ISTIO-SECURITY-2020-001
绕过身份认证策略。
| 安全漏洞详情 | |
|---|---|
| CVE(s) | CVE-2020-8595 |
| CVSS 影响评分 | 9.0 AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 受影响的版本 | 1.3 to 1.3.7 1.4 to 1.4.3 |
Istio 1.3 到 1.3.7 以及 1.4 到 1.4.3 容易受到一个新发现漏洞的攻击，其会影响认证策略：
- CVE-2020-8595：Istio 身份认证策略精确路径匹配逻辑中的一个 bug，允许在没有有效 JWT 令牌的情况下，对资源进行未经授权的访问。此 bug 会影响所有支持基于路径触发规则的 JWT 身份验证策略的 Istio 版本。Istio JWT 过滤器中用于精确路径匹配的逻辑包括查询字符串或片段，而不是在匹配之前将其剥离。这意味着攻击者可以通过在受保护的路径之后添加
？或##字符来绕过 JWT 验证。
防范
- 对于 Istio 1.3.x 部署: 请升级至 Istio 1.3.8 或更高的版本。
- 对于 Istio 1.4.x 部署: 请升级至 Istio 1.4.4 或更高的版本。
鸣谢
Istio 团队在此对 Aspen Mesh 的原始错误报告和 CVE-2020-8595 的修复代码表示感谢。
漏洞报告
希望大家遵循漏洞报告步骤，以报告任何可能会导致安全漏洞的 bug。