ISTIO-SECURITY-2020-008
通配符 DNS 使用者主机名称的验证不正确。
安全漏洞详情 | |
---|---|
CVE(s) | CVE-2020-15104 |
CVSS 影响评分 | 6.6 AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:N/E:F/RL:O/RC:C |
受影响的版本 | 1.5 to 1.5.7 1.6 to 1.6.4 All releases prior to 1.5 |
Istio 容易受到新发现漏洞的攻击:
CVE-2020-15104
: 当验证 TLS 证书时,Envoy 错误地允许将通配符 DNS 使用者主机名称应用于多个子域。例如,在 SAN 为*.example.com
通配的情况下,Envoy 错误地允许使用nested.subdomain.example.com
,而它只允许使用subdomain.example.com
。- CVSS Score: 6.6 AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:N/E:F/RL:O/RC:C
Istio 用户通过以下方式暴露此漏洞:
通过 Envoy 筛选器直接使用 Envoy 的
verify_subject_alt_name
和match_subject_alt_names
配置。使用Istio 的
subjectAltNames
字段在目标规则与客户端 TLS 设置。具有包含nested.subdomain.example.com
的subjectAltNames
字段的目标规则错误地接受来自主机名称(SAN)为*.example.com
的上游层证书。 相反,应该存在一个*.subdomain.example.com
或nested.subdomain.example.com
的 SAN。使用 Istio 的服务条目中的
subjectAltNames
。带有subjectAltNames
字段的值类似于nested.subdomain.example.com
的服务条目错误地接受来自 SAN 为*.example.com
的上游层证书。
Istio CA(以前称为 Citadel)不使用 DNS 通配符 SAN 颁发证书。 该漏洞仅影响验证外部颁发证书的配置。
防范
- 对于 1.5.x deployments: 部署: 请升级至 Istio 1.5.8 或更高的版本。
- 对于 1.6.x deployments: 部署: 请升级至 Istio 1.6.5 或更高的版本。
漏洞报告
希望大家遵循漏洞报告步骤,以报告任何可能会导致安全漏洞的 BUG。