattere jolly (ovvero host="*")

Inoltre, un utente della tua organizzazione deve aver fatto clic su un link appositamente creato inviato da una parte non attendibile.

Ora il problema è stato risolto. IAP è stato aggiornato per emettere cookie solo per gli host autorizzati a partire dal 17 settembre 2021. Un host è considerato autorizzato se corrisponde ad almeno un nome alternativo del soggetto (SAN) in uno dei certificati installati sui bilanciatori del carico.

Cosa fare

Alcuni dei tuoi utenti potrebbero ricevere una risposta HTTP 401 Non autorizzato con un codice di errore IAP 52 durante il tentativo di accedere ad app o servizi. Questo codice di errore indica che il client ha inviato un'intestazione Host che non corrisponde ad alcun nome alternativo del soggetto associato ai certificati SSL del bilanciatore del carico. L'amministratore del bilanciatore del carico deve aggiornare il certificato SSL per assicurarsi che l'elenco dei nomi alternativi del soggetto (SAN) contenga tutti i nomi host tramite i quali gli utenti accedono alle app o ai servizi protetti da IAP. Scopri di più sui codici di errore IAP.

Alta

GCP-2021-018

Data di pubblicazione: 15 settembre 2021
Ultimo aggiornamento: 20 settembre 2021

Descrizione

Descrizione Gravità Note

È stato rilevato un problema di sicurezza in Kubernetes, CVE-2021-25741, in cui un utente potrebbe essere in grado di creare un container con montaggi di volumi di sottopercorsi per accedere a file e directory all'esterno del volume, anche sul file system host.

Per istruzioni e ulteriori dettagli, consulta:

Alta CVE-2021-25741

GCP-2021-017

Data di pubblicazione: 1° settembre 2021
Ultimo aggiornamento: 23 settembre 2021

Descrizione

Descrizione Gravità Note

Aggiornamento del 23/09/2021: i container in esecuzione all'interno di GKE Sandbox non sono interessati da questa vulnerabilità per gli attacchi provenienti dall'interno del container.

Nel kernel Linux sono state rilevate due vulnerabilità di sicurezza, CVE-2021-33909 e CVE-2021-33910, che possono causare un arresto anomalo del sistema operativo o un'escalation a root da parte di un utente senza privilegi. Questa vulnerabilità interessa tutti i sistemi operativi dei nodi GKE (COS e Ubuntu).

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-33909, CVE-2021-33910

GCP-2021-016

Published: 2021-08-24

Descrizione

Descrizione Gravità Note

Le seguenti CVE di Envoy e Istio espongono Cloud Service Mesh e Istio su GKE a vulnerabilità sfruttabili da remoto:

  • CVE-2021-39156: le richieste HTTP con un frammento (una sezione alla fine di un URI che inizia con un carattere #) nel percorso URI potrebbero bypassare le policy di autorizzazione basate sul percorso URI di Istio.
  • CVE-2021-39155: le richieste HTTP potrebbero potenzialmente bypassare una policy di autorizzazione Istio quando si utilizzano regole basate su hosts o notHosts.
  • CVE-2021-32781: interessa le estensioni decompressor, json-transcoder o grpc-web di Envoy o le estensioni proprietarie che modificano e aumentano le dimensioni dei corpi delle richieste o delle risposte. La modifica e l'aumento delle dimensioni del corpo in un'estensione di Envoy oltre le dimensioni del buffer interno potrebbero comportare l'accesso di Envoy alla memoria deallocata e la sua interruzione anomala.
  • CVE-2021-32780: un servizio upstream non attendibile potrebbe causare l'arresto anomalo di Envoy inviando il frame GOAWAY seguito dal frame SETTINGS con il parametro SETTINGS_MAX_CONCURRENT_STREAMS impostato su 0. (Non applicabile a Istio on GKE)
  • CVE-2021-32778: un client Envoy che apre e poi reimposta un numero elevato di richieste HTTP/2 potrebbe causare un consumo eccessivo della CPU. (Non applicabile a Istio on GKE)
  • CVE-2021-32777: le richieste HTTP con intestazioni di valori multipli potrebbero eseguire un controllo incompleto della policy di autorizzazione quando viene utilizzata l'estensione ext_authz.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta

