Compute Engine に関連するセキュリティ情報は随時リリースされます。ここには、Compute Engine に関するすべてのセキュリティ情報が記載されています。
Compute Engine のセキュリティ情報に登録する。
公開日: 2019 年 6 月 18 日
最終更新日時: 2019 年 6 月 25 日 6:30（太平洋標準時間）
| 説明 | 重大度 | 注 |
|---|---|---|
説明先ごろ Netflix は、Linux カーネルにおける 3 件の TCP の脆弱性を公表しました。 これらの CVE は NFLX-2019-001 と総称されます。 Compute Engine への影響Compute Engine をホストするインフラストラクチャは、この脆弱性から保護されています。 Compute Engine VM が、パッチを適用していない Linux オペレーティング システムを実行しており、信頼されていないネットワーク トラフィックを送受信する場合は、この DoS 攻撃に対する脆弱性が存在します。お使いのオペレーティング システム用のパッチが利用可能になったら、すぐに VM インスタンスを更新してください。 TCP 接続を終端するロードバランサには、この脆弱性に対するパッチが適用されています。信頼されていないトラフィックでも、このようなロードバランサ経由でのみ受信する Compute Engine インスタンスは脆弱ではありません。そのようなインスタンスとしては、HTTP ロードバランサ、SSL プロキシ ロードバランサ、TCP プロキシ ロードバランサなどが挙げられます。 ネットワーク ロードバランサと内部ロードバランサでは、TCP 接続を終端しません。パッチを適用していない Compute Engine インスタンスのうち、これらのロードバランサ経由で信頼されていないトラフィックを受信するインスタンスは脆弱です。 パッチ適用済みイメージとベンダーのリソース各オペレーティング システム ベンダーからパッチが入手可能になると、ここにパッチ情報へのリンクが表示されます。これには各 CVE に関するステータスが含まれます。これらの公開イメージの旧バージョンにはこうしたパッチが含まれないため、攻撃される可能性を軽減できません。
|
中 |
公開日: 2019 年 5 月 14 日
最終更新日時: 2019 年 5 月 20 日 17:00（太平洋標準時間）
| 説明 | 重大度 | 注 |
|---|---|---|
説明次の CVE が Intel により開示されました。 これらの CVE は Microarchitectural Data Sampling（MDS）と総称されます。これらの脆弱性により、マイクロアーキテクチャ状態での投機的実行の操作を通じてデータが公開されてしまう可能性があります。 Compute Engine への影響Compute Engine を実行するホスト インフラストラクチャは、お客様のワークロードを相互に分離します。信頼できないコードを VM 内で実行していない限り、以後の対応は特に必要ありません。 Compute Engine 仮想マシン内の独自のマルチテナント サービスで信頼できないコードを実行しているお客様は、お使いのゲスト OS ベンダーが提示する緩和策（Intel が提供するマイクロコード緩和機能の使用を含む）を参照してください。Google では、新しいフラッシュ機能に対するゲストのパススルー アクセスをデプロイ済みです。次に示すのは、一般的なゲストイメージで実施できる緩和策の手順の概要です。 パッチ適用済みイメージとベンダーのリソース各オペレーティング システム ベンダーからパッチが入手可能になると、ここにパッチ情報へのリンクが表示されます。これには各 CVE に関するステータスが含まれます。これらのイメージを使用して、VM インスタンスを作成してください。これらの公開イメージの旧バージョンにはこうしたパッチが含まれないため、攻撃される可能性を軽減できません。
Container-Optimized OSゲスト OS として Container Optimized OS（COS）を使用し、仮想マシン内で信頼できないマルチテナント ワークロードを実行している場合は、次の手順を行うことをおすすめします。
|
中 |
公開日: 2018 年 8 月 14 日
最終更新日時: 2018 年 8 月 20 日 17:00（太平洋標準時間）
| 説明 | 重大度 | 注 |
|---|---|---|
説明次の CVE が Intel により開示されました。
これらの CVE は「L1 Terminal Fault（L1TF）」と総称されます。 これらの L1TF 脆弱性は、投機的実行を悪用してプロセッサ レベルのデータ構造の構成を攻撃します。「L1」とは、レベル 1 データ キャッシュ（L1D）と呼ばれるコア内の小さなリソースで、メモリアクセスを高速化するために使用されます。 これらの脆弱性と Compute Engine の緩和策の詳細については、Google クラウドのブログ投稿をご覧ください。 Compute Engine への影響Compute Engine を実行しお客様のワークロードを相互に分離するホスト インフラストラクチャは、既知の攻撃から保護されています。 Compute Engine をご利用のお客様は、ゲスト環境内で間接的に悪用される可能性を防ぐために、イメージを更新することをおすすめします。これは、Compute Engine 仮想マシンで独自のマルチテナント サービスを実行している場合には特に重要です。 Google Compute Engine をお使いのお客様がご自分のインスタンスでゲスト オペレーティング システムを更新する場合は、次のいずれかの方法をお使いください。
