ISTIO-SECURITY-2020-009

Istio 容易受到新发现隐患的攻击：

• CVE-2020-16844：对于源 Principals 和名称空间字段使用通配符后缀（例如：* -some-suffix ）的具有 DENY 操作的已定义授权策略TCP服务调用者，将永远不会被拒绝访问。
  • CVSS Score: 6.8 AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Istio 用户以下列方式容易受到此漏洞的影响：

如果用户具有类似于以下内容的授权

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
 name: foo
 namespace: foo
spec:
 action: DENY
 rules:
 - from:
   - source:
       principals:
       - */ns/ns1/sa/foo # indicating any trust domain, ns1 namespace, foo svc account

Istio 将 Principal (和 source.principal)字段转换为 Envoy 级别的字符串匹配。

stringMatch:
  suffix: spiffe:///ns/ns1/sa/foo

它将不匹配任何合法的调用者，因为它错误的包含了 spiffe:// 字符串。正确的字符串匹配应该是：

stringMatch:
  regex: spiffe://.*/ns/ns1/sa/foo

AuthorizationPolicy 中的前缀和精确匹配不受影响，它们中的 ALLOW 操作也一样；HTTP 也不受影响。

防范

• 对于 Istio 1.5.x 部署：请升级至 Istio 1.5.9 或是更高的版本。
• 对于 Istio 1.6.x 部署：请升级至 Istio 1.6.8 或是更高的版本。
• 不要在 TCP 服务的源 Principal 或名称空间字段的 DENY 策略中使用后缀匹配，并在适用的情况下使用前缀和精确匹配。 在可能的情况下，在您的服务中将 TCP 更改为 HTTP 作为端口名后缀。

漏洞报告

希望大家遵循漏洞报告步骤，以报告任何可能会导致安全漏洞的 bug。