🇰🇷 한글 설명
Google Cloud Vertex AI Search for Commerce의 BigQuery Import Staging 기능에서 예측 가능한 리소스 이름 취약점이 발견되었습니다. 공격자가 피해자의 프로젝트 번호를 알 경우, 예측 가능한 버킷 이름을 사용하여 스테이징 데이터 및 오류 로그에 대한 읽기/쓰기 권한을 획득할 수 있습니다.
💡 쉬운 설명
데이터를 임시로 저장하는 저장소의 이름이 규칙적이라서, 공격자가 이름을 추측해 몰래 데이터를 훔쳐보거나 조작할 수 있는 문제입니다. 다행히 구글에서 이미 수정을 완료하여 사용자가 따로 할 일은 없습니다.
🇺🇸 원문 (English)
A Predictable Resource Name vulnerability in BigQuery Import Staging in Google Cloud Vertex AI Search for Commerce versions prior to 2026-04-27 on Google Cloud Platform allows an attacker knowing the victim's project number to obtain read/write access to staged data and error logs using predictable bucket names.
This vulnerability was patched and no customer action is needed.
📍 영향받는 시스템
Google Cloud Vertex AI Search for Commerce (2026-04-27 이전 버전)
⚔️ 공격 벡터
피해자의 프로젝트 번호를 이용해 예측 가능한 버킷 이름을 추측하여 데이터 및 로그에 접근
🛡️ 대응 방법
이미 패치가 적용되었으므로 별도의 사용자 조치 불필요
🔧 검증 코드
해당 서비스가 활성화되어 있는지 확인하며, 이미 패치가 적용되었으므로 서비스 버전 확인보다는 패치 적용 여부 확인이 우선입니다.
gcloud services list --filter='name:aiplatform.googleapis.com'