パッチ適用済みイメージとベンダーのリソース各オペレーティング システム ベンダーからパッチが入手可能になると、ここにパッチ情報へのリンクが表示されます。これには各 CVE に関するステータスが含まれます。これらのイメージを使用して、VM インスタンスを作成してください。これらの公開イメージの旧バージョンにはこうしたパッチが含まれないため、攻撃される可能性を軽減できません。
|
高 |
公開日: 2018 年 8 月 6 日
最終更新日時: 2018 年 9 月 5 日 17:00（太平洋標準時間）
| 説明 | 重大度 | 注 |
|---|---|---|
2018 年 9 月 5 日更新CVE-2018-5391 は US-CERT によって 2018 年 8 月 14 日に開示されました。CVE-2018-5390 と同様に、これはカーネルレベルのネットワーク脆弱性で、脆弱性のあるシステムがサービス拒否（DoS）攻撃を受ける可能性が高まります。主な違いは、CVE-2018-5391 は IP 接続上で悪用されることです。両方の脆弱性が対象となるように、この情報を更新しました。 説明CVE-2018-5390（「SegmentSmack」）はカーネルレベルのネットワーク脆弱性で、脆弱性のあるシステムが TCP 接続でサービス拒否（DoS）攻撃を受ける可能性が高まります。 CVE-2018-5391（「FragmentSmack」）はカーネルレベルのネットワーク脆弱性で、脆弱性のあるシステムが IP 接続でサービス拒否（DoS）攻撃を受ける可能性が高まります。 Compute Engine への影響Compute Engine VM を実行するホスト インフラストラクチャには影響はありません。Compute Engine VM との間のトラフィックを処理するネットワーク インフラストラクチャは、この脆弱性から保護されています。信頼されていないネットワーク トラフィックでも、Compute Engine VM が HTTP(S)、SSL、TCP ロードバランサ経由でのみ送受信する場合は、この脆弱性から保護されています。 Compute Engine VM が、パッチを適用していないオペレーティング システムを実行しており、信頼されていないネットワーク トラフィックを直接またはネットワーク ロードバランサ経由で送受信する場合は、この DoS 攻撃に対する脆弱性が存在します。 お使いのオペレーティング システム用のパッチが利用可能になったら、すぐに VM インスタンスを更新してください。 Compute Engine をお使いのお客様は、次のいずれかのオプションを使用して、インスタンスのゲスト オペレーティング システムを更新できます。
パッチ適用済みイメージとベンダーのリソース各オペレーティング システム ベンダーからパッチが入手可能になると、ここにパッチ情報へのリンクが表示されます。
|
高 |
公開日: 2018 年 1 月 3 日
最終更新日時: 2018 年 5 月 21 日 15:00（太平洋標準時間）
| 説明 | 重大度 | 注 |
|---|---|---|
2018 年 5 月 21 日更新CVE-2018-3640 と CVE-2018-3639（それぞれバリアント 3a と 4）は、Intel によって開示されました。Spectre と Meltdown の最初の 3 つのバリアントと同様に、Compute Engine VM インスタンスを実行するインフラストラクチャは保護されており、お客様の VM インスタンスは相互に分離されて保護されています。さらに、Compute Engine では、Intel のマイクロコード パッチをインフラストラクチャにデプロイする予定であり、これにより、単一の VM インスタンス内で信頼できないワークロードまたはマルチテナント ワークロードを実行するお客様は、オペレーティング システムのベンダーやプロバイダによって提供される VM 内追加対策を有効にできます。マイクロコード パッチは、Intel によって認定され、Compute Engine で本番環境に対してテストおよび認定された後、Compute Engine にデプロイされます。パッチが使用可能になった際には、このページでより詳細なタイムラインと更新情報が提供されます。 説明これらの CVE は、多くのプロセッサに搭載されている投機的実行テクノロジーを悪用する新しいクラスの攻撃のバリアントです。このクラスの攻撃を受けると、さまざまな状況下でメモリデータへの不正な読み取り専用アクセスが可能になるおそれがあります。 Compute Engine では、VM Live Migration テクノロジーを使用してホストシステムとハイパーバイザを更新しました。これによるユーザーへの影響はなく、メンテナンスの時間枠を確保する必要も、大量の再起動も必要ありませんでした。ただし、この新しいクラスの攻撃からシステムを保護するには、その実行場所に関係なく、すべてのゲスト オペレーティング システムとバージョンにパッチを適用する必要があります。 この攻撃の手法に関する詳しい技術情報については、Project Zero のブログ記事をご覧ください。Google が実施している対策の詳しい内容とすべてのサービス固有の情報は、Google のセキュリティ ブログの記事にまとめられています。 Compute Engine への影響Compute Engine を実行しお客様の VM インスタンスを相互に分離するインフラストラクチャは、既知の攻撃から保護されています。Google は、VM インスタンス内で実行されているアプリケーションから Google のホストシステムへの不正アクセスを防止する対策を講じました。この対策により、同じホストシステム上で実行されている VM インスタンス間の不正アクセスも防止されます。 仮想マシン インスタンス内での不正アクセスを防止するには、次のいずれかの方法で VM インスタンスのゲスト オペレーティング システムを更新する必要があります。
