O Anthos Service Mesh 1.10 chegou ao fim da vida útil e não é mais compatível. Consulte Como fazer upgrade de versões anteriores.

Veja uma mais recente ou selecione outra versão disponível:

Versões disponíveis

Boletins de segurança

Use este feed XML para se inscrever nos boletins de segurança do Anthos Service Mesh.

Nesta página, listamos os boletins de segurança do Anthos Service Mesh.

GCP-2024-007

Publicado:08/02/2024

Descrição	Gravidade	Observações
O Envoy falha quando o usuário está inativo, e o tempo limite das solicitações por tentativa ocorre dentro do intervalo de espera. O que devo fazer? Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias. Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se você estiver usando o Anthos Service Mesh v1.17 ou anterior, sua versão chegou ao fim da vida útil e não é mais compatível. Embora essas correções de CVE tenham passado por backport para a versão 1.17, é necessário fazer upgrade para a versão 1.18 ou posterior.	Alto	CVE-2024-23322

Descrição

Gravidade

Observações

O Envoy falha quando o usuário está inativo, e o tempo limite das solicitações por tentativa ocorre dentro do intervalo de espera.

O que devo fazer?

Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias.

Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch:

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

Se você estiver usando o Anthos Service Mesh v1.17 ou anterior, sua versão chegou ao fim da vida útil e não é mais compatível. Embora essas correções de CVE tenham passado por backport para a versão 1.17, é necessário fazer upgrade para a versão 1.18 ou posterior.

Alto

CVE-2024-23322

Descrição	Gravidade	Observações
Uso excessivo da CPU quando a correspondência do modelo de URI está configurada usando regex. O que devo fazer? Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias. Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se você estiver usando o Anthos Service Mesh v1.17 ou anterior, sua versão chegou ao fim da vida útil e não é mais compatível. Embora essas correções de CVE tenham passado por backport para a versão 1.17, é necessário fazer upgrade para a versão 1.18 ou posterior.	Média	CVE-2024-23323

Descrição

Gravidade

Observações

Uso excessivo da CPU quando a correspondência do modelo de URI está configurada usando regex.

O que devo fazer?

Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias.

Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch:

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

Média

CVE-2024-23323

Descrição	Gravidade	Observações
A autorização externa pode ser ignorada quando o filtro do protocolo do proxy define metadados UTF-8 inválidos. O que devo fazer? Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias. Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se você estiver usando o Anthos Service Mesh v1.17 ou anterior, sua versão chegou ao fim da vida útil e não é mais compatível. Embora essas correções de CVE tenham passado por backport para a versão 1.17, é necessário fazer upgrade para a versão 1.18 ou posterior.	Alto	CVE-2024-23324

Descrição

Gravidade

Observações

A autorização externa pode ser ignorada quando o filtro do protocolo do proxy define metadados UTF-8 inválidos.

O que devo fazer?

Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias.

Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch:

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

Alto

CVE-2024-23324

Descrição	Gravidade	Observações
O Envoy falha ao usar um tipo de endereço que não tem suporte no SO. O que devo fazer? Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias. Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se você estiver usando o Anthos Service Mesh v1.17 ou anterior, sua versão chegou ao fim da vida útil e não é mais compatível. Embora essas correções de CVE tenham passado por backport para a versão 1.17, é necessário fazer upgrade para a versão 1.18 ou posterior.	Alto	CVE-2024-23325

Descrição

Gravidade

Observações

O Envoy falha ao usar um tipo de endereço que não tem suporte no SO.

O que devo fazer?

Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias.

Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch:

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

Alto

CVE-2024-23325

Descrição Gravidade Observações

Descrição	Gravidade	Observações
Falha no protocolo de proxy quando o tipo de comando é `LOCAL`. O que devo fazer? Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias. Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se você estiver usando o Anthos Service Mesh v1.17 ou anterior, sua versão chegou ao fim da vida útil e não é mais compatível. Embora essas correções de CVE tenham passado por backport para a versão 1.17, é necessário fazer upgrade para a versão 1.18 ou posterior.	Alto	CVE-2024-23327

Falha no protocolo de proxy quando o tipo de comando é LOCAL.

O que devo fazer?

Se você estiver executando o Anthos Service Mesh gerenciado, nenhuma ação será necessária. Seu sistema será atualizado automaticamente nos próximos dias.

Se você estiver executando o Anthos Service Mesh no cluster, faça upgrade do cluster para uma das seguintes versões com patch:

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

Alto

CVE-2024-23327

GCP-2023-031

Publicado: 2023-10-10

Descrição	Gravidade	Observações
Um ataque de negação de serviço pode afetar o plano de dados quando o protocolo HTTP/2 é usado. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores a 1.18.4, 1.17.7 ou 1.16.7. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.18.4-asm.0 1.17.7-asm.0 1.16.7-asm.10 Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias. Se você estiver usando o Anthos Service Mesh v1.15 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para a v1.16 ou posterior.	Alto	CVE-2023-44487

Descrição

Gravidade

Observações

Um ataque de negação de serviço pode afetar o plano de dados quando o protocolo HTTP/2 é usado.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores a 1.18.4, 1.17.7 ou 1.16.7.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.18.4-asm.0
1.17.7-asm.0
1.16.7-asm.10

Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias.

Se você estiver usando o Anthos Service Mesh v1.15 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para a v1.16 ou posterior.

Alto

CVE-2023-44487

GCP-2023-021

Updated:2023-07-26

Publicação: 25/07/2022

Descrição	Gravidade	Observações
Um cliente mal-intencionado pode criar credenciais com validade permanente em alguns cenários específicos. Por exemplo, a combinação de host e prazo de validade no payload de HMAC pode sempre ser válida na verificação de HMAC do filtro OAuth2. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a 1.17.4 1.16.6 1.15.7 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias. Se você estiver usando o Anthos Service Mesh v1.14 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para o ASM 1.15 ou superior.	Alta	CVE-2023-35941

Descrição

Gravidade

Observações

Um cliente mal-intencionado pode criar credenciais com validade permanente em alguns cenários específicos. Por exemplo, a combinação de host e prazo de validade no payload de HMAC pode sempre ser válida na verificação de HMAC do filtro OAuth2.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a

1.17.4
1.16.6
1.15.7

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias.

Se você estiver usando o Anthos Service Mesh v1.14 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para o ASM 1.15 ou superior.

