安全公告

2024-08-20：包含 TPU 的补丁。 在 Linux 发行版推出更新时应用这些更新。请参阅 Linux 发行版的指南。如果您使用的是 TPU，请更新到以下某个修补后的版本：

• tpu-ubuntu2204-base
• v2-alpha-tpuv5
• v2-alpha-tpuv5-lite

在 OpenSSH 中发现了一个漏洞 (CVE-2024-6387)。未通过身份验证的远程攻击者一旦成功利用此漏洞，就能以 root 权限对目标机器执行任意代码。

建议对所有使用基于 glibc 的 Linux 发行版且公开了 OpenSSH 的 Compute Engine 虚拟机进行分析，以确定是否存在易受攻击的版本。

该怎么做？

1. 在 Linux 发行版推出更新时应用这些更新。请参阅 Linux 发行版的指南。对于 Google 的 Container-Optimized OS，请更新到以下已修补的版本之一：
   • cos-113-18244-85-49
   • cos-109-17800-218-69
   • cos-105-17412-370-67
   • cos-101-17162-463-55
   如果您通过 Google 代管式服务（例如 GKE）使用 Container-Optimized OS，请参阅相应服务的安全公告，了解补丁的可用性。
2. 如果无法更新，请考虑在可以修补之前关闭 OpenSSH。默认网络预先填充了 default-allow-ssh 防火墙规则，以允许通过公共互联网进行 SSH 访问。如要移除此访问权限，客户可以：
   1. （可选）创建规则，以允许您需要的从可信网络到项目中的 GKE 节点或其他 Compute Engine 虚拟机的 SSH 访问；然后
   2. 使用以下命令停用默认防火墙规则：

      gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT
            

   如果您创建了任何其他可能允许通过端口 22 的 TCP 进行 SSH 访问的防火墙规则，请停用这些规则，或将来源 IP 限制为可信网络。
   
   验证您无法再从互联网通过 SSH 连接到虚拟机。 此防火墙配置可缓解此漏洞。
3. 如果需要保持 OpenSSH 处于开启状态，您还可以执行配置更新，以消除漏洞的竞态条件。这是一种运行时缓解措施。为了应用 sshd 配置中的更改，此脚本将重启 sshd 服务。

   #!/bin/bash
   set -e
   
   SSHD_CONFIG_FILE=/etc/ssh/sshd_config
   # -c: count the matches
   # -q: don't print to console
   # -i: sshd_config keywords are case insensitive.
   if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
       echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
       echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
   else
       sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
       echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
   fi
   # Restart the sshd service to apply the new config.
   systemctl restart sshd
       

4. 最后，监控涉及 SSH 服务器的任何异常网络活动。

Compute Engine 不受 CVE-2024-3094 的影响，该 CVE 会影响 liblzma 库中 xz-utils 软件包的版本 5.6.0 和 5.6.1，并可能导致 OpenSSH 实用程序遭到入侵。

该怎么做？

Compute Engine 支持和提供的公共映像不受此 CVE 的影响。如果您为虚拟机使用 Compute Engine 公共映像，则无需执行任何操作。

如果您创建的自定义映像使用了 xz-utils 软件包的 5.6.0 和 5.6.1 版本，则可能会面临风险，例如以下操作系统：

• Fedora 41 和 Fedora Rawhide
• Debian 测试版/不稳定版
• openSUSE Tumbleweed

为降低此风险，请停止使用这些操作系统或可能使用受影响操作系统的所有虚拟机。如果您有基于其他操作系统的自定义映像构建的虚拟机，请咨询您的操作系统供应商，了解您的虚拟机是否受到影响。

解决了哪些漏洞？

CVE-2024-3094

我们在 TianoCore EDK II UEFI 固件中发现了多个漏洞。此固件用于 Google Compute Engine 虚拟机。如果被利用，这些漏洞可能会导致安全启动被绕过，从而在安全启动过程中提供虚假测量结果，包括在安全强化型虚拟机中使用时。