パッチ適用済みイメージとベンダーのリソース注: パッチ適用済みであっても、このセキュリティ情報に記載されているすべての CVE の修正が含まれていない場合があります。また、この種の攻撃への防御策として、イメージごとに異なる手法が使用されている場合があります。パッチが対応している CVE と使用されている防御策については、オペレーティング システムのベンダーに問い合わせて確認してください。
これらのイメージを使用して、VM インスタンスを再作成してください。これらの公開イメージの旧バージョンにはこうしたパッチが含まれないため、攻撃される可能性を軽減できません。 ハードウェア ベンダーが提供するパッチNVIDIA は、NVIDIA® ドライバ ソフトウェアがインストールされているシステムが攻撃される可能性を軽減するパッチを適用したドライバを提供しています。パッチ適用済みのドライバ バージョンについては、NVIDIA が提供しているセキュリティ情報、NVIDIA GPU ディスプレイ ドライバのセキュリティ更新でご確認ください。 変更履歴:
|
高 |
公開日: 2017 年 10 月 2 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明Dnsmasq は DNS、DHCP、ルーター アドバタイズメント、ネットワーク ブートの機能を提供します。通常、このソフトウェアはデスクトップ Linux ディストリビューション（Ubuntu など）、家庭用ルーター、IoT 端末など、さまざまなシステムにインストールされます。Dnsmasq は、オープン インターネットとプライベート ネットワークの両方で広く使われています。 Google は、定期的な社内セキュリティ評価の過程で 7 個の問題を発見しました。こうした問題の重大性を判断したうえで、その影響と悪用される可能性について調査し、それぞれについて Google 内部で概念実証を作成しました。また、Dnsmasq の管理者である Simon Kelly と協力して、適切なパッチを作成し、問題を緩和しました。 評価の際に、2017 年 9 月 5 日現在のプロジェクト git サーバーで、最新バージョンに影響を及ぼす 3 つの潜在的なリモートコード実行、1 つの情報漏洩、3 つのサービス拒否の脆弱性を発見しました。 これらのパッチはアップストリームされ、プロジェクトの Git リポジトリに commit されています。 Compute Engine への影響デフォルトで、Dnsmasq は NetworkManager を使用するイメージのみにインストールされて非アクティブになっています。次の Compute Engine 公開イメージには、Dnsmasq がインストールされています。
ただし、他のイメージでも、他のパッケージの依存関係として Dnsmasq がインストールされていることがあります。Debian、Ubuntu、CentOS、RHEL、SLES、OpenSUSE のインスタンスを、最新のオペレーティング システム イメージを使用するように更新することをおすすめします。CoreOS と Container-Optimized OS は影響を受けません。Windows イメージにも影響はありません。 Debian と Ubuntu を実行するインスタンスの場合、インスタンスで次のコマンドを実行して、更新を行えます。 sudo apt-get -y update sudo apt-get -y dist-upgrade Red Hat Enterprise Linux と CentOS インスタンスの場合、次のコマンドを実行します。 sudo yum -y upgrade SLES と OpenSUSE イメージの場合、次のコマンドを実行します。 sudo zypper up 手動の更新コマンドを実行する代わりに、それぞれのオペレーティング システムのイメージ ファミリーを使用して VM インスタンスを再作成できます。 |
高 |
公開日: 2016 年 10 月 26 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明CVE-2016-5195 は、プライベートな読み取り専用メモリ マッピングにおける COW の破壊を Linux カーネルのメモリ サブシステムが対処する過程で発生する競合状態です。 権限のないローカル ユーザーがこの不具合を悪用すると、本来は読み取り専用であるメモリ マッピングへの書き込み権限を取得できるため、システム上で権限が昇格される可能性があります。 詳細は Dirty COW FAQ をご覧ください。 Compute Engine への影響Compute Engine 上のすべての Linux のディストリビューションとバージョンが影響を受けます。ほとんどのインスタンスは新しいカーネルを自動的にダウンロードしてインストールします。ただし、実行中のシステムにパッチを適用するには再起動する必要があります。 次の Compute Engine イメージに基づく新しいインスタンスまたは再作成されたインスタンスには、パッチを適用したカーネルがすでにインストールされています。
