セキュリティに関する公開情報

Compute Engine に関連するセキュリティ情報は随時リリースされます。ここには、Compute Engine に関するすべてのセキュリティ情報が記載されています。

この XML フィードを使用して、Compute Engine のセキュリティに関する情報に登録します。 登録

GCP-2025-058

公開日: 2025 年 10 月 20 日

説明

説明 重大度 注

AMD Zen 5 プロセッサ（Turin）の RDSEED 命令に欠陥が見つかりました。この命令は、暗号論的に安全な乱数を生成するために使用されます。特定のシステム負荷条件下では、RDSEED の 16 ビット版と 32 ビット版が通知なしで失敗するため、乱数生成に依存するアプリケーションが侵害される可能性があります。64 ビット版の RDSEED を使用している場合、この問題の影響はありません。

必要な対策

AMD はこの脆弱性を調査しています。

64 ビット Linux カーネルは、RDSEED 命令の安全な 64 ビット版を使用し、/dev/[u]random から取得した乱数をフィードします。これらの乱数は、この脆弱性の影響を受けません。

RDSEED 命令を使用して乱数を合成するアプリケーション コードがある場合は、この命令の 16 ビット版と 32 ビット版が安全でないことに注意してください。64 ビット版の命令は安全です。

対処されている脆弱性

この脆弱性により、攻撃者は RDSEED を通知なしで失敗させ、アプリケーションでの乱数生成を侵害する可能性があります。

 高

GCP-2025-044

公開日: 2025 年 8 月 12 日

説明

説明 重大度 注

Intel は、2 つの新しいセキュリティの脆弱性を Google に通知しました。

CVE-2025-21090: この脆弱性は、次の Intel プロセッサに影響します。

  • Sapphire Rapids: C3、Z3、H3、A3、v5p VM ファミリー
  • Emerald Rapids: N4、C4、M4、A3 Ultra、A4 VM ファミリー
  • Granite Rapids: N4、C4 VM ファミリー

CVE-2025-22840: この脆弱性は、次の Intel プロセッサに影響します。

  • Granite Rapids: N4、C4 VM ファミリー

必要な対策

どちらの脆弱性についても、お客様による対応は必要ありません。お客様のシステムの vTPM スタックは、お客様の標準のメンテナンスの時間枠内に Google がプロアクティブに更新します。現時点では、搾取された形跡はなく、Google に対する報告もありません。

対処されている脆弱性

脆弱性 CVE-2025-21090 により、権限のない攻撃者が AMX CPU 命令と AVX CPU 命令を組み合わせて使用することで、ホストマシンを動作不能にする可能性があります。

脆弱性 CVE-2025-22840 により、権限のない攻撃者が prefetchit CPU 命令を使用して、本来アクセスできないメモリ コンテンツを読み込み、リモートからコードを実行する可能性があります。

 中

GCP-2025-042

公開日: 2025 年 8 月 11 日

説明

説明 重大度 注

研究者が特定の Intel CPU にセキュリティの脆弱性を発見しました。これには Skylake、Broadwell、Haswell マイクロアーキテクチャをベースにするものも含まれています。この脆弱性により、攻撃者がアクセス権のない CPU の L1 キャッシュから機密データを直接読み取る可能性があります。

この脆弱性は、2018 年に CVE-2018-3646 として最初に公開されました。Google では、この脆弱性が公開されてすぐ、既知のリスクに対処する緩和策を実施しました。脆弱性と初期の修正に関するお知らせは、その時点で公開されました。それ以来、Google では残存リスクを調査し、アップストリームの Linux コミュニティと協力してこのリスクを軽減してきました。

最近、Google は学術機関のセキュリティ研究者と協力して、CPU セキュリティの最新の緩和策と、2018 年当時は考慮されていなかった攻撃手法の可能性を評価しました。

Google では、この問題を緩和するため、 Google Cloudなど、影響を受けるアセットに修正を適用しています。

必要な対策

お客様による対応は必要ありません。Google サーバー フリートにはすでに緩和策が適用されています。

対処されている脆弱性

詳細については、Intel のアドバイザリ INTEL-SA-00161 と CVE-2018-3646 をご覧ください。

 高 CVE-2018-3646

GCP-2025-031

公開日: 2025 年 6 月 10 日

説明

説明 重大度 注

Trusted Computing Group（TCG）が、仮想 TPM（vTPM）を使用する Shielded VM に影響するトラステッド プラットフォーム モジュール（TPM）ソフトウェアの脆弱性を報告しました。この脆弱性により、認証済みのローカル攻撃者が機密性の高い vTPM データを読み取ったり、vTPM の可用性に影響を与える可能性があります。

通常、vTPM へのアクセスは特権アクセスです。ただし、構成によっては、vTPM へのアクセスが広範に許可されている場合があります。

必要な対策

お客様による対応は必要ありません。お客様のシステムの vTPM スタックは、お客様の標準のメンテナンスの時間枠内に Google がプロアクティブに更新します。ただし、vTPM へのアクセスを管理者（root）ユーザーに制限できます。この操作は、Shielded VM のリスク軽減に役立ちます。

対処されている脆弱性

脆弱性 CVE-2025-2884 により、vTPM インターフェースにアクセスできるローカル攻撃者が悪意のあるコマンドを送信する可能性があります。これらのコマンドは不一致を利用し、範囲外（OOB）の vTPM メモリを読み込みます。これにより、機密データが漏洩する可能性があります。

 高 CVE-2025-2884

GCP-2025-025

公開日: 2025-05-13

説明

説明 重大度 注

Intel は、Cascade Lake、Ice Lake XeonSP、Ice Lake XeonD、Sapphire Rapids、Emerald Rapids の Intel プロセッサに影響する新しいサイドチャネルの脆弱性について Google に通知しました。