该怎么做？

无需进行任何操作。Google 已在 Compute Engine 中修补此漏洞，所有虚拟机均可抵御此漏洞。

该补丁解决了哪些漏洞？

该补丁缓解了以下漏洞：

• CVE-2022-36763
• CVE-2022-36764
• CVE-2022-36765

• CVE-2022-36763
• CVE-2022-36764
• CVE-2022-36765

11 月 14 日，AMD 披露了多个影响各种 AMD 服务器 CPU 的漏洞。具体而言，这些漏洞会影响利用 Zen 核心第 2 代“Rome”、第 3 代“Milan”和第 4 代“Genoa”的 EPYC 服务器 CPU。

Google 针对受影响的资产（包括 Google Cloud）应用了修复，以确保客户得到保护。目前，Google 未发现或收到任何漏洞被利用的证据。

该怎么做？

客户无需采取任何操作。

我们已针对 Google Cloud的 Google 服务器舰队（包括 Google Compute Engine）应用了相应修复措施。

该补丁解决了哪些漏洞？

该补丁缓解了以下漏洞：

• CVE-2022-23820
• CVE-2021-46774
• CVE-2023-20533
• CVE-2023-20519
• CVE-2023-20592
• CVE-2023-20566
• CVE-2023-20521
• CVE-2021-46766
• CVE-2022-23830
• CVE-2023-20526
• CVE-2021-26345

如需了解详情，请参阅 AMD 的安全公告 AMD-SN-3005：“AMD INVD 指令安全公告”（也称为 CacheWarp）和 AMD-SN-3002：“AMD 服务器漏洞 - 2023 年 11 月”。

• CVE-2022-23820
• CVE-2021-46774
• CVE-2023-20533
• CVE-2023-20519
• CVE-2023-20592
• CVE-2023-20566
• CVE-2022-23830
• CVE-2023-20526
• CVE-2021-26345

在可信平台模块 (TPM) 2.0 中发现了两个漏洞（CVE-2023-1017 和 CVE-2023-1018）。

这些漏洞可能会让复杂的攻击者在某些 Compute Engine 虚拟机上利用 2 字节超出界限读写。

该怎么做？

系统已自动为所有存在漏洞的虚拟机应用补丁。客户无需采取任何操作。

该补丁解决了哪些漏洞？

该补丁缓解了以下漏洞：

CVE-2023-1017

对于 CVE-2023-2017，vTPM 参数解密例程可能会触发缓冲区溢出。在易受攻击的虚拟机上运行的本地攻击者可能会利用此漏洞触发拒绝服务攻击，或者可能在 vTPM 环境中执行任意代码。

CVE-2023-1018

在 CVE-2023-2018 中，vTPM 参数解密例程中存在越界读取。在存在漏洞的虚拟机上运行的本地攻击者可能会利用此漏洞间接泄露 vTPM 上下文中的有限数据。

• CVE-2023-1017
• CVE-2023-1018

Apache Log4j 实用程序是用于记录请求的常用组件。2021 年 12 月 9 日报告的一个漏洞会造成运行 Apache Log4j 2.14.1 或更低版本的系统遭到入侵，并允许攻击者执行任意代码。

2021 年 12 月 10 日，NIST 发布了一个严重的常见漏洞与风险提醒，ID 为 CVE-2021-44228。具体而言，配置、日志消息和参数中使用的 Java 命名目录接口 (JNDI) 功能不能抵御由攻击者控制的 LDAP 和其他 JNDI 相关端点。如果攻击者能控制日志消息或者日志消息参数，那么在启用消息查找替换功能的情况下，攻击者就能执行从远程服务器加载的任意代码。

该怎么做？

• M4CE v4.x：Migrate for Compute Engine (M4CE) 团队于 2021 年 12 月 13 日发布了新版本。项目经理必须将现有部署替换为新版本，包括云端 M4CE 管理器和 M4CE“本地”后端。如需详细了解版本 4.11 的部署详情，请参阅操作指南。
• M2VMs v5.x：M2VMs v5.0 及更高版本已修复，无需执行任何操作。