GCP-2021-015

Data di pubblicazione: 13/07/2021
Data di aggiornamento: 15/07/2021

Descrizione

Descrizione Gravità Note

È stata scoperta una nuova vulnerabilità di sicurezza, CVE-2021-22555, in cui un malintenzionato con privilegi CAP_NET_ADMIN può potenzialmente causare un container breakout per eseguire l'accesso root sull'host. Questa vulnerabilità interessa tutti i cluster GKE e GKE on VMware che eseguono Linux versione 2.6.19 o successive.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Alta CVE-2021-22555

GCP-2021-014

Data di pubblicazione: 5 luglio 2021

Descrizione

Descrizione Gravità Note

Microsoft ha pubblicato un bollettino sulla sicurezza relativo a una vulnerabilità di esecuzione di codice remoto (RCE), CVE-2021-34527, che interessa lo spooler di stampa nei server Windows. Il CERT Coordination Center (CERT/CC) ha pubblicato una nota di aggiornamento su una vulnerabilità correlata, denominata "PrintNightmare", che interessa anche gli spooler di stampa di Windows: PrintNightmare, Critical Windows Print Spooler Vulnerability

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Alta CVE-2021-34527

GCP-2021-012

Data di pubblicazione: 24 giugno 2021
Data di aggiornamento: 9 luglio 2021

Descrizione

Descrizione Gravità Note

Il progetto Istio ha recentemente annunciato una vulnerabilità della sicurezza in cui è possibile accedere alle credenziali specificate nel campo credentialName di Gateway e DestinationRule da spazi dei nomi diversi.

Per istruzioni specifiche per i prodotti e ulteriori dettagli, consulta:

 Alta CVE-2021-34824

GCP-2021-011

Data di pubblicazione: 4 giugno 2021
Ultimo aggiornamento: 19 ottobre 2021

Descrizione

Descrizione Gravità Note

Aggiornamento del 19 ottobre 2021:

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

La community della sicurezza ha recentemente divulgato una nuova vulnerabilità della sicurezza (CVE-2021-30465) rilevata in runc che potrebbe consentire l'accesso completo a un file system del nodo.

Per GKE, poiché lo sfruttamento di questa vulnerabilità richiede la capacità di creare pod, abbiamo valutato la gravità di questa vulnerabilità come MEDIA.

Per istruzioni e maggiori dettagli, consulta il bollettino sulla sicurezza di GKE.

Media CVE-2021-30465

GCP-2021-010

Data di pubblicazione: 25 maggio 2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0010, le vulnerabilità di esecuzione di codice remoto e bypass dell'autenticazione in vSphere Client (HTML5) sono state segnalate privatamente a VMware. VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le patch fornite da VMware per lo stack vSphere in base al bollettino sulla sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità di sicurezza descritte in CVE-2021-21985 e CVE-2021-21986. Le versioni immagine in esecuzione nel tuo cloud privato VMware Engine non riflettono alcuna modifica in questo momento per indicare le patch applicate. Ti assicuriamo che sono state installate le patch appropriate e che il tuo ambiente è protetto da queste vulnerabilità.

Impatto di VMware Engine

In base alle nostre indagini, non sono stati rilevati clienti interessati.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-008

Data di pubblicazione: 17 maggio 2021

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto in cui un client esterno può accedere a servizi imprevisti nel cluster, bypassando i controlli di autorizzazione, quando un gateway è configurato con la configurazione di routing AUTO_PASSTHROUGH.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31921

GCP-2021-007

Data di pubblicazione: 17 maggio 2021

Descrizione

Descrizione Gravità Note

Istio contiene una vulnerabilità sfruttabile da remoto in cui un percorso di richiesta HTTP con più barre o caratteri di barra di escape (%2F o %5C) potrebbe potenzialmente bypassare una policy di autorizzazione Istio quando vengono utilizzate regole di autorizzazione basate sul percorso.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Cloud Service Mesh.

