PT-2020-5948 · Istio · Istio
Publicado
2020-10-01
·
Atualizado
2022-02-15
·
CVE-2020-16844
CVSS v3.1
6.8
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do Istio 1.5.0 a 1.5.8
Versões do Istio 1.6.0 a 1.6.7
Descrição:
O problema está relacionado a um controle de acesso insuficiente no software de rede Istio. Isso pode permitir que um invasor remoto comprometa a confidencialidade e a integridade das informações protegidas ao utilizar o recurso AuthorizationPolicy com ações DENY. Especificamente, quando os usuários especificam um recurso AuthorizationPolicy com ações DENY usando sufixos curinga para principais de origem ou campos de namespace, os chamadores nunca terão o acesso negado, contornando a política pretendida.
Recomendações:
Para as versões do Istio 1.5.0 a 1.5.8, considere atualizar para uma versão fora desse intervalo para mitigar o risco.
Para as versões 1.6.0 a 1.6.7 do Istio, considere atualizar para uma versão fora desse intervalo para mitigar o risco.
Como solução alternativa temporária, considere restringir o uso de sufixos curinga nos recursos AuthorizationPolicy para minimizar o risco de exploração.
Evite usar o recurso
AuthorizationPolicy com ações DENY e sufixos curinga para principais de origem ou campos de namespace até que o problema seja resolvido.Exploit
Correção
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Istio