Alta

CVE-2023-35941

Descrição	Gravidade	Observações
Os registradores de acesso gRPC que usam o escopo global do listener podem causar uma falha após o uso quando o listener é drenado. Isso pode ser acionado por uma atualização do LDS com a mesma configuração de registro de acesso gRPC. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a 1.17.4 1.16.6 1.15.7 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias. Se você estiver usando o Anthos Service Mesh v1.14 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para o ASM 1.15 ou superior.	Média	CVE-2023-35942

Descrição

Gravidade

Observações

Os registradores de acesso gRPC que usam o escopo global do listener podem causar uma falha após o uso quando o listener é drenado. Isso pode ser acionado por uma atualização do LDS com a mesma configuração de registro de acesso gRPC.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a

1.17.4
1.16.6
1.15.7

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias.

Média

CVE-2023-35942

Descrição Gravidade Observações

Descrição	Gravidade	Observações
Se o cabeçalho `origin` estiver configurado para ser removido com request_headers_to_remove: origin, o filtro CORS vai falhar e gerar uma falha no Envoy. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a 1.17.4 1.16.6 1.15.7 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias. Se você estiver usando o Anthos Service Mesh v1.14 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para o ASM 1.15 ou superior.	Média	CVE-2023-35943

Se o cabeçalho origin estiver configurado para ser removido com request_headers_to_remove: origin, o filtro CORS vai falhar e gerar uma falha no Envoy.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a

1.17.4
1.16.6
1.15.7

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias.

Média

CVE-2023-35943

Descrição	Gravidade	Observações
Os invasores podem enviar solicitações de esquema misto para ignorar algumas verificações de esquema no Envoy. Por exemplo, se uma solicitação com esquema misto HTTP for enviada para o filtro OAuth2, ela falhará nas verificações de correspondência exata para http e informará ao ponto de extremidade remoto que o esquema é https, possivelmente ignorando verificações OAuth2 específicas para solicitações HTTP. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a 1.17.4 1.16.6 1.15.7 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias. Se você estiver usando o Anthos Service Mesh v1.14 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para o ASM 1.15 ou superior.	Alto	CVE-2023-35944

Descrição

Gravidade

Observações

Os invasores podem enviar solicitações de esquema misto para ignorar algumas verificações de esquema no Envoy. Por exemplo, se uma solicitação com esquema misto HTTP for enviada para o filtro OAuth2, ela falhará nas verificações de correspondência exata para http e informará ao ponto de extremidade remoto que o esquema é https, possivelmente ignorando verificações OAuth2 específicas para solicitações HTTP.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a

1.17.4
1.16.6
1.15.7

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias.

Alto

CVE-2023-35944

GCP-2023-019

Descrição	Gravidade	Observações
Uma resposta criada especificamente a partir de um serviço upstream não confiável pode causar uma negação de serviço por meio do esgotamento da memória. Isso é causado pelo codec HTTP/2 do Envoy, que pode vazar um mapa de cabeçalho e estruturas de contabilidade ao receber RST_STREAM imediatamente seguido pelos frames GOAWAY de um servidor upstream. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a 1.17.4 1.16.6 1.15.7 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.17.4-asm.2 1.16.6-asm.3 1.15.7-asm.21 Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias. Se você estiver usando o Anthos Service Mesh v1.14 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. É necessário fazer upgrade para o ASM 1.15 ou superior.	Alto	CVE-2023-35945

Descrição

Gravidade

Observações

Uma resposta criada especificamente a partir de um serviço upstream não confiável pode causar uma negação de serviço por meio do esgotamento da memória. Isso é causado pelo codec HTTP/2 do Envoy, que pode vazar um mapa de cabeçalho e estruturas de contabilidade ao receber RST_STREAM imediatamente seguido pelos frames GOAWAY de um servidor upstream.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se usar versões de patch do Anthos Service Mesh anteriores a

1.17.4
1.16.6
1.15.7

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.17.4-asm.2
1.16.6-asm.3
1.15.7-asm.21

Se você estiver executando o Anthos Service Mesh gerenciado, seu sistema será atualizado automaticamente nos próximos dias.

Alto

CVE-2023-35945

GCP-2023-002

Descrição	Gravidade	Observações
Se o Envoy estiver em execução com o filtro OAuth ativado exposto, um ator malicioso poderá criar uma solicitação que causaria negação de serviço ao causar uma falha no Envoy O que fazer? Veja se os clusters foram afetados Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a: 1.16.4 1.15.7 1.14.6 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se você estiver usando o Anthos Service Mesh v1.13 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.14 ou mais recente.	Média	CVE-2023-27496

Descrição

Gravidade

Observações

Se o Envoy estiver em execução com o filtro OAuth ativado exposto, um ator malicioso poderá criar uma solicitação que causaria negação de serviço ao causar uma falha no Envoy

O que fazer?

Veja se os clusters foram afetados

Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a:

1.16.4
1.15.7
1.14.6

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

Se você estiver usando o Anthos Service Mesh v1.13 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.14 ou mais recente.

Média

CVE-2023-27496

Descrição	Gravidade	Observações
O invasor pode usar essa vulnerabilidade para ignorar verificações de autenticação quando ext_authz é usado. O que devo fazer? Veja se os clusters foram afetados Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a: 1.16.4 1.15.7 1.14.6 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se você estiver usando o Anthos Service Mesh v1.13 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.14 ou mais recente.	Média	CVE-2023-27488

Descrição

Gravidade

Observações

O invasor pode usar essa vulnerabilidade para ignorar verificações de autenticação quando ext_authz é usado.

O que devo fazer?

Veja se os clusters foram afetados

Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a:

1.16.4
1.15.7
1.14.6

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

Média

CVE-2023-27488

Descrição	Gravidade	Observações
A configuração do Envoy também precisa incluir uma opção para adicionar cabeçalhos de solicitação gerados com entradas da solicitação, ou seja, o certificado de peering SAN. O que devo fazer? Veja se os clusters foram afetados Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a: 1.16.4 1.15.7 1.14.6 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se você estiver usando o Anthos Service Mesh v1.13 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.14 ou mais recente.	Alto	CVE-2023-27493

Descrição

Gravidade

Observações

A configuração do Envoy também precisa incluir uma opção para adicionar cabeçalhos de solicitação gerados com entradas da solicitação, ou seja, o certificado de peering SAN.

O que devo fazer?

Veja se os clusters foram afetados

Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a:

1.16.4
1.15.7
1.14.6

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

Alto

CVE-2023-27493

Descrição	Gravidade	Observações
Os invasores podem enviar corpos de solicitação grandes para rotas com o filtro Lua ativado e acionar falhas. O que devo fazer? Veja se os clusters foram afetados Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a: 1.16.4 1.15.7 1.14.6 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se você estiver usando o Anthos Service Mesh v1.13 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.14 ou mais recente.	Média	CVE-2023-27492

Descrição

Gravidade

Observações

Os invasores podem enviar corpos de solicitação grandes para rotas com o filtro Lua ativado e acionar falhas.

O que devo fazer?