Alta

 CVE-2021-31920

GCP-2021-006

Data di pubblicazione: 11 maggio 2021

Descrizione

Descrizione Gravità Note

Il progetto Istio ha recentemente divulgato una nuova vulnerabilità della sicurezza (CVE-2021-31920) che interessa Istio.

Istio contiene una vulnerabilità sfruttabile da remoto in cui una richiesta HTTP con più barre o caratteri di barra con escape può bypassare la policy di autorizzazione di Istio quando vengono utilizzate regole di autorizzazione basate sul percorso.

Per istruzioni e ulteriori dettagli, consulta:

Alta

 CVE-2021-31920

GCP-2021-005

Data di pubblicazione: 11 maggio 2021

Descrizione

Descrizione Gravità Note

Una vulnerabilità segnalata ha dimostrato che Envoy non decodifica le sequenze di barre con escape %2F e %5C nei percorsi degli URL HTTP nelle versioni di Envoy 1.18.2 e precedenti. Inoltre, alcuni prodotti basati su Envoy non abilitano i controlli di normalizzazione dei percorsi. Un utente malintenzionato remoto potrebbe creare un percorso con barre di escape (ad esempio, /something%2F..%2Fadmin,) per bypassare controllo dell'accesso (ad esempio, un blocco su /admin). Un server di backend potrebbe quindi decodificare le sequenze di barre e normalizzare il percorso per fornire a un utente malintenzionato un accesso oltre l'ambito previsto dalla policy di controllo dell'accesso.

Che cosa devo fare?

Se i server di backend trattano / e %2F o \ e %5C in modo intercambiabile ed è configurata una corrispondenza basata sul percorso dell'URL, ti consigliamo di riconfigurare il server di backend in modo che non tratti \ e %2F o \ e %5C in modo intercambiabile, se possibile.

Quali modifiche comportamentali sono state introdotte?

Le opzioni normalize_path e merge adjacent slashes di Envoy sono state attivate per risolvere altre vulnerabilità comuni di confusione dei percorsi nei prodotti basati su Envoy.

Alta

 CVE-2021-29492

GCP-2021-004

Data di pubblicazione: 6 maggio 2021

Descrizione

Descrizione Gravità Note

I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità della sicurezza (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258) che potrebbero consentire a un malintenzionato di causare l'arresto anomalo di Envoy.

I cluster Google Kubernetes Engine non eseguono Istio per impostazione predefinita e non sono vulnerabili. Se Istio è stato installato in un cluster e configurato per esporre i servizi a internet, questi servizi potrebbero essere vulnerabili ad attacchi denial of service.

Google Distributed Cloud Virtual per Bare Metal e GKE on VMware utilizzano Envoy per impostazione predefinita per Ingress, pertanto i servizi Ingress potrebbero essere vulnerabili ad attacchi denial of service.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media

GCP-2021-003

Data di pubblicazione: 19 aprile 2021

Descrizione

Descrizione Gravità Note

Il progetto Kubernetes ha recentemente annunciato una nuova vulnerabilità della sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di ammissione di convalida.

In uno scenario in cui un utente malintenzionato dispone di privilegi sufficienti e in cui è implementato un webhook di ammissione di convalida che utilizza le proprietà degli oggetti Node precedenti (ad esempio i campi in Node.NodeSpec), l'utente malintenzionato potrebbe aggiornare le proprietà di un nodo che potrebbe portare a una compromissione del cluster. Nessuna delle policy applicate dai controller di ammissione integrati di GKE e Kubernetes è interessata, ma consigliamo ai clienti di controllare eventuali webhook di ammissione aggiuntivi installati.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Media

CVE-2021-25735

GCP-2021-002

Data di pubblicazione: 5 marzo 2021

Descrizione

Descrizione Gravità Note

In base all'avviso di sicurezza VMware VMSA-2021-0002, VMware ha ricevuto segnalazioni di più vulnerabilità in VMware ESXi e vSphere Client (HTML5). VMware ha reso disponibili aggiornamenti per correggere queste vulnerabilità nei prodotti VMware interessati.