• CVE-2021-44228

近期在 Linux 实用程序 sudo 中发现了一个漏洞（如 CVE-2021-3156 中所述），该漏洞可能会允许具有非特权本地 shell 的攻击者访问安装了 sudo 的系统，将其权限升级为系统 root 权限。

对 Compute Engine 的影响

运行 Compute Engine 的底层基础架构不受此漏洞的影响。运行 Linux 的 Compute Engine 虚拟机应考虑更新其客机操作系统。例如，如果您使用的是 Container-Optimized OS，建议您更新到以下映像之一：cos-85-13310-1209-7、cos-81-12871-1245-6、cos-dev-89-16091-0-0 或更高版本。

• CVE-2021-3156

Eclypsium 披露了以下 CVE：CVE-2020-10713。

漏洞

在收到初始漏洞报告后，Canonical 对 GRUB2 代码进行了额外审查，并发现了以下其他漏洞：

• CVE-2020-14308
• CVE-2020-14309
• CVE-2020-14310
• CVE-2020-14311
• CVE-2020-15705
• CVE-2020-15706
• CVE-2020-15707

这些漏洞统称为 BootHole，可让具有管理员权限的攻击者加载未签名的二进制文件，从而停用安全启动强制执行。

对 Compute Engine 的影响

运行 Compute Engine 的主机基础架构可以抵御已知攻击。

我们建议使用安全启动的 Compute Engine 客户更新其实例上的客机操作系统，以防在其客机环境内被利用。如需了解详情，请参阅客户机操作系统供应商建议的缓解措施。

修补后的映像和供应商资源

在各操作系统供应商提供补丁信息的链接后，我们将在此页面公布。这些公共映像的更早版本不包含相关的补丁，因此无法缓解潜在攻击：

• 项目 centos-cloud：CentOS 补丁信息
  • centos-7-v20200811
  • centos-8-v20200811
• 项目 cos-cloud：
  • cos-77-12371-1072-0
  • cos-81-12871-1185-0
  • cos-rc-85-13310-1028-0
  • cos-dev-86-15103-0-0

  如果您通过托管式服务（例如 GKE）使用 COS，请按照该服务的指南应用更新。

• 项目 debian-cloud：DSA-4753
  • debian-10-buster-v20200805
• 项目 coreos-cloud：
  • coreos-alpha-2163-2-1-v20190617
  • coreos-beta-2135-3-1-v20190617
  • coreos-stable-2079-6-0-v20190617
• 项目 rhel-cloud/rhel-sap-cloud: Red Hat 漏洞响应
  • rhel-7-v20200811
  • rhel-7-4-sap-v20200811
  • rhel-7-6-sap-v20200811
  • rhel-7-7-sap-v20200811
  • rhel-8-v20200811
• 项目 suse-cloud/suse-sap-cloud:：SUSE 知识库
  • sles-12-sp5-v20200813
  • sles-15-sp2-v20200804
  • sles-12-sp4-sap-v20200804
  • sles-12-sp5-sap-v20200813
  • sles-15-sap-v20200803
  • sles-15-sp1-sap-v20200803
  • Sles-15-sp2-sap-v20200804
• 项目 ubuntu-os-cloud：Ubuntu Wiki
  • ubuntu-1604-xenial-v20200729
  • ubuntu-1804-bionic-v20200729
  • ubuntu-2004-focal-v20200729

• CVE-2020-10713
• CVE-2020-14308
• CVE-2020-14309
• CVE-2020-14310
• CVE-2020-14311
• CVE-2020-15705
• CVE-2020-15706
• CVE-2020-15707

启用了 OS Login 的虚拟机可能易于出现提权漏洞。这些漏洞可让被授予 OS Login 权限（但未获得管理员访问权限）的用户提权为虚拟机中的根访问权限。

漏洞

针对 Compute Engine 映像发现了以下三个漏洞，这些漏洞是由于默认群组成员资格过于宽松而造成的：

• CVE-2020-8903：通过使用 adm 用户，您可以利用 DHCP XID 获得管理权限。