Veja se os clusters foram afetados

Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a:

1.16.4
1.15.7
1.14.6

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

Média

CVE-2023-27492

Descrição	Gravidade	Observações
Os invasores podem enviar solicitações HTTP/2 ou HTTP/3 especificamente criadas para acionar erros de análise no serviço upstream HTTP1. O que fazer? Veja se os clusters foram afetados Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a: 1.16.4 1.15.7 1.14.6 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se você estiver usando o Anthos Service Mesh v1.13 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.14 ou mais recente.	Média	CVE-2023-27491

Descrição

Gravidade

Observações

Os invasores podem enviar solicitações HTTP/2 ou HTTP/3 especificamente criadas para acionar erros de análise no serviço upstream HTTP1.

O que fazer?

Veja se os clusters foram afetados

Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a:

1.16.4
1.15.7
1.14.6

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

Média

CVE-2023-27491

Descrição	Gravidade	Observações
O cabeçalho x-envoy-original-path deve ser um cabeçalho interno, mas o Envoy não remove esse cabeçalho da solicitação no início do processamento da solicitação quando ele é enviado de um cliente não confiável. O que fazer? Veja se os clusters foram afetados Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a: 1.16.4 1.15.7 1.14.6 Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se você estiver usando o Anthos Service Mesh v1.13 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.14 ou mais recente.	Alto	CVE-2023-27487

Descrição

Gravidade

Observações

O cabeçalho x-envoy-original-path deve ser um cabeçalho interno, mas o Envoy não remove esse cabeçalho da solicitação no início do processamento da solicitação quando ele é enviado de um cliente não confiável.

O que fazer?

Veja se os clusters foram afetados

Seus clusters serão afetados se usarem versões de patch do Anthos Service Mesh anteriores a:

1.16.4
1.15.7
1.14.6

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

Alto

CVE-2023-27487

GCP-2022-020

Publicação: 05/10/2022
Atualizado em 12/10/2022
Atualização de 12/10/2022: atualização do link para a descrição da CVE e adição de informações sobre atualizações automáticas do Anthos Service Mesh gerenciado.

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O plano de controle do `istiod` é vulnerável a um erro de processamento de solicitação. Isso permite que um invasor mal-intencionado envie uma mensagem especialmente criada para que o plano de controle falhe quando o webhook de validação de um cluster for exposto publicamente. Esse endpoint é exibido na porta TLS 15017, mas não requer autenticação do invasor. O que fazer? Veja se os clusters foram afetados Seu cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores a 1.14.4, 1.13.8 ou 1.12.9. Mitigação Se você estiver executando o Anthos Service Mesh autônomo, faça upgrade do cluster para uma das seguintes versões com patch: Se você estiver usando o Anthos Service Mesh 1.14, faça upgrade para a v1.14.4-asm.2 Se você estiver usando o Anthos Service Mesh 1.13, faça upgrade para a v1.13.8-asm.4 Se você estiver usando o Anthos Service Mesh 1.12, faça upgrade para a v1.12.9-asm.3 Se você estiver executando o Anthos Service Mesh gerenciado, o sistema será atualizado automaticamente nos próximos dias. Se você estiver usando o Anthos Service Mesh v1.11 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.12 ou mais recente.	Alto	CVE-2022-39278

O plano de controle do istiod é vulnerável a um erro de processamento de solicitação. Isso permite que um invasor mal-intencionado envie uma mensagem especialmente criada para que o plano de controle falhe quando o webhook de validação de um cluster for exposto publicamente. Esse endpoint é exibido na porta TLS 15017, mas não requer autenticação do invasor.

O que fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores a 1.14.4, 1.13.8 ou 1.12.9.

Mitigação

Se você estiver executando o Anthos Service Mesh autônomo, faça upgrade do cluster para uma das seguintes versões com patch:

Se você estiver usando o Anthos Service Mesh 1.14, faça upgrade para a v1.14.4-asm.2
Se você estiver usando o Anthos Service Mesh 1.13, faça upgrade para a v1.13.8-asm.4
Se você estiver usando o Anthos Service Mesh 1.12, faça upgrade para a v1.12.9-asm.3

Se você estiver executando o Anthos Service Mesh gerenciado, o sistema será atualizado automaticamente nos próximos dias.

Se você estiver usando o Anthos Service Mesh v1.11 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.12 ou mais recente.

Alto

CVE-2022-39278

GCP-2022-015

Publicação: 09/06/2022
Atualizado em: 10/06/2022
Atualização de 10/06/2022: versões de patch atualizadas do Anthos Service Mesh.

Descrição	Gravidade	Observações
O plano de dados do Istio pode acessar a memória de forma não segura quando as extensões de troca de metadados e o Stats estiverem ativadas. O que fazer? Veja se os clusters foram afetados O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4. Mitigação do Anthos Service Mesh Faça upgrade do cluster para uma das seguintes versões com patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se você estiver usando o Anthos Service Mesh v1.10 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.11 ou mais recente. Para mais informações, consulte Como fazer upgrade de versões anteriores (GKE) ou Como fazer upgrade de versões anteriores (no local).	Alto	CVE-2022-31045

Descrição

Gravidade

Observações

O plano de dados do Istio pode acessar a memória de forma não segura quando as extensões de troca de metadados e o Stats estiverem ativadas.

O que fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4.

Mitigação do Anthos Service Mesh

Faça upgrade do cluster para uma das seguintes versões com patch:

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Se você estiver usando o Anthos Service Mesh v1.10 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.11 ou mais recente. Para mais informações, consulte Como fazer upgrade de versões anteriores (GKE) ou Como fazer upgrade de versões anteriores (no local).

Alto

CVE-2022-31045

Descrição	Gravidade	Observações
Os dados poderão exceder os limites intermediários de buffer se um invasor enviar um payload pequeno e altamente compactado, também conhecido como ataque de bomba zip. O que devo fazer? Veja se os clusters foram afetados O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4. O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que haja impacto caso você use um filtro de descompactação. Mitigação do Anthos Service Mesh Faça upgrade do cluster para uma das seguintes versões com patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se você estiver usando o Anthos Service Mesh v1.10 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.11 ou mais recente. Para mais informações, consulte Como fazer upgrade de versões anteriores (GKE) ou Como fazer upgrade de versões anteriores (no local). Mitigação de Envoy Os usuários do Envoy que gerenciam os próprios Envoy precisam garantir o uso da versão 1.22.1. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam. Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.	Alto	CVE-2022-29225

Descrição

Gravidade

Observações

Os dados poderão exceder os limites intermediários de buffer se um invasor enviar um payload pequeno e altamente compactado, também conhecido como ataque de bomba zip.

O que devo fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4.

O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que haja impacto caso você use um filtro de descompactação.

