PT-2020-15041 · Istio · Istio

Publicado 2020-04-27 · Atualizado 2024-08-21 · CVE-2020-1762

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do Kiali de 0.4.0 a 1.15.0

Descrição

O problema está relacionado à validação insuficiente de JWT, permitindo que um invasor remoto roube um cookie JWT válido e o utilize para falsificar uma sessão de usuário. Isso poderia potencialmente conceder privilégios para visualizar e alterar a configuração do Istio.

Recomendações

Para as versões do Kiali 0.4.0 a 1.15.0, atualize para a versão 1.15.1 para resolver o problema. Como solução temporária, considere restringir o acesso a áreas confidenciais da configuração do Istio para minimizar o risco de exploração.

Correção

Session Fixation

Improper Certificate Validation

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-384

CWE-295

CWE-613

Identificadores relacionados

CVE-2020-1762

GHSA-465W-GG5P-85C9

GO-2022-0626

RHSA-2020:0972

Produtos afetados

Istio

Referências · 11

• https://github.com/kiali/kiali/commit/93f5cd0b6698e8fe8772afb8f35816f6c086aef1 · Nota
• https://github.com/kiali/kiali/commit/c91a0949683976f621cca213c1193831d63b381c · Nota
• https://osv.dev/vulnerability/GO-2022-0626 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2020-1762 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-1762 · Nota de Segurança
• https://bugzilla.redhat.com/show_bug.cgi?id=1810387 · Nota
• https://osv.dev/vulnerability/GHSA-465w-gg5p-85c9 · Aviso do Fabricante
• https://t.me/cvenotify/3291 · Publicação no Telegram
• https://kiali.io/news/security-bulletins/kiali-security-001 · Aviso do Fabricante
• https://github.com/advisories/GHSA-465w-gg5p-85c9 · Nota
• https://osv.dev/vulnerability/CVE-2020-1762 · Aviso do Fabricante