Abbiamo applicato le soluzioni alternative documentate ufficialmente per lo stack vSphere, come indicato nell'avviso di sicurezza di VMware. Questo aggiornamento risolve le vulnerabilità della sicurezza descritte in CVE-2021-21972, CVE-2021-21973 e CVE-2021-21974.

Impatto di VMware Engine

In base alle nostre indagini, non sono stati rilevati clienti interessati.

Che cosa devo fare?

Poiché i cluster VMware Engine non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni.

 Critico

GCP-2021-001

Data di pubblicazione: 28 gennaio 2021

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nell'utilità Linux sudo, descritta in CVE-2021-3156, che potrebbe consentire a un malintenzionato con accesso alla shell locale non privilegiato su un sistema con sudo installato di eseguire l'escalation dei propri privilegi a root sul sistema.

L'infrastruttura sottostante che esegue Compute Engine non è interessata da questa vulnerabilità.

Tutti i cluster Google Kubernetes Engine (GKE), GKE on VMware, GKE on AWS e Google Distributed Cloud Virtual for Bare Metal non sono interessati da questa vulnerabilità.

Per istruzioni e ulteriori dettagli, consulta i seguenti bollettini sulla sicurezza:

Nessuno CVE-2021-3156

GCP-2020-015

Data di pubblicazione: 7 dicembre 2020
Ultimo aggiornamento: 22 dicembre 2020

Descrizione

Descrizione Gravità Note

Aggiornato: 22/12/2021 Il comando per GKE nella sezione seguente deve utilizzare gcloud beta anziché il comando gcloud. 

gcloud container clusters update –no-enable-service-externalips
Aggiornamento: 15/12/2021 Per GKE, è ora disponibile la seguente mitigazione:
  1. A partire dalla versione 1.21 di GKE, i servizi con ExternalIP sono bloccati da un controller di ammissione DenyServiceExternalIPs abilitato per impostazione predefinita per i nuovi cluster.
  2. I clienti che eseguono l'upgrade a GKE versione 1.21 possono bloccare i servizi con ExternalIP utilizzando il seguente comando: 
    gcloud container clusters update –no-enable-service-externalips

Per saperne di più, consulta Rafforzamento della sicurezza del cluster.

Il progetto Kubernetes ha scoperto di recente una nuova vulnerabilità della sicurezza, CVE-2020-8554, che potrebbe consentire a un malintenzionato che ha ottenuto le autorizzazioni per creare un servizio Kubernetes di tipo LoadBalancer o ClusterIP di intercettare il traffico di rete proveniente da altri pod nel cluster. Questa vulnerabilità di per sé non concede a un utente malintenzionato le autorizzazioni per creare un servizio Kubernetes.

Tutti i cluster Google Kubernetes Engine (GKE), GKE on VMware e GKE on AWS sono interessati da questa vulnerabilità.

Che cosa devo fare?

Per istruzioni e ulteriori dettagli, consulta:

Media

 CVE-2020-8554

GCP-2020-014

Data di pubblicazione: 20/10/2020
Data di aggiornamento: 20/10/2020

Descrizione

Descrizione Gravità Note

Il progetto Kubernetes ha recentemente scoperto diversi problemi che consentono l'esposizione di dati secreti quando sono abilitate le opzioni di logging dettagliato. I problemi sono:

  • CVE-2020-8563: fughe di secret nei log per kube-controller-manager del provider vSphere
  • CVE-2020-8564: fuga di secret di configurazione Docker quando il file non è valido e loglevel >= 4
  • CVE-2020-8565: la correzione incompleta per CVE-2019-11250 in Kubernetes consente la fuga di token nei log quando logLevel >= 9. Rilevato da GKE Security.
  • CVE-2020-8566: Ceph RBD adminSecrets exposed in logs when loglevel >= 4

Che cosa devo fare?

