PT-2022-24947 · Istio · Istio

Howardjohn · Publicado 2022-11-09 · Atualizado 2022-11-15 · CVE-2022-39388

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Istio 1.15.x anteriores à 1.15.3

Descrição

Um usuário pode se passar por qualquer identidade de carga de trabalho dentro da malha de serviços se tiver acesso localhost ao plano de controle do Istiod.

Recomendações

Para versões anteriores à 1.15.3, atualize para a versão 1.15.3 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso localhost ao plano de controle do Istiod até que um patch seja aplicado.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2022-39388

GHSA-6C6P-H79F-G6P4

Produtos afetados

Istio

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39388.json · Exploit
• https://github.com/istio/istio · Nota
• https://github.com/istio/istio/commit/346260e5115e9fbc65ba8a559bc686e6ca046a32 · Correção
• https://github.com/istio/istio/security/advisories/GHSA-6c6p-h79f-g6p4 · Nota
• https://github.com/istio/istio/commit/9a643e270421560afb2630e00f76d46a55499df9 · Correção
• https://osv.dev/vulnerability/GHSA-6c6p-h79f-g6p4 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-39388 · Aviso do Fabricante
• https://t.me/cvenotify/37801 · Publicação no Telegram
• https://t.me/cibsecurity/52916 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-39388 · Nota de Segurança
• https://istio.io/latest/news/releases/1.15.x/announcing-1.15.3 · Aviso do Fabricante