Mitigação do Anthos Service Mesh

Faça upgrade do cluster para uma das seguintes versões com patch:

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Mitigação de Envoy

Os usuários do Envoy que gerenciam os próprios Envoy precisam garantir o uso da versão 1.22.1. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam.

Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.

Alto

CVE-2022-29225

Descrição Gravidade Observações

Descrição	Gravidade	Observações
Possível referência de ponteiro nulo em `GrpcHealthCheckerImpl`. O que devo fazer? Veja se os clusters foram afetados O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4. Mitigação do Anthos Service Mesh Faça upgrade do cluster para uma das seguintes versões com patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se você estiver usando o Anthos Service Mesh v1.10 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.11 ou mais recente. Para mais informações, consulte Como fazer upgrade de versões anteriores (GKE) ou Como fazer upgrade de versões anteriores (no local). Mitigação de Envoy Os usuários do Envoy que gerenciam os próprios Envoy precisam garantir o uso da versão 1.22.1. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam. Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.	Média	CVE-2021-29224

Possível referência de ponteiro nulo em GrpcHealthCheckerImpl.

O que devo fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4.

Mitigação do Anthos Service Mesh

Faça upgrade do cluster para uma das seguintes versões com patch:

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Mitigação de Envoy

Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.

Média

CVE-2021-29224

Descrição	Gravidade	Observações
O filtro de OAuth permite ignorar itens triviais. O que devo fazer? Veja se os clusters foram afetados O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4. O Anthos Service Mesh não é compatível com filtros do Envoy, mas isso poderá ser afetado se você usar um filtro OAuth. Mitigação do Anthos Service Mesh Faça upgrade do cluster para uma das seguintes versões com patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se você estiver usando o Anthos Service Mesh v1.10 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.11 ou mais recente. Para mais informações, consulte Como fazer upgrade de versões anteriores (GKE) ou Como fazer upgrade de versões anteriores (no local). Mitigação de Envoy Os usuários do Envoy que gerenciam o próprio Envoy também precisam usar o filtro OAuth para garantir que estão utilizando a versão 1.22.1 do Envoy. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam. Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.	Crítica	CVE-2021-29226

Descrição

Gravidade

Observações

O filtro de OAuth permite ignorar itens triviais.

O que devo fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4.

O Anthos Service Mesh não é compatível com filtros do Envoy, mas isso poderá ser afetado se você usar um filtro OAuth.

Mitigação do Anthos Service Mesh

Faça upgrade do cluster para uma das seguintes versões com patch:

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Mitigação de Envoy

Os usuários do Envoy que gerenciam o próprio Envoy também precisam usar o filtro OAuth para garantir que estão utilizando a versão 1.22.1 do Envoy. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam.

Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.

Crítica

CVE-2021-29226

Descrição	Gravidade	Observações
O filtro OAuth pode corromper a memória (versões anteriores) ou acionar um ASSERT() (versões posteriores). O que devo fazer? Veja se os clusters foram afetados O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4. O Anthos Service Mesh não é compatível com filtros do Envoy, mas isso poderá ser afetado se você usar um filtro OAuth. Mitigação do Anthos Service Mesh Faça upgrade do cluster para uma das seguintes versões com patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se você estiver usando o Anthos Service Mesh v1.10 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.11 ou mais recente. Mitigação de Envoy Os usuários do Envoy que gerenciam o próprio Envoy também precisam usar o filtro OAuth para garantir que estão utilizando a versão 1.22.1 do Envoy. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam. Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.	Alto	CVE-2022-29228

Descrição

Gravidade

Observações

O filtro OAuth pode corromper a memória (versões anteriores) ou acionar um ASSERT() (versões posteriores).

O que devo fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4.

O Anthos Service Mesh não é compatível com filtros do Envoy, mas isso poderá ser afetado se você usar um filtro OAuth.

Mitigação do Anthos Service Mesh

Faça upgrade do cluster para uma das seguintes versões com patch:

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Mitigação de Envoy

Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.

Alto

CVE-2022-29228

Descrição	Gravidade	Observações
Redirecionamentos internos falham em solicitações com corpo ou trailers. O que devo fazer? Veja se os clusters foram afetados O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4. Mitigação do Anthos Service Mesh Faça upgrade do cluster para uma das seguintes versões com patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se você estiver usando o Anthos Service Mesh v1.10 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.11 ou mais recente. Para mais informações, consulte Como fazer upgrade de versões anteriores (GKE) ou Como fazer upgrade de versões anteriores (no local). Mitigação de Envoy Os usuários do Envoy que gerenciam os próprios Envoy precisam garantir o uso da versão 1.22.1. Os usuários do Envoy que gerenciam os próprios Envoys criam os binários de uma fonte como o GitHub e os implantam. Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.	Alta	CVE-2022-29227

Descrição

Gravidade

Observações

Redirecionamentos internos falham em solicitações com corpo ou trailers.

O que devo fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores à 1.13.4-asm.4, 1.12.7-asm.2 ou 1.11.8-asm.4.

Mitigação do Anthos Service Mesh

Faça upgrade do cluster para uma das seguintes versões com patch:

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Mitigação de Envoy

Não há ações a serem tomadas pelos usuários que executam o Envoy gerenciado (o Google Cloud fornece os binários do Envoy), cujo produto da nuvem mudará para 1.22.1.

Alta

CVE-2022-29227

GCP-2022-010

Publicação: 10/03/2022
Atualizado em: 16/03/2022

Descrição	Gravidade	Observações
O plano de controle do Istio, istiod, é vulnerável a um erro de processamento de solicitação. Isso permite que um invasor mal-intencionado envie uma mensagem especialmente criada para que o plano de controle falhe quando o webhook de validação de um cluster for exposto publicamente. Esse endpoint é exibido na porta TLS 15017, mas não requer autenticação do invasor. O que devo fazer? Veja se os clusters foram afetados Todas as versões do Anthos Service Mesh são afetadas por esta CVE. Observação: se você estiver usando um plano de controle gerenciado, essa vulnerabilidade já terá sido corrigida e você não sofrerá nenhum impacto. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.5-asm.0 1.11.8-asm.0 1.10.6-asm.2 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Alto	CVE-2022-24726

Descrição

Gravidade

Observações

O plano de controle do Istio, istiod, é vulnerável a um erro de processamento de solicitação. Isso permite que um invasor mal-intencionado envie uma mensagem especialmente criada para que o plano de controle falhe quando o webhook de validação de um cluster for exposto publicamente. Esse endpoint é exibido na porta TLS 15017, mas não requer autenticação do invasor.

O que devo fazer?

Veja se os clusters foram afetados

Todas as versões do Anthos Service Mesh são afetadas por esta CVE.

Observação: se você estiver usando um plano de controle gerenciado, essa vulnerabilidade já terá sido corrigida e você não sofrerá nenhum impacto.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.5-asm.0
1.11.8-asm.0
1.10.6-asm.2

Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.

