注目★★★★★Google Cloud Release Notes
BigQuery に認可回避の脆弱性、テナント横断乗っ取りのリスク
30秒で把握
- 1BigQuery、Dataform、Colab Enterprise に Missing Authorization 脆弱性・テナント横断乗っ取けの可能性
- 2認証済み攻撃者が権限昇格可能・複数プロジェクトのリポジトリが影響対象・GCP-2026-047 で詳細
- 3マルチテナント運用チームは IAM ポリシー即座に監査・不要ロール剥奪・定期レビューで対策
要約
Google Cloud の BigQuery、Dataform、Colab Enterprise に認可不備 (Missing Authorization) の脆弱性が発見された。認証済み攻撃者が権限を昇格させ、複数テナントのリポジトリを乗っ取る可能性がある。同時に BigQuery では、予約内のプロジェクト上限 (スケジューリングポリシー) をプレビューで提供開始し、スロット数と同時実行数を制限できるようになった。
あなたへの影響
BigQuery を本番環境で複数テナント・プロジェクトで運用するチームは、GCP-2026-047 セキュリティ情報を即座に確認し、権限設定と IAM ポリシーの監査を緊急実施すべき。
推奨：認証済みユーザからのリポジトリ横取りが可能なため、不要な IAM ロールの剥奪と定期アクセスレビューの仕組みの導入を検討。