Non sono necessarie ulteriori azioni grazie ai livelli di logging di Preferenze di lettura predefiniti di GKE.

Nessuno

ImpattoGoogle Cloud

Di seguito sono riportati i dettagli del prodotto.

Prodotto

Impatto

Google Kubernetes Engine (GKE)

Google Kubernetes Engine (GKE) non è interessato.

GKE On-Prem

GKE On-Prem non è interessato.

GKE su AWS

GKE su AWS non è interessato.

GCP-2020-013

Data di pubblicazione: 29 settembre 2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1472 — Una vulnerabilità in Windows Server consente agli aggressori di utilizzare il protocollo remoto Netlogon per eseguire un'applicazione appositamente creata su un dispositivo della rete.

Punteggio di base NVD: 10 (critico)

CVE-2020-1472

Per saperne di più, consulta l'informativa di Microsoft.

ImpattoGoogle Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1472

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

I clienti che utilizzano macchine virtuali Compute Engine con Windows Server devono assicurarsi che le loro istanze siano state aggiornate con la versione più recente di Windows.toppa oppure utilizzare immagini di Windows Server pubblicate dopo il 17/08/2020 (v20200813 o superiore).

Google Kubernetes Engine

CVE-2020-1472

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

Tutti i clienti che ospitano domain controller nei propri nodi GKE Windows Server devono assicurarsi che sia i nodi sia i workload containerizzati eseguiti su questi nodi abbiano l'immagine del nodo Windows più recente, quando è disponibile. Una nuova versione dell'immagine nodo verrà annunciata nelle note di rilascio di GKE a ottobre.

Managed Service for Microsoft Active Directory

CVE-2020-1472

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

La patch di agosto rilasciata da Microsoft che include correzioni al protocollo NetLogon è stata applicata a tutti i domain controller di Managed Microsoft AD. Questa patch offre funzionalità per proteggere da potenziali exploit. L'applicazione tempestiva delle patch è uno dei principali vantaggi dell'utilizzo di Managed Service for Microsoft Active Directory. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano il servizio gestito di Google Cloud) devono assicurarsi che le loro istanze dispongano della patch di Windows più recente o utilizzare immagini di Windows Server.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

ambiente standard App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run Functions

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Airflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Spark

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-012

Data di pubblicazione: 14 settembre 2020
Data di aggiornamento: 17 settembre 2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-14386, che potrebbe consentire un attacco container escape per ottenere i privilegi di root sul nodo host.

Sono interessati tutti i nodi GKE. I pod in esecuzione in GKE Sandbox non sono in grado di sfruttare questa vulnerabilità.

Per istruzioni e ulteriori dettagli, consulta:


Quale vulnerabilità viene risolta da questa patch?

La patch riduce la seguente vulnerabilità:

La vulnerabilità CVE-2020-14386, che consente ai container con CAP_NET_RAW
di scrivere da 1 a 10 byte di memoria del kernel ed eventualmente di uscire dal container e ottenere i privilegi di root sul nodo host. Questa vulnerabilità è classificata come ad alta gravità.

Alta

CVE-2020-14386

GCP-2020-011

Data di pubblicazione: 24 luglio 2020

Descrizione

Descrizione Gravità Note

Di recente è stata rilevata una vulnerabilità di networking, CVE-2020-8558, in Kubernetes. A volte i servizi comunicano con altre applicazioni in esecuzione all'interno dello stesso pod utilizzando l'interfaccia di loopback locale (127.0.0.1). Questa vulnerabilità consente a un utente malintenzionato con accesso alla rete del cluster di inviare traffico all'interfaccia di loopback dei pod e dei nodi adiacenti. I servizi che si basano sull'interfaccia di loopback non accessibile all'esterno del pod potrebbero essere sfruttati.