|
高 | CVE-2016-5195 |
公開日: 2016 年 2 月 16 日
最終更新日: 2016 年 2 月 22 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明
CVE-2015-7547 は、 詳細については、Google オンライン セキュリティ ブログまたは CVE（共通脆弱性識別子）データベースをご覧ください。 Compute Engine への影響更新（2016 年 2 月 22 日）: 次の CoreOS、SLES、OpenSUSE イメージを使用して、インスタンスを再作成できます。
更新（2016 年 2 月 17 日）: 次のコマンドを実行して、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 15.10 インスタンスに対する更新を実行できます。
手動更新コマンドを実行する代わりに、次の新しいイメージを使用してインスタンスを再作成することもできます。
デフォルトの glibc 構成を使用した Compute Engine の DNS リゾルバを介してこの脆弱性を悪用できる方法は確認されていません。ただし、他の新しい脆弱性のように、新たな悪用方法が今後発見される可能性もあるため、できる限り早く仮想マシン インスタンスにパッチを適用する必要があります。edns0 を有効にしている場合は（デフォルトでは無効）、無効にしてからインスタンスにパッチを適用する必要があります。 元の情報: お使いの Linux ディストリビューションは脆弱である可能性があります。Compute Engine ユーザーは、Linux OS を実行している場合、インスタンスの OS イメージを更新して、この脆弱性を除去する必要があります。 Debian を実行するインスタンスの場合、インスタンスで次のコマンドを実行して更新できます。
また、Debian インスタンスに対して UnattendedUpgrades をインストールすることもおすすめします。 Red Hat Enterprise Linux インスタンスの場合:
他のオペレーティング システム管理者によるこの脆弱性に対するパッチの公開、また Compute Engine での更新版 OS イメージのリリースに伴い、この情報を引き続き更新します。 |
高 | CVE-2015-7547 |
公開日: 2015 年 3 月 19 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明CVE-2015-1427 は、バージョン 1.3.8 よりも前のバージョンと 1.4.3 よりも前のすべての 1.4.x バージョンの Elasticsearch の Groovy スクリプト エンジンではリモートの攻撃者がサンドボックス保護メカニズムをバイパスして任意のシェルコマンドを実行できるという脆弱性です。 詳細については、NVD（脆弱性データベース）または CVE（共通脆弱性識別子）データベースをご覧ください。 Compute Engine への影響Compute Engine インスタンスで Elasticsearch を実行している場合は、Elasticsearch のバージョンを 1.4.3 以上にアップグレードする必要があります。Elasticsearch ソフトウェアをすでにアップグレードしている場合は、この脆弱性から保護されています。 Elasticsearch 1.4.3 以上にアップグレードしていない場合は、ローリング アップグレードを実行できます。 Google Cloud Platform Console でクリック デプロイを使用して Elasticsearch をデプロイした場合、デプロイを削除し、Elasticsearch を実行しているインスタンスを削除できます。 Google Cloud Platform チームは、Elasticsearch の更新バージョンをデプロイするために、修正に取り組んでいます。ただし、GCP Console のクリック デプロイ機能用の修正プログラムはまだ提供されていません。 |
高 | CVE-2015-1427 |
公開日: 2015 年 1 月 29 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明CVE-2015-0235（Ghost）は glibc ライブラリの脆弱性です。 App Engine、Cloud Storage、BigQuery、CloudSQL のユーザーは措置を講じる必要はありません。Google のサーバーは更新されており、この脆弱性から保護されています。 Compute Engine のユーザーは OS イメージの更新が必要な場合があります。 Compute Engine への影響お使いの Linux ディストリビューションは脆弱である可能性があります。Compute Engine ユーザーは、Debian 7、Debian 7 バックポート、Ubuntu 12.04 LTS、Red Hat Enterprise Linux、CentOS、SUSE Linux Enterprise Server 11 SP3 を実行している場合、インスタンスの OS イメージを更新して、この脆弱性を除去する必要があります。 この脆弱性は、Ubuntu 14.04 LTS、Ubuntu 14.10、SUSE Linux Enterprise Server 12 には影響を及ぼしません。 Linux ディストリビューションをアップグレードすることをおすすめします。Debian 7、Debian 7 バックポート、Ubuntu 12.04 LTS を実行しているインスタンスの場合、インスタンスで次のコマンドを実行して更新できます。
