🇰🇷 한글 설명
Google Compute Engine의 disks.createSnapshot 및 regionDisks.createSnapshot API에서 권한 검증이 누락된 취약점으로, 인증된 공격자가 다른 프로젝트의 디스크 데이터를 유출할 수 있습니다. 해당 취약점은 2026년 8월 31일 패치되었으며 고객의 별도 조치는 필요하지 않습니다.
💡 쉬운 설명
인증된 사용자가 권한 확인 없이 다른 프로젝트의 디스크 스냅샷을 만들어 데이터를 가져갈 수 있었던 문제입니다. Google이 이미 수정을 완료했으며 고객이 따로 할 일은 없습니다.
🇺🇸 원문 (English)
A Missing Authorization vulnerability in the disks.createSnapshot and regionDisks.createSnapshot APIs in Google Compute Engine versions prior to 2026-08-31 on Google Cloud Platform allows an authenticated attacker to exfiltrate cross-project disk data.
This vulnerability was patched on 31 August 2026, and no customer action is needed.
📍 영향받는 시스템
Google Compute Engine 2026-08-31 이전 버전 (Google Cloud Platform)
⚔️ 공격 벡터
인증된 공격자가 disks.createSnapshot 또는 regionDisks.createSnapshot API를 호출하여 권한 없는 타 프로젝트의 디스크 데이터를 스냅샷으로 유출
🛡️ 대응 방법
Google이 2026년 8월 31일 패치 완료, 고객 조치 불필요 (최신 상태 유지 확인)
🔧 검증 코드
Google Cloud 관리 콘솔 또는 gcloud 명령으로 리소스가 정상 조회되면 프로젝트 접근이 가능한 상태이며, 패치는 Google 측에서 자동 적용되었으므로 별도 버전 확인 명령은 제공되지 않습니다.
gcloud compute disks list --project=PROJECT_ID --format='value(name,zone)' 2>/dev/null | head -5
💻 영향받는 소프트웨어
VMware Telco Cloud Platform