Alto

CVE-2022-24726

GCP-2022-007

Publicação: 22/02/2022

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O Istiod falha ao receber solicitações com um cabeçalho `authorization` especialmente elaborado. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1. Observação: se você estiver usando um plano de controle gerenciado, essa vulnerabilidade já terá sido corrigida e você não sofrerá nenhum impacto. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Alto	CVE-2022-23635

O Istiod falha ao receber solicitações com um cabeçalho authorization especialmente elaborado.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1.

Observação: se você estiver usando um plano de controle gerenciado, essa vulnerabilidade já terá sido corrigida e você não sofrerá nenhum impacto.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

Alto

CVE-2022-23635

Descrição Gravidade Observações

Descrição	Gravidade	Observações
Possível referência nula ao ponteiro usando a correspondência de filtro JWT `safe_regex`. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1. O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que você sofra impactos se usar o regex de filtro JWT. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Média	CVE-2021-43824

Possível referência nula ao ponteiro usando a correspondência de filtro JWT safe_regex.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1.
O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que você sofra impactos se usar o regex de filtro JWT.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

Média

CVE-2021-43824

Descrição	Gravidade	Observações
Use após a liberação quando os filtros de resposta aumentarem os dados de resposta, e os dados maiores excederem os limites de buffer downstream. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1. O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que haja impacto caso você use um filtro de descompactação. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Média	CVE-2021-43825

Descrição

Gravidade

Observações

Use após a liberação quando os filtros de resposta aumentarem os dados de resposta, e os dados maiores excederem os limites de buffer downstream.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1.
O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que haja impacto caso você use um filtro de descompactação.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

Média

CVE-2021-43825

Descrição	Gravidade	Observações
Use após a liberação durante o tunelamento de TCP em HTTP, se o downstream for desconectado durante o estabelecimento da conexão upstream. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1. O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que você sofra impactos se usar um filtro de tunelamento. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Média	CVE-2021-43826

Descrição

Gravidade

Observações

Use após a liberação durante o tunelamento de TCP em HTTP, se o downstream for desconectado durante o estabelecimento da conexão upstream.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1.
O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que você sofra impactos se usar um filtro de tunelamento.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

Média

CVE-2021-43826

Descrição	Gravidade	Observações
O gerenciamento incorreto de configurações permite a reutilização de uma sessão mTLS sem revalidação depois que as configurações de validação são alteradas. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1. Todos os serviços do Anthos Service Mesh que usam mTLS são afetados por esta CVE. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Alta	CVE-2022-21654

Descrição

Gravidade

Observações

O gerenciamento incorreto de configurações permite a reutilização de uma sessão mTLS sem revalidação depois que as configurações de validação são alteradas.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1.
Todos os serviços do Anthos Service Mesh que usam mTLS são afetados por esta CVE.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

Alta

CVE-2022-21654

Descrição	Gravidade	Observações
Processamento incorreto de redirecionamentos internos para rotas com uma entrada de resposta direta. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1. O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que haja impacto caso você use um filtro de resposta direta. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Alto	CVE-2022-21655

Descrição

Gravidade

Observações

Processamento incorreto de redirecionamentos internos para rotas com uma entrada de resposta direta.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 ou 1.10.6-asm.1.
O Anthos Service Mesh não suporta filtros do Envoy, mas é possível que haja impacto caso você use um filtro de resposta direta.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

Alto

CVE-2022-21655

Descrição	Gravidade	Observações
Exaustão da pilha quando um cluster é excluído pelo serviço de descoberta de clusters. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores à versão 1.12.4-asm.1 ou 1.11.7-asm.1. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.12.4-asm.1 1.11.7-asm.1 Se você estiver usando o Anthos Service Mesh v1.9 ou versões anteriores, a versão atingiu o fim da vida útil e não será mais suportada. Essas correções de CVE não foram compatíveis com outras versões. Faça upgrade para o Anthos Service Mesh 1.10 ou mais recente.	Média	CVE-2022-23606

Descrição

Gravidade

Observações

Exaustão da pilha quando um cluster é excluído pelo serviço de descoberta de clusters.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores à versão 1.12.4-asm.1 ou 1.11.7-asm.1.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.12.4-asm.1
1.11.7-asm.1

Média

CVE-2022-23606

GCP-2021-016

Publicado em: 24/08/2021

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que uma solicitação HTTP com um fragmento (uma seção no final de um URI que começa com um caractere `#`) no caminho de URI pode ignorar a URI com base em caminho. políticas de autorização. Por exemplo, uma política de autorização do Istio denies as solicitações enviadas ao caminho de URI `/user/profile`. Nas versões vulneráveis, uma solicitação com o caminho de URI `/user/profile#section1` ignora a política de negação e encaminha para o back-end (com o caminho de URI normalizado `/user/profile%23section1`), o que leva a um incidente de segurança. Essa correção depende de uma correção no Envoy, que está associada à CVE-2021-32779. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Ele usa políticas de autorização com `DENY actions` e `operation.paths` ou `ALLOW actions` e `operation.notPaths`. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10 Com as novas versões, a parte do fragmento do URI da solicitação é removida antes da autorização e do roteamento. Isso impede que uma solicitação com um fragmento no URI ignore políticas de autorização baseadas no URI sem a parte do fragmento. Desativar Se você desativar esse novo comportamento, a seção de fragmento no URI será mantida. Para desativar, configure sua instalação da seguinte maneira: apiVersion: install.istio.io/v1alpha1 kind: IstioOperator metadata: name: opt-out-fragment-cve-fix namespace: istio-system spec: meshConfig: defaultConfig: proxyMetadata: HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false" Observação: desativar esse comportamento torna seu cluster vulnerável a esse CVE.	Alto	CVE-2021-39156

O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que uma solicitação HTTP com um fragmento (uma seção no final de um URI que começa com um caractere #) no caminho de URI pode ignorar a URI com base em caminho. políticas de autorização.

Por exemplo, uma política de autorização do Istio denies as solicitações enviadas ao caminho de URI /user/profile. Nas versões vulneráveis, uma solicitação com o caminho de URI /user/profile#section1 ignora a política de negação e encaminha para o back-end (com o caminho de URI normalizado /user/profile%23section1), o que leva a um incidente de segurança.

Essa correção depende de uma correção no Envoy, que está associada à CVE-2021-32779.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6.
Ele usa políticas de autorização com DENY actions e operation.paths ou ALLOW actions e operation.notPaths.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

Com as novas versões, a parte do fragmento do URI da solicitação é removida antes da autorização e do roteamento. Isso impede que uma solicitação com um fragmento no URI ignore políticas de autorização baseadas no URI sem a parte do fragmento.

