ISTIO-SECURITY-2020-005
影响 telemetry v2 的拒绝服务漏洞。
安全漏洞详情 | |
---|---|
CVE(s) | CVE-2020-10739 |
CVSS 影响评分 | 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
受影响的版本 | 1.4 to 1.4.8 1.5 to 1.5.3 |
内容
启用 telemetry v2 的 Istio 1.4 和启用了 telemetry v2 的 Istio 1.5 包含以下漏洞:
- CVE-2020-10739:
通过发送特制数据包,攻击者可能会触发空指针异常,从而导致拒绝服务。这可以发送到 ingress gateway 或 sidecar。
- CVSS Score: 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
防范
- 对于 Istio 1.4.x 部署:请升级至 Istio 1.4.9 或更高的版本。
- 对于 Istio 1.5.x 部署:请升级至 Istio 1.5.4 或更高的版本。
- 解决方法:或者,您可以通过运行以下命令禁用 telemetry v2:
$ istioctl manifest apply --set values.telemetry.v2.enabled=false
致谢
我们在此对 Joren Zandstra
的的原始错误报告表示感谢。
漏洞报告
希望大家遵循漏洞报告步骤,以报告任何可能会导致安全漏洞的 BUG。