Red Hat Enterprise Linux または CentOS インスタンスの場合:
SUSE Linux Enterprise Server 11 SP3 インスタンスの場合:
上のコマンドを実行して更新を行う代わりに、次の新しいイメージを使用してインスタンスを再作成することもできます。
Google マネージド VM への影響
|
高 | CVE-2015-0235 |
公開日: 2014 年 10 月 15 日
最終更新日: 2014 年 10 月 17 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明CVE-2014-3566（別名 POODLE）は、SSL バージョン 3.0 の設計上の脆弱性です。この脆弱性により、ネットワーク攻撃者はセキュアな接続のプレーンテキストを計算できます。詳細については、この脆弱性に関するブログ投稿をご覧ください。 App Engine、Cloud Storage、BigQuery、CloudSQL のユーザーは措置を講じる必要はありません。Google のサーバーは更新されており、この脆弱性から保護されています。Compute Engine のユーザーは OS イメージを更新する必要があります。 Compute Engine への影響更新（2014 年 10 月 17 日）: SSLv3 を使用している場合、脆弱である可能性があります。Compute Engine ユーザーは、インスタンスの OS イメージを更新して、この脆弱性を除去する必要があります。 Linux ディストリビューションをアップグレードすることをおすすめします。Debian を実行するインスタンスの場合、インスタンスで次のコマンドを実行して更新できます。 user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot CentOS インスタンスの場合: user@my-instance:~$ sudo yum -y upgrade user@my-instance:~$ sudo reboot 上のコマンドを実行して更新を行う代わりに、次の新しいイメージを使用してインスタンスを再作成することもできます。
RHEL と SLES イメージについては、イメージを用意でき次第、情報を更新します。その間、RHEL ユーザーは、詳細については Red Hat に直接お問い合わせください。 元の情報: Compute Engine ユーザーは、インスタンスの OS イメージを更新して、この脆弱性を除去する必要があります。新しい OS イメージを用意でき次第、手順を含むこのセキュリティ情報を更新します。 |
中 | CVE-2014-3566 |
公開日: 2014 年 9 月 24 日
最終更新日: 2014 年 9 月 29 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明攻撃者が制御する環境変数の解析に基づくリモートコード実行が可能となる bash のバグ（CVE-2014-6271）があります。悪用の手口として最も考えられるのは、ウェブサーバーで公開されている CGI スクリプトに対して行われる悪意のある HTTP リクエストを介する方法です。詳細については、バグに関する説明をご覧ください。 この bash のバグは、20140926 よりも前の日付の Compute Engine ゲスト OS イメージを除く、Google Cloud Platform プロダクトに対しては緩和されています。お使いの Compute Engine イメージのバグを緩和するための手順については、以下をご覧ください。 Compute Engine への影響
このバグは、CGI スクリプトを使用する実質的にすべてのウェブサイトに影響を及ぼす可能性があります。また、PHP、Perl、Python、SSI、Java、C++ に依存するウェブサイトに加え、 更新（2014 年 9 月 29 日）: 下記の手動更新コマンドを実行する代わりに、bash のセキュリティ上のバグに関連する追加の脆弱性（CVE-2014-7169、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186、CVE-2014-7187）を緩和するイメージを使用して、インスタンスを再作成することもできます。次の新しいイメージを使用して、インスタンスを再作成してください。
更新（2014 年 9 月 25 日）: ユーザーは、手動更新を実行する代わりに、インスタンスを再作成することを選択できます。インスタンスを再作成するには、このセキュリティ バグに対する修正を含む次の新しいイメージを使用します。
RHEL と SUSE イメージについては、インスタンスで次のコマンドを実行して、更新を手動で行うこともできます。 # RHEL instances user@my-instance:~$ sudo yum -y upgrade # SUSE instances user@my-instance:~$ sudo zypper --non-interactive up 元の情報: Linux ディストリビューションをアップグレードすることをおすすめします。Debian を実行するインスタンスの場合、インスタンスで次のコマンドを実行して更新できます。 user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade CentOS インスタンスの場合: user@my-instance:~$ sudo yum -y upgrade 詳細については、各 Linux ディストリビューションに関する告知を確認してください。
