Boletins de segurança

Uma vulnerabilidade de gerenciamento inadequado de privilégios no Google Security Operations SOAR foi corrigida com a versão 6.3.85, e nenhuma ação do cliente é necessária. A vulnerabilidade permitia que um invasor autenticado escalonasse privilégios para acesso administrativo no nível do sistema usando um cabeçalho de autenticação interna criado.

O que devo fazer?

Nenhuma ação do cliente é necessária. Todos os clientes receberam upgrade automático para a versão corrigida: 6.3.85 ou mais recente.

Uma vulnerabilidade no recurso de integrações personalizadas do SOAR do Google Security Operations pode permitir que um usuário autenticado com uma função de IDE realize a execução remota de código (RCE) no servidor. A vulnerabilidade ocorreu devido à validação insuficiente do código do pacote Python, permitindo que um invasor fizesse upload de um pacote com um arquivo setup.py malicioso. Esse arquivo pode ser executado durante a instalação, comprometendo o servidor.

O que devo fazer?

Nenhuma ação do cliente é necessária. Todos os clientes foram atualizados automaticamente para a versão corrigida: 6.3.64 ou mais recente.

Uma vulnerabilidade crítica foi encontrada nas versões 6.3.54.0 e 6.3.53.2 do Google Security Operations SOAR. Um usuário autenticado com permissões para fazer upload de arquivos ZIP (por exemplo, ao importar casos de uso) pode enviar um arquivo ZIP capaz de gravar arquivos em locais arbitrários no sistema de arquivos do servidor.

O sistema de extração de arquivos de arquivos ZIP não conseguiu impedir que os arquivos dentro do arquivo fossem gravados fora da pasta de destino pretendida. Isso também é conhecido como vulnerabilidade de travessia de diretório ou Zip Slip.

O que devo fazer?

Nenhuma ação do cliente é necessária. Todos os clientes foram atualizados automaticamente para a versão corrigida ou mais recente: 6.3.54.1 ou 6.3.53.3.

Quais vulnerabilidades estão sendo abordadas?

Um invasor pode explorar essa vulnerabilidade para substituir arquivos de aplicativos. Ao substituir um arquivo JavaScript usado pelo recurso de geração de relatórios, um invasor pode realizar a execução remota de código (RCE, na sigla em inglês) na instância SOAR do Google SecOps. O invasor pode executar o próprio código no servidor.

Os clientes podem configurar o Google SecOps para ingerir dados de buckets do Cloud Storage de propriedade do cliente usando um feed de ingestão. Até pouco tempo, o Google SecOps fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão ao bucket. Uma oportunidade existia para que a instância do Google SecOps de um cliente pudesse ser configurada para ingerir dados do bucket do Cloud Storage de outro cliente. Depois de realizar uma análise de impacto, não encontramos nenhuma exploração atual ou anterior dessa vulnerabilidade. A vulnerabilidade estava presente em todas as versões do Google SecOps anteriores a 19 de setembro de 2023.

O que devo fazer?

Em 19 de setembro de 2023, o Google SecOps foi atualizado para resolver essa vulnerabilidade. Nenhuma ação do cliente é necessária.

Quais vulnerabilidades estão sendo abordadas?

Antes, o Google SecOps fornecia uma conta de serviço compartilhada que os clientes usavam para conceder permissão a um bucket. Como diferentes clientes concederam permissão à mesma conta de serviço do Google SecOps para o bucket, havia um vetor de exploração que permitia que o feed de um cliente acessasse o bucket de outro quando um feed estava sendo criado ou modificado. Esse vetor de exploração exigia conhecimento sobre o URI do bucket. Agora, durante a criação ou modificação de feeds, o Google SecOps usa contas de serviço exclusivas para cada cliente.