ISTIO-SECURITY-2021-006
当网关配置了 AUTO_PASSTHROUGH 路由配置时，外部客户端可以绕过授权检查访问集群中的意外服务。
| 安全漏洞详情 | |
|---|---|
| CVE(s) | CVE-2021-31921 |
| CVSS 影响评分 | 10 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 受影响的版本 | All releases prior to 1.8.6 1.9.0 to 1.9.4 |
问题
Istio 包含一个远程可利用的漏洞，当网关配置了 AUTO_PASSTHROUGH 路由配置时，外部客户端可以绕过授权检查访问集群中的意外服务。
对我的影响？
此漏洞仅影响 AUTO_PASSTHROUGH 类型网关的使用，该类型通常仅用于多网络多集群部署。
可以使用以下命令检测集群中所有网关的 TLS 模式：
$ kubectl get gateways.networking.istio.io -A -o "custom-columns=NAMESPACE:.metadata.namespace,NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode"
如果输出显示任何 AUTO_PASSTHROUGH 类型的网关，您可能会受到影响。
防范
将您的集群更新到支持的最新版本：
- 如果使用的 Istio 版本为 1.8.x，请升级到 Istio 1.8.6
- 升级到 Istio 1.9.5 或更高版本
- 您的云提供商指定的补丁版本
鸣谢
我们要感谢 John Howard（谷歌）报告了此问题。