PT-2020-12304 · Istio · Istio

Joren Zandstra · Publicado 2020-06-02 · Atualizado 2020-06-02 · CVE-2020-10739

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Istio 1.4.x a 1.4.8

Versões do Istio 1.5.x a 1.5.3

Descrição

A vulnerabilidade permite que um invasor provoque uma exceção de ponteiro nulo, resultando em uma negação de serviço. Isso pode ser feito enviando um pacote especialmente criado para o gateway de entrada ou um sidecar. A falha está presente quando a telemetria v2 está habilitada. O servicemesh-proxy também é afetado por uma falha de exceção de ponteiro nulo.

Recomendações

Para as versões do Istio 1.4.x a 1.4.8, atualize para a versão 1.4.9 ou posterior.

Para as versões do Istio 1.5.x a 1.5.3, atualize para a versão 1.5.4 ou posterior.

Como solução alternativa temporária, considere desativar a telemetria v2 até que um patch esteja disponível.

Correção

DoS

NULL Pointer Dereference

Enumeração de Fraquezas

CWE-476

Identificadores relacionados

CVE-2020-10739

RHSA-2020:2148

Produtos afetados

Istio

Referências · 6

• https://github.com/istio/envoy/commit/8788a3cf255b647fd14e6b5e2585abaaedb28153#diff-fcf2cf5dd389b5285f882ba4a8708633 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2020-10739 · Nota de Segurança
• https://linux.oracle.com/errata/ELSA-2020-5765.html · Aviso do Fabricante
• https://istio.io/news/security/istio-security-2020-005 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2020-10739 · Nota
• https://osv.dev/vulnerability/CVE-2020-10739 · Aviso do Fabricante