Per istruzioni e ulteriori dettagli, consulta:

Basso (GKE e GKE su AWS),
Medio (GKE su VMware)

CVE-2020-8558

GCP-2020-010

Data di pubblicazione: 27 luglio 2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-1350 — I server Windows che fungono da server DNS possono essere sfruttati per eseguire codice non attendibile dall'account di sistema locale.

Punteggio di base NVD: 10.0 (critico)

CVE-2020-1350

Per saperne di più, consulta l'informativa di Microsoft.

ImpattoGoogle Cloud

L'infrastruttura che ospita i prodotti Google Cloud e Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-1350

Per la maggior parte dei clienti, non sono richieste ulteriori azioni.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server con capacità di server DNS devono assicurarsi che le loro istanze dispongano della patch Windows più recente o utilizzare le immagini Windows Server fornite dal 14/07/2020.

Google Kubernetes Engine

CVE-2020-1350

Per la maggior parte dei clienti, non sono richieste ulteriori azioni.

I clienti che utilizzano GKE con un nodo Windows Server in qualità di server DNS devono aggiornare manualmente i nodi e i workload containerizzati eseguiti su questi nodi a una versione di Windows Server contenente la correzione.

Managed Service for Microsoft Active Directory

CVE-2020-1350

Per la maggior parte dei clienti, non sono richieste ulteriori azioni.

Tutti i domini Managed Microsoft AD sono stati aggiornati automaticamente con l'immagine con patch. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano Managed Microsoft AD) devono assicurarsi che le proprie istanze dispongano della patch Windows più recente o utilizzare le immagini Windows Server fornite dal 14/07/2020.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

ambiente standard App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run Functions

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Airflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Spark

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2020-009

Data di pubblicazione: 15 luglio 2020

Descrizione

Descrizione Gravità Note

Di recente è stata scoperta in Kubernetes una vulnerabilità di escalation dei privilegi, CVE-2020-8559. Questa vulnerabilità consente a un malintenzionato che ha già compromesso un nodo di eseguire un comando in qualsiasi pod del cluster. L'utente malintenzionato può quindi utilizzare il nodo già compromesso per compromettere altri nodi e potenzialmente leggere informazioni o causare azioni distruttive.

Tieni presente che, affinché un utente malintenzionato possa sfruttare questa vulnerabilità, un nodo nel tuo cluster deve essere già stato compromesso. Questa vulnerabilità, di per sé, non comprometterà alcun nodo del cluster.

Per istruzioni e ulteriori dettagli, consulta:

Media

CVE-2020-8559

GCP-2020-008

Data di pubblicazione: 19 giugno 2020

Descrizione

Descrizione Gravità Note

Descrizione

Le VM in cui è abilitato OS Login potrebbero essere soggette a vulnerabilità di escalation dei privilegi. Queste vulnerabilità consentono agli utenti a cui sono state concesse le autorizzazioni OS Login (ma non l'accesso amministrativo) di eseguire l'escalation all'accesso root nella VM.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

 Alta

GCP-2020-007

Data di pubblicazione: 1° giugno 2020

Descrizione

Descrizione Gravità Note

Di recente è stata rilevata in Kubernetes una vulnerabilità di tipo Server Side Request Forgery (SSRF), CVE-2020-8555, che consente ad alcuni utenti autorizzati di divulgare fino a 500 byte di informazioni sensibili dalla rete host del control plane. Il control plane di Google Kubernetes Engine (GKE) utilizza i controller di Kubernetes ed è quindi interessato da questa vulnerabilità. Ti consigliamo di eseguire l'upgrade del control plane alla versione patch più recente. Non è necessario un upgrade dei nodi.

