ISTIO-SECURITY-2022-007

由于 Go 语言正则表达式库造成拒绝服务 (DoS) 攻击。

Oct 12, 2022

安全漏洞详情
CVE(s)CVE-2022-39278
CVSS 影响评分7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
受影响的版本1.13 之前的所有版本
1.13.0 到 1.13.8
1.14.0 到 1.14.4
1.15.0 到 1.15.1

CVE

CVE-2022-39278

Istio 控制平面 Istiod 容易受到请求处理错误的影响,允许恶意攻击者发送特制或超大的消息,这样会使控制平面进程崩溃。 当以公开方式暴露 Kubernetes 校验或更改 Webhook 服务时,此漏洞可能被人利用。 此端点通过 TLS 端口 15017 提供服务,但不需要攻击者进行任何身份验证。

对于简单的安装,Istiod 通常只能从集群内部访问,这限制了受影响的范围。 但是,对于某些 Deployment,尤其是控制平面运行在不同的集群中时,此端口会被暴露在公网上。

Go CVE

以下 Go 问题指向由 Go 正则表达式库引起的安全漏洞。它在 Go 1.18.7 和 Go 1.19.2 中得到了公开的修复。

我受到影响了吗?

如果您正在外部 istiod 环境中运行 Istio,或已经向外暴露了 Istiod 且正在使用任一受影响的 Istio 版本,那么您面临的风险很大。