🇰🇷 한글 설명
Google Cloud Platform의 Dialogflow CX 플레이북 가져오기 기능에 권한 검증 누락(Missing Authorization) 취약점이 존재합니다. 특정 역할을 가진 인증된 사용자가 악의적으로 조작된 플레이북을 가져오면 권한이 상승하고 GCP 프로젝트를 장악할 수 있습니다. 이 취약점은 2026년 3월 15일에 패치되었으며 고객의 별도 조치는 필요하지 않습니다.
💡 쉬운 설명
Google Cloud의 대화형 AI 서비스(Dialogflow CX)에서 일부 사용자가 권한을 넘어서는 작업을 할 수 있는 문제가 있었습니다. 이 문제는 이미 Google이 수정했으며 고객은 따로 할 일이 없습니다.
🇺🇸 원문 (English)
A Missing Authorization vulnerability in the playbook import functionality in Dialogflow CX on Google Cloud Platform allows an authenticated user with specific roles to escalate privileges and potentially take over a GCP project using a maliciously crafted playbook import.
This vulnerability was patched on 15 March 2026, and no customer action is needed.
📍 영향받는 시스템
Google Cloud Platform의 Dialogflow CX 플레이북 가져오기 기능 (2026년 3월 15일 이전 버전, Google 측 패치 완료)
⚔️ 공격 벡터
특정 역할을 가진 인증된 사용자가 악의적으로 조작된 플레이북 파일을 가져와 권한을 상승시키고 GCP 프로젝트를 장악
🛡️ 대응 방법
Google이 2026년 3월 15일 서버 측에서 패치 완료, 고객 조치 불필요
🔧 검증 코드
Dialogflow API가 활성화되어 있으면 서비스명이 출력되며, 이 취약점은 Google 서버 측에서 패치되었으므로 별도 버전 확인 없이 최신 상태로 간주하면 됩니다. 결과가 없으면 해당 서비스를 사용하지 않는 것입니다.
gcloud services list --enabled --project=PROJECT_ID 2>/dev/null | grep -i dialogflow
💻 영향받는 소프트웨어
VMware Telco Cloud Platform