PT-2022-24864 · Istio+1 · Istio+1

Howardjohn

·

Publicado

2022-10-13

·

Atualizado

2022-10-19

·

CVE-2022-39278

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Nome do software vulnerável e versões afetadas
Versões do Istio anteriores à 1.15.2
Versões do Istio anteriores à 1.14.5
Versões do Istio anteriores à 1.13.9
Descrição
O Istio é uma malha de serviços aberta e independente de plataforma que fornece gerenciamento de tráfego, aplicação de políticas e coleta de telemetria. O plano de controle do Istio, o istiod, está vulnerável a um erro de processamento de solicitação, permitindo que um invasor mal-intencionado envie uma mensagem especialmente criada ou de tamanho excessivo, o que resulta na falha do plano de controle quando o serviço de webhook de validação ou mutação do Kubernetes é exposto publicamente. Este endpoint é servido pela porta TLS 15017, mas não requer nenhuma autenticação por parte do invasor. Em instalações simples, o Istiod normalmente só é acessível de dentro do cluster, limitando o alcance do impacto. No entanto, em algumas implantações, especialmente em topologias externas do istiod, essa porta fica exposta na internet pública. O problema se deve a um erro no regexp.Compile no Go.
Recomendações
Para versões anteriores à 1.15.2, atualize para a versão 1.15.2 ou posterior.
Para versões anteriores à 1.14.5, atualize para a versão 1.14.5 ou posterior.
Para versões anteriores à 1.13.9, atualize para a versão 1.13.9 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao serviço de webhook de validação ou mutação do Kubernetes para minimizar o risco de exploração.

Exploit

Correção

Resource Exhaustion

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2022-39278
GHSA-86VR-4WCV-MM9W

Produtos afetados

Istio
Kubernetes