|
高 | CVE-2014-7169、CVE-2014-6271、CVE-2014-6277、CVE-2014-6278、CVE-2014-7186、CVE-2014-7187 |
公開日: 2014 年 7 月 25 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明Elasticsearch Logstash は、不正な変更やデータの開示を可能にする可能性がある OS コマンド インジェクションの脆弱性です。攻撃者は、細工したイベントを Logstash のデータソースに送信して、Logstash プロセスの権限でコマンドを実行できます。 Compute Engine への影響この脆弱性は、zabbix または nagios_nsca の出力が有効になった 1.4.2 よりも前の Elasticsearch Logstash のバージョンを実行しているすべての Compute Engine インスタンスに影響を及ぼします。攻撃を防ぐために、次のいずれかを実行できます。
詳細については、Logstash ブログをご覧ください。 Elasticsearch では、ファイアウォールを使用して信頼できない IP によるリモート アクセスを防ぐことも推奨しています。 |
高 | CVE-2014-4326 |
公開日: 2014 年 6 月 18 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明Google Cloud Platform 上での実行時における Docker コンテナのセキュリティに関するユーザーのあらゆる懸念に対応できるよう、現在取り組み中です。これには、Docker コンテナ、コンテナに最適化された仮想マシン、オープンソースの Kubernetes スケジューラをサポートする Google App Engine の拡張機能を使用するユーザーが含まれます。 Docker はこの問題に適切に対応しており、それに関するブログ記事をここで確認できます。記事で説明されているように、明らかになった問題は本番環境版前の古いバージョンである Docker 0.11 にのみ該当することに注意してください。 コンテナのセキュリティについて世界中で検討されていますが、Google Cloud Platform 上では、Linux アプリケーション コンテナベースのソリューション（特に Docker コンテナ）は完全な仮想マシン（Compute Engine）で実行されることにご注意ください。Google では、Linux アプリケーション コンテナ スタックを強化する Docker コミュニティの努力を支持していますが、このテクノロジーは新しく、境界面が大きいことを認識しています。現時点では、完全なハイパーバイザ（仮想マシン）はよりコンパクトで防御しやすい境界面を提供すると Google は考えています。仮想マシンは、もともと、悪意のあるワークロードを分離し、コードバグの可能性と影響を最小限に抑えるように設計されています。 Google のお客様は、第三者、そして潜在的に悪意のあるコードとの間に完全なハイパーバイザ境界が存在することを確実に確保できます。Linux アプリケーション コンテナ スタックが十分に堅牢でマルチテナント ワークロードをサポートできると考えられる段階になった場合には、Google はコミュニティに報告します。現時点では、Linux アプリケーション コンテナは仮想マシンに代わるものではありません。あくまでも機能を拡張する方法です。 |
低 | Docker ブログの投稿 |
公開日: 2014 年 6 月 5 日
最終更新日: 2014 年 6 月 9 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明
OpenSSL には、 この問題は CVE-2014-0224 として識別されています。OpenSSL チームは、この問題を修正済みであり、OpenSSL を更新するよう OpenSSL コミュニティに注意を喚起しています。 Compute Engine への影響この脆弱性は、Debian、CentOS、Red Hat Enterprise Linux、SUSE Linux Enterprise Server など、OpenSSL を使用するすべての Compute Engine インスタンスに影響を及ぼします。新しいイメージでインスタンスを再作成するか、インスタンスのパッケージを手動で更新することで、インスタンスを更新できます。 更新（2014 年 6 月 9 日）: 新しいイメージで SUSE Linux Enterprise Server を実行しているインスタンスを更新するには、次のバージョン以上のイメージを使用して、インスタンスを再作成します。
元の投稿: 新しいイメージを使用して Debian インスタンスと CentOS インスタンスを更新するには、次のバージョン以上のいずれかのイメージを使用してインスタンスを再作成します。