Desativar

Se você desativar esse novo comportamento, a seção de fragmento no URI será mantida. Para desativar, configure sua instalação da seguinte maneira:


apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: opt-out-fragment-cve-fix
  namespace: istio-system
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false"

Observação: desativar esse comportamento torna seu cluster vulnerável a esse CVE.

Alto

CVE-2021-39156

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que uma solicitação HTTP pode ignorar uma política de autorização do Istio ao usar regras baseadas em `hosts` ou `notHosts`. Nas versões vulneráveis, a política de autorização do Istio compara os cabeçalhos `Host` ou `:authority` de HTTP com diferenciação de maiúsculas e minúsculas, o que é inconsistente com o RFC 4343. Por exemplo, o usuário pode ter uma política de autorização que rejeita solicitações com o host `secret.com`, mas o invasor pode ignorar isso enviando a solicitação no nome do host `Secret.com`. O fluxo de roteamento encaminha o tráfego para o back-end de `secret.com`, o que causa um incidente de segurança. O que fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Ele usa políticas de autorização com `DENY actions` baseadas em `operation.hosts` ou `ALLOW actions`, baseadas em `operation.notHosts`. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10 Essa mitigação garante que os cabeçalhos HTTP `Host` ou `:authority` sejam avaliados em relação às especificações `hosts` ou `notHosts` nas políticas de autorização, sem diferenciar maiúsculas de minúsculas.	Alto	CVE-2021-39155

O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que uma solicitação HTTP pode ignorar uma política de autorização do Istio ao usar regras baseadas em hosts ou notHosts.

Nas versões vulneráveis, a política de autorização do Istio compara os cabeçalhos Host ou :authority de HTTP com diferenciação de maiúsculas e minúsculas, o que é inconsistente com o RFC 4343. Por exemplo, o usuário pode ter uma política de autorização que rejeita solicitações com o host secret.com, mas o invasor pode ignorar isso enviando a solicitação no nome do host Secret.com. O fluxo de roteamento encaminha o tráfego para o back-end de secret.com, o que causa um incidente de segurança.

O que fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6.
Ele usa políticas de autorização com DENY actions baseadas em operation.hosts ou ALLOW actions, baseadas em operation.notHosts.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

Essa mitigação garante que os cabeçalhos HTTP Host ou :authority sejam avaliados em relação às especificações hosts ou notHosts nas políticas de autorização, sem diferenciar maiúsculas de minúsculas.

Alto

CVE-2021-39155

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O Envoy contém uma vulnerabilidade que pode ser explorada remotamente e que uma solicitação HTTP com vários cabeçalhos de valor pode fazer uma verificação de política de autorização incompleta quando a extensão `ext_authz` é usada. Quando um cabeçalho de solicitação contém vários valores, o servidor de autorização externo verá apenas o último valor do cabeçalho fornecido. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Ele usa o recurso Autorização externa. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10	Alto	CVE-2021-32777

O Envoy contém uma vulnerabilidade que pode ser explorada remotamente e que uma solicitação HTTP com vários cabeçalhos de valor pode fazer uma verificação de política de autorização incompleta quando a extensão ext_authz é usada. Quando um cabeçalho de solicitação contém vários valores, o servidor de autorização externo verá apenas o último valor do cabeçalho fornecido.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6.
Ele usa o recurso Autorização externa.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

Alto

CVE-2021-32777

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O Envoy contém uma vulnerabilidade que pode ser explorada remotamente e afeta as extensões `decompressor`, `json-transcoder` ou `grpc-web` do Envoy ou extensões proprietárias que modificam e aumentam o tamanho dos corpos de solicitação ou resposta. Modificar e aumentar o tamanho do corpo em uma extensão do Envoy além do tamanho do buffer interno pode levar o Envoy a acessar a memória desalocada e encerrar de forma anormal. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se as duas condições a seguir forem verdadeiras: Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Ele usa `EnvoyFilters`. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10	Alto	CVE-2021-32781

O Envoy contém uma vulnerabilidade que pode ser explorada remotamente e afeta as extensões decompressor, json-transcoder ou grpc-web do Envoy ou extensões proprietárias que modificam e aumentam o tamanho dos corpos de solicitação ou resposta. Modificar e aumentar o tamanho do corpo em uma extensão do Envoy além do tamanho do buffer interno pode levar o Envoy a acessar a memória desalocada e encerrar de forma anormal.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se as duas condições a seguir forem verdadeiras:

Ele usa as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6.
Ele usa EnvoyFilters.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

Alto

CVE-2021-32781

Descrição	Gravidade	Observações
O Envoy contém uma vulnerabilidade remotamente explorada, em que uma abertura de cliente do Envoy e, em seguida, redefinir um grande número de solicitações HTTP/2 pode levar ao consumo excessivo da CPU. O que devo fazer? Veja se os clusters foram afetados O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.10.4-asm.6 1.9.8-asm.1 Observação: se você estiver usando o Anthos Service Mesh 1.8 ou anterior, faça upgrade para as versões de patch mais recentes do Anthos Service Mesh 1.9 e mais recentes para reduzir essa vulnerabilidade.	Alto	CVE-2021-32778

Descrição

Gravidade

Observações

O Envoy contém uma vulnerabilidade remotamente explorada, em que uma abertura de cliente do Envoy e, em seguida, redefinir um grande número de solicitações HTTP/2 pode levar ao consumo excessivo da CPU.

O que devo fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar as versões de patch do Anthos Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.10.4-asm.6
1.9.8-asm.1

Observação: se você estiver usando o Anthos Service Mesh 1.8 ou anterior, faça upgrade para as versões de patch mais recentes do Anthos Service Mesh 1.9 e mais recentes para reduzir essa vulnerabilidade.

Alto

CVE-2021-32778

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O Envoy contém uma vulnerabilidade que pode ser explorada remotamente, em que um serviço upstream não confiável pode fazer com que o Envoy seja encerrado de maneira anormal, enviando o frame `GOAWAY` seguido do frame `SETTINGS` com o parâmetro `SETTINGS_MAX_CONCURRENT_STREAMS` definido como `0`. O que devo fazer? Veja se os clusters foram afetados O cluster será afetado se usar o Anthos Service Mesh 1.10 com uma versão de patch anterior à 1.10.4-asm.6. Mitigação Faça upgrade do cluster para a seguinte versão de patch: 1.10.4-asm.6	Alto	CVE-2021-32780

O Envoy contém uma vulnerabilidade que pode ser explorada remotamente, em que um serviço upstream não confiável pode fazer com que o Envoy seja encerrado de maneira anormal, enviando o frame GOAWAY seguido do frame SETTINGS com o parâmetro SETTINGS_MAX_CONCURRENT_STREAMS definido como 0.