Per istruzioni e ulteriori dettagli, consulta:

Media

CVE-2020-8555

GCP-2020-006

Data di pubblicazione: 1° giugno 2020

Descrizione

Descrizione Gravità Note

Kubernetes ha divulgato una vulnerabilità che consente a un container con privilegi di reindirizzare il traffico del nodo a un altro container. Il traffico TLS/SSH reciproco, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco. Tutti i nodi di Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione patch più recente.

Per istruzioni e ulteriori dettagli, consulta:

Media

Problema di Kubernetes 91507

GCP-2020-005

Data di pubblicazione: 7 maggio 2020

Descrizione

Vulnerabilità

Gravità

CVE

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-8835, che consente il container escape per ottenere i privilegi di root sul nodo host.

I nodi Ubuntu di Google Kubernetes Engine (GKE) che eseguono GKE 1.16 o 1.17 sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione patch più recente il prima possibile.

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE.

Alta

CVE-2020-8835

GCP-2020-004

Data di pubblicazione: 31 marzo 2020
Data di aggiornamento: 31 marzo 2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254: si tratta di una vulnerabilità di tipo Denial of Service (DoS) che interessa il server API.

Media

CVE-2019-11254

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE on VMware.

GCP-2020-003

Data di pubblicazione: 31 marzo 2020
Data di aggiornamento: 31 marzo 2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11254: si tratta di una vulnerabilità Denial of Service (DoS) che interessa il server API.

Media

CVE-2019-11254

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE.

GCP-2020-002

Data di pubblicazione: 23 marzo 2020
Data di aggiornamento: 23 marzo 2020

Descrizione

Kubernetes ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-8551: si tratta di una vulnerabilità di tipo Denial of Service (DoS) che interessa kubelet.

Media

CVE-2020-8551

CVE-2020-8552: si tratta di una vulnerabilità di tipo Denial of Service (DoS) che interessa il server API.

Media

CVE-2020-8552

Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE.

GCP-2020-001

Data di pubblicazione: 21 gennaio 2020
Data di aggiornamento: 21 gennaio 2020

Descrizione

Microsoft ha divulgato la seguente vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2020-0601: questa vulnerabilità è nota anche come vulnerabilità di spoofing dell'API Windows Crypto. Potrebbe essere sfruttata per far apparire attendibili file eseguibili dannosi o consentire all'utente malintenzionato di condurre attacchi man-in-the-middle e decriptare informazioni riservate sulle connessioni degli utenti al software interessato.

Punteggio base NVD: 8,1 (Alta)

CVE-2020-0601

Per saperne di più, consulta l'informativa di Microsoft.

ImpattoGoogle Cloud

L'infrastruttura che ospita Google Cloud e i prodotti Google non è interessata da questa vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2020-0601

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

I clienti che utilizzano macchine virtuali Compute Engine che eseguono Windows Server devono assicurarsi che le loro istanze dispongano della patch di Windows più recente o utilizzare le immagini Windows Server fornite dal 15/01/2020. Per maggiori dettagli, consulta il bollettino sulla sicurezza di Compute Engine.

Google Kubernetes Engine

CVE-2020-0601

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

Per i clienti che utilizzano GKE con nodi Windows Server, sia i nodi sia i workload containerizzati eseguiti su questi nodi devono essere aggiornati alle versioni con patch per mitigare questa vulnerabilità. Per istruzioni e ulteriori dettagli, consulta il bollettino sulla sicurezza di GKE.

Managed Service for Microsoft Active Directory

CVE-2020-0601

Per la maggior parte dei clienti, non è necessario intraprendere nessun'altra azione.

Tutti i domini Managed Microsoft AD sono stati aggiornati automaticamente con l'immagine con patch. Tutti i clienti che eseguono manualmente Microsoft Active Directory (e non utilizzano Managed Microsoft AD) devono assicurarsi che le proprie istanze dispongano della patch di Windows più recente o utilizzare le immagini di Windows Server fornite dal 15/01/2020.

