PT-2020-2707 · Istio · Kiali
CVE-2020-1764
·
Publicado
2020-03-25
·
Atualizado
2024-08-21
CVSS v2.0
9.7
Alta
| Vetor | AV:N/AC:L/Au:N/C:P/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Kiali anteriores à 1.15.1
Descrição
O problema está relacionado a uma chave criptográfica codificada no arquivo de configuração padrão do Kiali, que faz parte da malha de serviços Istio. Essa falha pode ser explorada por um invasor remoto para criar tokens JWT autoassinados, contornando os mecanismos de autenticação do Kiali e potencialmente obtendo privilégios para visualizar e alterar a configuração do Istio.
Recomendações
Para versões anteriores à 1.15.1, atualize para a versão 1.15.1 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao console do Kiali para minimizar o risco de exploração.
Evite usar o arquivo de configuração padrão até que o problema seja resolvido.
Exploit
Correção
Using Hardcoded Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Kiali