インスタンス上の OpenSSL を手動で更新するには、次のコマンドを実行して適切なパッケージを更新します。CentOS と RHEL を実行するインスタンスの場合、インスタンスでこれらのコマンドを実行して、OpenSSL を更新できます。 user@my-instance:~$ sudo yum -y update user@my-instance:~$ sudo reboot Debian を実行するインスタンスの場合、インスタンスで次のコマンドを実行して、OpenSSL を更新できます。 user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get -y upgrade user@my-instance:~$ sudo reboot SUSE Linux Enterprise Server を実行するインスタンスの場合、インスタンスでこれらのコマンドを実行して、OpenSSL を最新の状態できます。 user@my-instance:~$ sudo zypper --non-interactive up user@my-instance:~$ sudo reboot |
中 | CVE-2014-0224 |
公開日: 2014 年 4 月 8 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明
1.0.1g よりも前の OpenSSL 1.0.1 での（1）TLS と（2）DTLS の実装では、Heartbeat Extension パケットが適切に処理されません。これは Heartbleed バグとも呼ばれる脆弱性で、 Compute Engine への影響この脆弱性は、OpenSSL の最新バージョンを使用していないすべての Compute Engine Debian、RHEL、CentOS インスタンスに影響を及ぼします。新しいイメージでインスタンスを再作成するか、インスタンスのパッケージを手動で更新することで、インスタンスを更新できます。 新しいイメージを使用してインスタンスを更新するには、次のバージョン以上のいずれかのイメージを使用してインスタンスを再作成します。
インスタンス上の OpenSSL を手動で更新するには、次のコマンドを実行して適切なパッケージを更新します。CentOS と RHEL を実行するインスタンスの場合、インスタンスでこれらのコマンドを実行して、OpenSSL を最新の状態にできます。 user@my-instance:~$ sudo yum update user@my-instance:~$ sudo reboot Debian を実行するインスタンスの場合、インスタンスで次のコマンドを実行して、OpenSSL を更新できます。 user@my-instance:~$ sudo apt-get update user@my-instance:~$ sudo apt-get upgrade user@my-instance:~$ sudo reboot SUSE Linux を実行しているインスタンスは影響を受けません。 2014 年 4 月 14 日更新: Heartbleed バグを利用した鍵の抽出に関する新たな調査に基づいて、Compute Engine では、影響を受けるすべての SSL サービスについて新しい鍵を作成するよう Compute Engine ユーザーに推奨しています。 |
中 | CVE-2014-0160 |
公開日: 2013 年 6 月 7 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明注: この脆弱性が該当するのは、API バージョン v1 以降では非推奨となり削除されているカーネルのみです。
3.9.4 までの Linux カーネルの Broadcom B43 ワイヤレス ドライバの Compute Engine への影響
この脆弱性は、 自分のインスタンスが使用しているカーネルのバージョンを確認するには:
|
中 | CVE-2013-2852 |
公開日: 2013 年 6 月 7 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明注: この脆弱性が該当するのは、API バージョン v1 以降では非推奨となり削除されているカーネルのみです。
3.9.4 までの Linux カーネルの Compute Engine への影響
この脆弱性は、 自分のインスタンスが使用しているカーネルのバージョンを確認するには:
|
中 | CVE-2013-2851 |
公開日: 2013 年 5 月 14 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明注: この脆弱性が該当するのは、API バージョン v1 以降では非推奨となり削除されているカーネルのみです。
3.8.9 よりも前の Linux カーネルの Compute Engine への影響
この脆弱性は、 自分のインスタンスが使用しているカーネルのバージョンを確認するには:
|
高 | CVE-2013-2094 |
公開日: 2013 年 2 月 18 日
| 説明 | 重大度 | 注 |
|---|---|---|
説明注: この脆弱性が該当するのは、API バージョン v1 以降では非推奨となり削除されているカーネルのみです。
3.7.5 よりも前の Linux カーネルの ptrace 機能の競合状態により、細工したアプリケーションでの Compute Engine への影響
この脆弱性は、Compute Engine カーネル 自分のインスタンスが使用しているカーネルのバージョンを確認するには:
|
中 | CVE-2013-0871 |