Ủy quyền sai trong Google Cloud Application Integration cho phép leo thang đặc quyền và mạo danh tài khoản dịch vụ

Một lỗ hổng Ủy quyền không chính xác trong quá trình xác thực AuthConfig và runtime thực thi integration của Google Cloud Application Integration, ở các phiên bản trước 2026-08-27, cho phép người dùng đã xác thực leo thang đặc quyền và mạo danh một service account trong project. Lỗ hổng này đã được vá vào ngày 27 tháng 8 năm 2026 và khách hàng không cần thực hiện hành động nào.

• Google Cloud Application Integration: bị ảnh hưởng với phạm vi ngày bắt đầu từ 0 và trước 2026-08-27, theo trạng thái affected dạng ngày trong bản ghi. Trạng thái mặc định ngoài phạm vi được liệt kê là unaffected.
• Google xác nhận lỗ hổng đã được vá vào ngày 27 tháng 8 năm 2026. Bản ghi không cung cấp số hiệu release hoặc nhánh phiên bản cố định riêng cho khách hàng, nên không nên suy ra một phiên bản mở rộng như “phiên bản đó trở lên”.

Lỗ hổng thuộc lớp CWE-863 Incorrect Authorization, nằm trong quá trình xác thực AuthConfig và runtime thực thi integration của Google Cloud Application Integration. Một người dùng đã xác thực có thể tiếp cận runtime qua mạng, vượt qua kiểm tra ủy quyền không chính xác, leo thang đặc quyền và mạo danh một service account trong project Google Cloud.

Luồng tấn công ở mức khái quát là:

1. Người dùng đã xác thực truy cập chức năng liên quan đến xác thực hoặc thực thi integration.
2. Runtime xử lý AuthConfig hoặc yêu cầu thực thi mà không áp dụng đúng ranh giới ủy quyền.
3. Người dùng đạt được khả năng hoạt động dưới danh tính của service account và có thể sử dụng các quyền mà tài khoản đó được cấp.

Bản ghi mô tả khả năng tiếp cận qua mạng, yêu cầu đặc quyền ban đầu thấp, không cần tương tác của người dùng và có một điều kiện tấn công bổ sung. Các tham số request, API method, trường dữ liệu hoặc phép so sánh quyền cụ thể dẫn đến lỗi không được công bố, nên không thể xác định chính xác payload hay chuỗi khai thác từ bằng chứng hiện có.

Lỗ hổng có thể bị tiếp cận từ xa qua mạng bởi người dùng đã xác thực với mức đặc quyền ban đầu thấp. Bản ghi đánh giá cho biết không cần tương tác của người dùng, độ phức tạp tấn công thấp và có một điều kiện tấn công bổ sung.

Bản ghi chuẩn hóa đánh dấu không có public exploit được xác định, nhưng trạng thái khai thác thực tế không được thiết lập. Không nên diễn giải việc thiếu thông tin này thành bằng chứng rằng lỗ hổng chưa từng bị khai thác. Chi tiết công khai hiện không mô tả exploit, chiến dịch, nạn nhân hoặc chỉ dấu khai thác cụ thể.

Kết quả kỹ thuật chính là leo thang đặc quyền và mạo danh service account trong project Google Cloud. Bản đánh giá chỉ ra tác động bảo mật cao đối với dữ liệu của dịch vụ và khả năng ảnh hưởng đến các tài nguyên nằm ngoài thành phần ban đầu thông qua quyền của service account.

Quyền thực tế mà kẻ tấn công có thể sử dụng phụ thuộc vào IAM binding của service account, nên mức độ truy cập cụ thể không thể xác định từ bản ghi. Bản ghi không xác nhận tác động trực tiếp đến tính toàn vẹn hoặc tính sẵn sàng của thành phần dễ bị ảnh hưởng, cũng không nêu hành động cụ thể nào đã được thực hiện trong môi trường khách hàng.

Người dùng đã xác thực có thể hoạt động dưới danh tính của service account thay vì chỉ sử dụng quyền ban đầu của mình. Tác động thực tế phụ thuộc vào các quyền được cấp cho service account, các tài nguyên mà tài khoản có thể truy cập và những hệ thống tin cậy danh tính đó.

Bản đánh giá cho thấy tác động có thể mở rộng từ dịch vụ dễ bị ảnh hưởng sang các tài nguyên tiếp theo mà service account được phép truy cập. Điều này có thể dẫn đến truy cập trái phép vào dữ liệu hoặc thực hiện hành động thay mặt project, nhưng bản ghi không xác định dữ liệu, API, tenant hoặc hoạt động cụ thể nào đã bị truy cập. Không có bằng chứng trong các nguồn được cung cấp để kết luận đã xảy ra sự cố dữ liệu hoặc gián đoạn dịch vụ.

1. Không cần hành động phía khách hàng cho bản vá của lỗ hổng này. Google Cloud cho biết Google đã vá dịch vụ vào ngày 27 tháng 8 năm 2026.
2. Do phạm vi ảnh hưởng được biểu diễn bằng ngày của dịch vụ được quản lý thay vì một package release cụ thể, không nên cố gắng xác nhận trạng thái bằng một phiên bản cục bộ không được cung cấp trong bản ghi. Nếu cần bằng chứng phục vụ compliance, lưu lại thông báo bảo mật của Google và xác nhận trạng thái dịch vụ qua kênh hỗ trợ phù hợp.
3. Kiểm tra cấu hình ủy quyền hiện tại của các integration. Theo tài liệu Google, các thao tác publish và test có sử dụng run-as service account yêu cầu quyền iam.serviceAccounts.actAs đối với tài khoản đó. Đây là biện pháp bảo đảm mô hình ủy quyền hiện tại và không thay thế cho bản vá phía dịch vụ.
4. Rà soát các integration có AuthConfig, run-as service account và các principal có quyền publish, test hoặc approve để phát hiện cấu hình quá rộng hoặc hoạt động bất thường trong giai đoạn trước khi bản vá được áp dụng.

Có thể thực hiện các bước kiểm tra sau:

1. Lập inventory các integration trong Google Cloud Application Integration có sử dụng AuthConfig, service account hoặc cơ chế thực thi dưới danh tính riêng.
2. Xác định các integration và luồng thực thi đã tồn tại hoặc hoạt động trong khoảng thời gian trước khi Google hoàn tất bản vá vào ngày 27 tháng 8 năm 2026.
3. Rà soát các binding và quy trình hiện tại liên quan đến iam.serviceAccounts.actAs, đặc biệt đối với các principal có quyền publish, test hoặc approve integration và các run-as service account.
4. Rà soát các bản ghi quản trị và thực thi sẵn có để tìm việc sử dụng service account hoặc thay đổi quyền bất thường trong thời gian cần điều tra. Đây là biện pháp giám sát phòng ngừa, không phải IOC được Google xác nhận.
5. Các nguồn được cung cấp không nêu log signature, endpoint telemetry hoặc IOC cụ thể. Việc không tìm thấy dấu hiệu trong log không chứng minh rằng môi trường an toàn.