Cloud Shellで認証されていない攻撃者がセッションを乗っ取れる脆弱性
Summary
Google Cloud Platformの Cloud Shell には、クロスサイト WebSocket ハイジャックの脆弱性があります。認証されていない攻撃者が、有効な Cloud Shell セッションを乗っ取り、利用者の OAuth アクセストークンを盗み出すおそれがあります。2026年7月22日に修正済みのため、利用者側での対応は不要です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Google Cloud Platformの Cloud Shell には、クロスサイト WebSocket ハイジャックの脆弱性があります。認証されていない攻撃者が、有効な Cloud Shell セッションを乗っ取り、利用者の OAuth アクセストークンを盗み出すおそれがあります。2026年7月22日に修正済みのため、利用者側での対応は不要です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Google Cloud | Cloud Shell |
< 2026-07-22 |
2026-07-22 |
Original description The description as published by the source.
A Cross-Site WebSocket Hijacking vulnerability in Cloud Shell prior to 2026-07-22 on Google Cloud Platform allows an unauthenticated attacker to hijack an active Cloud Shell session and exfiltrate the user's OAuth access token using a cross-origin WebSocket request.
This vulnerability was patched on 22 July 2026, and no customer action is needed.
Source: NIST National Vulnerability Database NVD GitHub Advisory
References
- web docs.cloud.google.com
- web nvd.nist.gov
- web github.com