Google Workspace

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

ambiente standard App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Ambiente flessibile di App Engine

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud Run Functions

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Airflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Dataflow

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Managed Service for Apache Spark

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

Cloud SQL

Non è richiesta alcuna azione da parte del cliente.

Questo servizio non è interessato da questa vulnerabilità.

GCP-2019-001

Data di pubblicazione: 12/11/2019
Data di aggiornamento: 12/11/2019

Descrizione

Intel ha divulgato le seguenti vulnerabilità:

Vulnerabilità

Gravità

CVE

CVE-2019-11135 — Questa vulnerabilità, indicata come TSX Async Abort (TAA) può essere utilizzata per sfruttare l'esecuzione speculativa in una transazione TSX. Questa vulnerabilità può determinare un'esposizione dei dati attraverso le stesse strutture di dati della microarchitettura esposte dal Microarchitectural Data Sampling (MDS).

Media

CVE-2019-11135

CVE-2018-12207 — Questa è una vulnerabilità di tipo Denial of Service (DoS) che interessa le macchine virtuali host (non ospiti). Questo problema è noto come "Machine Check Error on Page Size Change".

Media

CVE-2018-12207

Per ulteriori informazioni, consulta le divulgazioni di Intel:

ImpattoGoogle Cloud

L'infrastruttura che ospita i prodotti Google Cloud e Google è protetta da queste vulnerabilità. Di seguito sono elencati ulteriori dettagli per i singoli prodotti.

Prodotto

Impatto

Compute Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti N2, C2 o M2 che eseguono codice non attendibile nei propri servizi multi-tenant all'interno delle macchine virtuali Compute Engine devono arrestare e avviare le loro VM per assicurarsi che dispongano delle più recenti misure di mitigazione per la sicurezza.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Google Kubernetes Engine

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

Se utilizzi pool di nodi con nodi N2, M2 o C2, e questi nodi eseguono codice non attendibile nei propri cluster GKE multi-tenant, devi riavviare i nodi. Se vuoi riavviare tutti i nodi del tuo pool di nodi, esegui l'upgrade del pool di nodi interessato.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

ambiente standard App Engine

Non è necessario alcun intervento aggiuntivo.

Ambiente flessibile di App Engine

CVE-2019-11135

Non è necessario alcun intervento aggiuntivo.

I clienti devono rivedere le best practice di Intel relative alla condivisione a livello di applicazione che può avvenire fra gli hyperthread all'interno di una VM flessibile.

CVE-2018-12207

Non è necessario alcun intervento aggiuntivo.

Cloud Run

Non è necessario alcun intervento aggiuntivo.

Cloud Run Functions

Non è necessario alcun intervento aggiuntivo.

Managed Service for Apache Airflow

Non è necessario alcun intervento aggiuntivo.

Dataflow

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Dataflow che eseguono numerosi carichi di lavoro non attendibili su VM N2, C2 o M2 di Compute Engine gestite da Dataflow, e che sono preoccupati di attacchi fra i guest, devono prendere in considerazione il riavvio di tutte le pipeline di gestione dei flussi attualmente in esecuzione. Facoltativamente, le pipeline batch possono essere annullate e rieseguite. Non è necessario alcun intervento sulle pipeline avviate dopo la data odierna.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Managed Service for Apache Spark

CVE-2019-11135

Per la maggior parte dei clienti non è necessario alcun intervento aggiuntivo.

I clienti Cloud Dataproc che eseguono più carichi di lavoro non attendibili sullo stesso cluster Cloud Dataproc eseguito su VM N2, C2 o M2 di Compute Engine, e che sono preoccupati di attacchi fra i guest, devono rieseguire il deployment dei cluster.

CVE-2018-12207

Per tutti i clienti non è necessario alcun intervento aggiuntivo.

Cloud SQL

Non è necessario alcun intervento aggiuntivo.