Google では、お客様を保護するため、 Google Cloudを含む影響を受けるアセットに修正を適用しています。現時点では、搾取された形跡はなく、Google に対する報告もありません。

必要な対策

お客様による対応は必要ありません。お客様を保護するため、Google サーバー フリートにはすでに修正が適用されています。

対処されている脆弱性

CVE-2024-45332。 詳細については、Intel advisory INTEL-SA-01247 をご覧ください。

サポートのご案内

ご質問がある場合やサポートが必要な場合は、Cloud カスタマーケアまでお問い合わせいただき、管理番号「417536835」をお伝えください。

 高 CVE-2024-45332

GCP-2025-024

公開日: 2025 年 5 月 12 日

最終更新: 2025 年 5 月 13 日

説明

説明 重大度 注

2025 年 5 月 13 日更新: ご質問がある場合やサポートが必要な場合は、Cloud カスタマーケアまでお問い合わせいただき、管理番号「417458390」をお伝えください。

Intel は、Intel Cascade Lake プロセッサと Intel Ice Lake プロセッサに影響する新しい投機的実行の脆弱性について Google に通知しました。

Google では、お客様を保護するため、 Google Cloudを含む影響を受けるアセットに修正を適用しています。現時点では、搾取された形跡はなく、Google に対する報告もありません。

必要な対策

お客様による対応は必要ありません。Google サーバー フリートにはすでに緩和策が適用されています。

Intel の相手先ブランド製品製造企業（OEM）や他のオペレーティング システム パートナーによるさらなる緩和策は、同じモードの間接的ターゲット選択（ITS）の脆弱性を軽減するために、利用可能になり次第デプロイされます。

オペレーティング システムの緩和策が適用された後、長時間実行されている第 3 世代以降の VM では、意図しないパフォーマンスの低下が発生する可能性があります。

対処されている脆弱性

CVE-2024-28956。詳細については、Intel security advisory INTEL-SA-01153 をご覧ください。

 高 CVE-2024-28956

GCP-2024-040

公開日: 2024 年 7 月 1 日
更新日: 2024 年 8 月 20 日
説明 重大度 注
更新日: 2024 年 8 月 20 日 重大 CVE-2024-6387

2024 年 8 月 20 日: TPU のパッチが含まれます。Linux ディストリビューションの更新が利用可能になり次第、これを適用します。Linux ディストリビューションのガイダンスをご覧ください。 TPU を使用している場合は、次のパッチ バージョンのいずれかに更新してください。

  • tpu-ubuntu2204-base
  • v2-alpha-tpuv5
  • v2-alpha-tpuv5-lite

OpenSSH で脆弱性（CVE-2024-6387）が見つかりました。この脆弱性を悪用すると、認証されていないリモートの攻撃者が、ターゲットのマシンに対してルート権限で任意のコードを実行できるようになります。

glibc ベースの Linux ディストリビューションを使用し、OpenSSH が公開されているすべての Compute Engine VM で、バージョンの脆弱性を分析することをおすすめします。

必要な対策

  1. Linux ディストリビューションの更新が利用可能になり次第、これを適用します。Linux ディストリビューションのガイダンスをご覧ください。 Google の Container-Optimized OS の場合は、次のいずれかのパッチ バージョンに更新してください。
    • cos-113-18244-85-49
    • cos-109-17800-218-69
    • cos-105-17412-370-67
    • cos-101-17162-463-55
    Google マネージド サービス（GKE など）を介して Container-Optimized OS を使用している場合は、パッチの可用性について、そのサービスのセキュリティに関する公開情報をご確認ください。
  2. 更新できない場合は、パッチが適用されるまで OpenSSH を無効にすることを検討してください。デフォルト ネットワークには、公共のインターネットからの ssh アクセスを許可する default-allow-ssh ファイアウォール ルールが事前入力されています。このアクセス権を削除するには、次の操作を行います。
    1. 必要に応じて、信頼できるネットワークからプロジェクト内の GKE ノードまたは他の Compute Engine VM への必要な SSH アクセスを許可するルールを作成します。
    2. 次のコマンドを使用して、デフォルトのファイアウォール ルールを無効にします。 
      gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT
    ポート 22 の TCP 経由で SSH を許可する可能性のある他のファイアウォール ルールを作成した場合は、それらを無効にするか、送信元 IP を信頼できるネットワークに制限します。

    インターネットから VM に ssh 接続できなくなったことを確認します。このファイアウォール構成により、脆弱性が緩和されます。
  3. OpenSSH を有効にしておく必要がある場合は、構成の更新を実行することで、悪用される競合状態を回避できます。これはランタイムの緩和策です。sshd 構成で変更を適用するために、このスクリプトは sshd サービスを再起動します。 
    #!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd
  4. 最後に、SSH サーバーに関連する異常なネットワーク アクティビティをモニタリングします。
重大 CVE-2024-6387

GCP-2024-021

公開日: 2024 年 4 月 3 日
説明 重大度 注

Compute Engine は、liblzma ライブラリの xz-utils パッケージのバージョン 5.6.0 と 5.6.1 に影響を与える CVE-2024-3094 の影響を受けません。これにより、OpenSSH ユーティリティが侵害される可能性があります。

必要な対策

Compute Engine で提供されているサポート対象の公開イメージは、この CVE の影響を受けません。VM に Compute Engine の公開イメージを使用している場合は、対応の必要はありません。

次のようなオペレーティング システムで、xz-utils パッケージのバージョン 5.6.0 と 5.6.1 を使用するカスタム イメージを作成した場合、リスクが生じる可能性があります。

このリスクを軽減するには、これらのオペレーティング システムを使用している VM、または影響を受けるオペレーティング システムを使用している可能性のある