Google Compute Engine: Fehlende Autorisierung in Disk-Snapshot-APIs
Zusammenfassung
Die APIs disks.createSnapshot und regionDisks.createSnapshot von Google Compute Engine enthielten keine Autorisierungsprüfung. Ein authentifizierter Angreifer konnte ohne die erforderlichen IAM-Berechtigungen Disk-Daten projektübergreifend exfiltrieren. Google hat die Lücke am 31. August 2026 serverseitig behoben, Kunden müssen nicht handeln.
Betroffen
- Google Compute Engine-Versionen vor 2026-08-31 (Google Cloud Platform)
- Betroffene APIs: disks.createSnapshot und regionDisks.createSnapshot
Behoben in
- Von Google am 31. August 2026 behoben (serverseitige Korrektur, keine Kundenmassnahme erforderlich)
Umgehung
- Laut Hersteller nicht erforderlich, da die Korrektur serverseitig erfolgt.
Ausnutzung
- Gemäss OffSeq nicht als ausgenutzt bekannt.
- Per 26. Oktober 2026 wurde kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB gefunden.
- Ein Eintrag im CISA-KEV-Katalog ist durch eine primäre Quelle nicht bestätigt.
- EPSS: 0.26% (Perzentil 17).
Unsere Empfehlung
- Keine Patch-Massnahme erforderlich; die Korrektur wird von Google umgesetzt.
- IAM-Berechtigungen für die Erstellung von Snapshots und für die projektübergreifende Freigabe prüfen und nach dem Least-Privilege-Prinzip anpassen.
- Falls Logging vorhanden ist, Cloud Audit Logs auf unerwartete Snapshot-Erstellung in den letzten Monaten prüfen.
- Auf einen öffentlichen PoC oder einen KEV-Eintrag achten und NVD erneut prüfen, sobald die Analyse abgeschlossen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Cloud Security Bulletin GCP-2026-073 docs.cloud.google.com
- OffSeq Radar: CVE-2026-85299 radar.offseq.com
- OffSeq Radar: GCP-2026-073 radar.offseq.com
- VulDB entry 427085 vuldb.com
- Strix CVE-2026-85299 www.strix.ai
- CVE record mirror (threatint) cve.threatint.com
- Google Compute Engine release notes docs.cloud.google.com
- Managing disk snapshots (Google Cloud) docs.cloud.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.