O que devo fazer?

Veja se os clusters foram afetados

O cluster será afetado se usar o Anthos Service Mesh 1.10 com uma versão de patch anterior à 1.10.4-asm.6.

Mitigação

Faça upgrade do cluster para a seguinte versão de patch:

1.10.4-asm.6

Alto

CVE-2021-32780

GCP-2021-012

Publicado em: 24/06/2021

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O `Gateway` seguro do Istio ou as cargas de trabalho que usam `DestinationRule` podem carregar chaves privadas e certificados TLS de segredos do Kubernetes pela configuração `credentialName`. A partir do Istio 1.8, os secrets são lidos no `istiod` e transmitidos para gateways e cargas de trabalho pelo XDS. Normalmente, uma implantação de gateway ou carga de trabalho só consegue acessar certificados TLS e chaves privadas armazenadas no secret dentro do namespace. No entanto, um bug em `istiod` permite que um cliente autorizado acesse a API Istio XDS e recupere qualquer certificado TLS e chaves privadas armazenadas em cache em `istiod`. Essa vulnerabilidade de segurança afeta apenas as versões secundárias 1.8 e 1.9 do Anthos Service Mesh. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado se TODAS as condições a seguir forem verdadeiras: Está usando uma versão 1.9.x anterior a 1.9.6-asm.1 ou uma 1.8.x anterior a 1.8.6-asm.4. Definiu `Gateways` ou `DestinationRules` com o campo `credentialName` especificado. Não especifica a sinalização `PILOT_ENABLE_XDS_CACHE=false` do `istiod`. Mitigação Faça upgrade do cluster para uma das seguintes versões com patch: 1.9.6-asm.1 1.8.6-asm.4 Se não for possível fazer um upgrade, reduza essa vulnerabilidade desativando o armazenamento em cache do `istiod`. É possível desativar o armazenamento em cache definindo a variável de ambiente `istiod` como `PILOT_ENABLE_XDS_CACHE=false`. O desempenho do sistema e do `istiod` pode ser afetado porque isso desativa o armazenamento em cache do XDS.	Alto	CVE-2021-34824

O Gateway seguro do Istio ou as cargas de trabalho que usam DestinationRule podem carregar chaves privadas e certificados TLS de segredos do Kubernetes pela configuração credentialName. A partir do Istio 1.8, os secrets são lidos no istiod e transmitidos para gateways e cargas de trabalho pelo XDS.

Normalmente, uma implantação de gateway ou carga de trabalho só consegue acessar certificados TLS e chaves privadas armazenadas no secret dentro do namespace. No entanto, um bug em istiod permite que um cliente autorizado acesse a API Istio XDS e recupere qualquer certificado TLS e chaves privadas armazenadas em cache em istiod. Essa vulnerabilidade de segurança afeta apenas as versões secundárias 1.8 e 1.9 do Anthos Service Mesh.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado se TODAS as condições a seguir forem verdadeiras:

Está usando uma versão 1.9.x anterior a 1.9.6-asm.1 ou uma 1.8.x anterior a 1.8.6-asm.4.
Definiu Gateways ou DestinationRules com o campo credentialName especificado.
Não especifica a sinalização PILOT_ENABLE_XDS_CACHE=false do istiod.

Mitigação

Faça upgrade do cluster para uma das seguintes versões com patch:

1.9.6-asm.1
1.8.6-asm.4

Se não for possível fazer um upgrade, reduza essa vulnerabilidade desativando o armazenamento em cache do istiod. É possível desativar o armazenamento em cache definindo a variável de ambiente istiod como PILOT_ENABLE_XDS_CACHE=false. O desempenho do sistema e do istiod pode ser afetado porque isso desativa o armazenamento em cache do XDS.

Alto

CVE-2021-34824

GCP-2021-008

Publicação: 17/05/2021

Descrição	Gravidade	Observações
O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que um cliente externo pode acessar serviços inesperados no cluster, ignorando as verificações de autorização, quando um gateway está configurado com a configuração de roteamento AUTO_PASSTHROUGH. O que devo fazer? Veja se os clusters foram afetados Essa vulnerabilidade afeta somente o uso do tipo de gateway AUTO_PASSTHROUGH, que normalmente é usado apenas em implantações de vários clusters e várias redes. Detecte o modo TLS de todos os gateways no cluster com o seguinte comando: kubectl get gateways.networking.istio.io -A -o \ "custom-columns=NAMESPACE:.metadata.namespace, \ NAME:.metadata.name,TLS_MODE:.spec.servers[].tls.mode" Se a saída mostrar quaisquer gateways AUTO_PASSTHROUGH, você poderá ser afetado. Mitigação* Atualize seus clusters para as versões mais recentes do Anthos Service Mesh: 1.9.5-asm.2 1.8.6-asm.3 1.7.8-asm.8 * Observação: o lançamento do plano de controle gerenciado do Anthos Service Mesh (disponível apenas nas versões 1.9.x) será concluído nos próximos dias.	Alta	CVE-2021-31921

Descrição

Gravidade

Observações

O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que um cliente externo pode acessar serviços inesperados no cluster, ignorando as verificações de autorização, quando um gateway está configurado com a configuração de roteamento AUTO_PASSTHROUGH.

O que devo fazer?

Veja se os clusters foram afetados

Essa vulnerabilidade afeta somente o uso do tipo de gateway AUTO_PASSTHROUGH, que normalmente é usado apenas em implantações de vários clusters e várias redes.

Detecte o modo TLS de todos os gateways no cluster com o seguinte comando:


kubectl get gateways.networking.istio.io -A -o \
  "custom-columns=NAMESPACE:.metadata.namespace, \
  NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode"

Se a saída mostrar quaisquer gateways AUTO_PASSTHROUGH, você poderá ser afetado.

Mitigação

Atualize seus clusters para as versões mais recentes do Anthos Service Mesh:

1.9.5-asm.2
1.8.6-asm.3
1.7.8-asm.8

* Observação: o lançamento do plano de controle gerenciado do Anthos Service Mesh (disponível apenas nas versões 1.9.x) será concluído nos próximos dias.

