ISTIO-SECURITY-2022-007

由于 Go 语言正则表达式库造成拒绝服务 (DoS) 攻击。

Oct 12, 2022

安全漏洞详情
CVE(s)	CVE-2022-39278
CVSS 影响评分	7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
受影响的版本	1.13 之前的所有版本 1.13.0 到 1.13.8 1.14.0 到 1.14.4 1.15.0 到 1.15.1

CVE

CVE-2022-39278

CVE-2022-39278: (CVSS Score 7.5, High)：由于 Go 语言正则表达式库造成拒绝服务 (DoS) 攻击。

Istio 控制平面 Istiod 容易受到请求处理错误的影响，允许恶意攻击者发送特制或超大的消息，这样会使控制平面进程崩溃。当以公开方式暴露 Kubernetes 校验或更改 Webhook 服务时，此漏洞可能被人利用。此端点通过 TLS 端口 15017 提供服务，但不需要攻击者进行任何身份验证。

对于简单的安装，Istiod 通常只能从集群内部访问，这限制了受影响的范围。但是，对于某些 Deployment，尤其是控制平面运行在不同的集群中时，此端口会被暴露在公网上。

Go CVE

以下 Go 问题指向由 Go 正则表达式库引起的安全漏洞。它在 Go 1.18.7 和 Go 1.19.2 中得到了公开的修复。

CVE-2022-41715

我受到影响了吗？

如果您正在外部 istiod 环境中运行 Istio，或已经向外暴露了 Istiod 且正在使用任一受影响的 Istio 版本，那么您面临的风险很大。