【GCP】GCPのCI/CDサービス Google Cloud Build の利用にご注意ください

Google Cloud Buildには、権限昇格を許すBad.Buildの脆弱性が存在する可能性が指摘されています。GCPを利用するPCI DSS対象事業者が確認すべき点を解説します。

Google Cloud Buildは、Google Cloud PlatformにおけるCI/CD（継続的インテグレーション／継続的デリバリー）サービスであり、関連サービスにはArtifact Registry、Google Kubernetes Engine（GKE）、App Engineなどがあります。研究者により、Google Cloud BuildにBad.Buildと呼ばれる脆弱性が存在する可能性が指摘されており、攻撃者がこの脆弱性を悪用して権限を昇格させ、マルウェアを混入させたり、不正アクセスを行ったりするおそれがあります。

研究者は、デフォルトのサービスアカウント（Service Account）と権限をそのまま使用することがこのリスクにつながると指摘しています。本脆弱性は、GCPのリソースIdentity and Access Management（IAM）により、Google Cloud Buildが使用する重要な権限であるcloudbuild.builds.createを制限することで、悪用を防止できます。

これを受けてGoogleは、さらなる悪用を避けるためCloud Buildサービスアカウントのlogging.privateLogEntries.list権限を削除しましたが、この調整だけでは本リスクは完全には解消されません。

推奨される対策

Cloud Build／Cloud Build APIサービスを利用していない場合は、関連するサービスアカウントおよびAPIが無効化されているかを確認してください。
本サービスを利用している場合は、Cloud Buildサービスアカウントからlogging.privateLogEntries.listが削除されているかを確認し、あわせてcloudbuild.builds.createの権限について評価・削除を検討してください。

#PCI
#PCI DSS
#Compliance
#Google Cloud
#GCP

参考資料

PCI準拠に関するご相談は、今すぐ専門家へお問い合わせください

👉 お問い合わせ