Alta

CVE-2021-31921

GCP-2021-007

Publicação: 17/05/2021

Descrição Gravidade Observações

Descrição	Gravidade	Observações
O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que um caminho de solicitação HTTP com várias barras ou caracteres de barra de escape (%2F ou %5C) tem a possibilidade de ignorar uma política de autorização do Istio quando regras de autorização baseadas em caminho forem usadas. Em um cenário em que um administrador de cluster do Istio define uma política DENY de autorização para rejeitar a solicitação no caminho `"/admin"`, uma solicitação enviada para o caminho do URL `"//admin"` NÃO será rejeitada pela política de autorização. De acordo com a RFC 3986, o caminho `"//admin"` com várias barras precisa ser tecnicamente tratado como um caminho diferente do `"/admin"`. No entanto, alguns serviços de back-end escolhem normalizar os caminhos do URL mesclando várias barras em uma única barra. Isso pode fazer com que a política de autorização (`"//admin"` não corresponde a `"/admin"`) seja ignorada, e um usuário pode acessar o recurso no caminho `"/admin"` no back-end. O que devo fazer? Veja se os clusters foram afetados Seu cluster será afetado por essa vulnerabilidade se você tiver políticas de autorização que usam os padrões "ALLOW action + notPaths field" ou "DENY action + paths field". Esses padrões são vulneráveis aos desvios inesperados da política, e você precisa fazer o upgrade para corrigir o problema de segurança o mais rápido possível. O exemplo a seguir mostra uma política vulnerável que usa o padrão "DENY action + paths field": apiVersion: security.istio.io/v1beta1 kind: AuthorizationPolicy metadata: name: deny-path-admin spec: action: DENY rules: - to: - operation: paths: ["/admin"] Veja a seguir outro exemplo de política vulnerável que usa o padrão "ALLOW action + notPaths field": apiVersion: security.istio.io/v1beta1 kind: AuthorizationPolicy metadata: name: allow-path-not-admin spec: action: ALLOW rules: - to: - operation: notPaths: ["/admin"] O cluster não será afetado por essa vulnerabilidade nestas situações: Você não tem políticas de autorização. Suas políticas de autorização não definem campos `paths` ou `notPaths`. Suas políticas de autorização usam os padrões "ALLOW action + paths field" ou "DENY action + notPaths field". Esses padrões só podem causar rejeições inesperadas em vez de ignorar políticas. Nesses casos, o upgrade é opcional. Mitigação Atualize seus clusters para as versões compatíveis mais recentes do Anthos Service Mesh. Estas versões são compatíveis com a configuração dos proxies do Envoy no sistema com mais opções de normalização: 1.9.5-asm.2 1.8.6-asm.3 1.7.8-asm.8 Observação: o lançamento do plano de controle gerenciado do Anthos Service Mesh (disponível apenas nas versões 1.9.x) será concluído nos próximos dias. Siga o guia de práticas recomendadas de segurança do Istio para configurar políticas de autorização.	Alto	CVE-2021-31920

O Istio tem uma vulnerabilidade que pode ser explorada remotamente, em que um caminho de solicitação HTTP com várias barras ou caracteres de barra de escape (%2F ou %5C) tem a possibilidade de ignorar uma política de autorização do Istio quando regras de autorização baseadas em caminho forem usadas.

Em um cenário em que um administrador de cluster do Istio define uma política DENY de autorização para rejeitar a solicitação no caminho "/admin", uma solicitação enviada para o caminho do URL "//admin" NÃO será rejeitada pela política de autorização.

De acordo com a RFC 3986, o caminho "//admin" com várias barras precisa ser tecnicamente tratado como um caminho diferente do "/admin". No entanto, alguns serviços de back-end escolhem normalizar os caminhos do URL mesclando várias barras em uma única barra. Isso pode fazer com que a política de autorização ("//admin" não corresponde a "/admin") seja ignorada, e um usuário pode acessar o recurso no caminho "/admin" no back-end.

O que devo fazer?

Veja se os clusters foram afetados

Seu cluster será afetado por essa vulnerabilidade se você tiver políticas de autorização que usam os padrões "ALLOW action + notPaths field" ou "DENY action + paths field". Esses padrões são vulneráveis aos desvios inesperados da política, e você precisa fazer o upgrade para corrigir o problema de segurança o mais rápido possível.

O exemplo a seguir mostra uma política vulnerável que usa o padrão "DENY action + paths field":


apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-path-admin
spec:
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/admin"]

Veja a seguir outro exemplo de política vulnerável que usa o padrão "ALLOW action + notPaths field":


apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-path-not-admin
spec:
  action: ALLOW
  rules:
  - to:
    - operation:
        notPaths: ["/admin"]

O cluster não será afetado por essa vulnerabilidade nestas situações:

Você não tem políticas de autorização.
Suas políticas de autorização não definem campos paths ou notPaths.
Suas políticas de autorização usam os padrões "ALLOW action + paths field" ou "DENY action + notPaths field". Esses padrões só podem causar rejeições inesperadas em vez de ignorar políticas.

Nesses casos, o upgrade é opcional.

Mitigação

Atualize seus clusters para as versões compatíveis mais recentes do Anthos Service Mesh*. Estas versões são compatíveis com a configuração dos proxies do Envoy no sistema com mais opções de normalização:

1.9.5-asm.2
1.8.6-asm.3
1.7.8-asm.8

* Observação: o lançamento do plano de controle gerenciado do Anthos Service Mesh (disponível apenas nas versões 1.9.x) será concluído nos próximos dias.

Siga o guia de práticas recomendadas de segurança do Istio para configurar políticas de autorização.

Alto

CVE-2021-31920

GCP-2021-004

Publicado em 06/05/2021

Descrição	Gravidade	Observações
Recentemente, os projetos do Envoy e do Istio anunciaram várias vulnerabilidades de segurança (CVE-2021-28682, CVE-2021-28683 e CVE-2021-29258), que poderiam permitir que um invasor derrubasse o Envoy e possivelmente renderizasse partes do cluster off-line e inacessíveis. Isso afeta serviços entregues, como o Anthos Service Mesh. O que fazer? Para corrigir essas vulnerabilidades, faça upgrade do pacote do Anthos Service Mesh para uma das seguintes versões com patch: 1.9.3-asm.2 1.8.5-asm.2 1.7.8-asm.1 1.6.14-asm.2 Para mais informações, consulte as notas da versão do Anthos Service Mesh.	Alto	CVE-2021-28682 CVE-2021-28683 CVE-2021-29258

Descrição

Gravidade

Observações

Recentemente, os projetos do Envoy e do Istio anunciaram várias vulnerabilidades de segurança (CVE-2021-28682, CVE-2021-28683 e CVE-2021-29258), que poderiam permitir que um invasor derrubasse o Envoy e possivelmente renderizasse partes do cluster off-line e inacessíveis.

Isso afeta serviços entregues, como o Anthos Service Mesh.

O que fazer?

Para corrigir essas vulnerabilidades, faça upgrade do pacote do Anthos Service Mesh para uma das seguintes versões com patch:

1.9.3-asm.2
1.8.5-asm.2
1.7.8-asm.1
1.6.14-asm.2

Para mais informações, consulte as notas da versão do Anthos Service Mesh.

Alto

CVE-2021-28682
CVE-2021-28683
CVE-2021-29258