PT-2022-16148 · Istio · Istio
Adam Korczynski
+1
·
Publicado
2022-02-22
·
Atualizado
2023-07-13
·
CVE-2022-23635
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Istio anteriores à 1.11.7
Versões do Istio anteriores à 1.12.4
Versões do Istio anteriores à 1.13.1
Descrição
O plano de controle do Istio,
istiod, está vulnerável a um erro de processamento de solicitação, permitindo que um invasor mal-intencionado envie uma mensagem especialmente criada para causar a falha do plano de controle. Esse endpoint é servido pela porta TLS 15012, mas não exige nenhuma autenticação do invasor. Em instalações simples, o Istiod normalmente só é acessível de dentro do cluster, limitando o alcance do ataque. No entanto, em algumas implantações, especialmente em topologias com vários clusters, essa porta fica exposta na Internet pública.Recomendações
Para versões anteriores à 1.11.7, atualize para o Istio 1.11.7 ou superior.
Para versões anteriores à 1.12.4, atualize para o Istio 1.12.4 ou superior.
Para versões anteriores à 1.13.1, atualize para o Istio 1.13.1 ou superior.
Como solução temporária, considere limitar o acesso de rede ao Istiod ao conjunto mínimo de clientes para ajudar a diminuir o escopo da vulnerabilidade.
Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Istio