Bollettini sulla sicurezza
Utilizza questo feed XML per iscriverti ai bollettini sulla sicurezza di Anthos Service Mesh.
In questa pagina sono elencati i bollettini sulla sicurezza per Anthos Service Mesh.
GCP-2024-023
Pubblicato: 24/04/2024
Descrizione | Gravità | Note |
---|---|---|
HTTP/2: esaurimento della memoria a causa di un flood di frame CONTINUATION. Che cosa devo fare?Controlla se i cluster sono interessatiTutte le versioni di Anthos Service Mesh sono interessate da questa CVE. AttenuazioneSe esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh v1.18 o versioni successive. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
HTTP/2: esaurimento della CPU a causa di un flood di frame CONTINUATION Che cosa devo fare?Controlla se i cluster sono interessatiTutte le versioni di Anthos Service Mesh sono interessate da questa CVE. AttenuazioneSe esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.18 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Terminazione anomala quando si utilizza Che cosa devo fare?Controlla se i cluster sono interessatiTutte le versioni di Anthos Service Mesh sono interessate da questa CVE. AttenuazioneSe esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.18 o versioni successive. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
I frame HTTP/2 CONTINUATION possono essere utilizzati per gli attacchi DoS. Che cosa devo fare?Controlla se i cluster sono interessatiTutte le versioni di Anthos Service Mesh sono interessate da questa CVE. AttenuazioneSe esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade alla versione 1.18 o successiva. |
Non fornito |
GCP-2024-007
Pubblicato: 08/02/2024
Descrizione | Gravità | Note |
---|---|---|
Envoy si arresta in modo anomalo quando è inattivo e le richieste per ogni tentativo di timeout si verificano entro l'intervallo di backoff. Che cosa devo fare?Se esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene sia stato eseguito il backporting di queste correzioni per CVE alla versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successiva. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Utilizzo eccessivo della CPU quando il matcher del modello URI è configurato utilizzando un'espressione regolare. Che cosa devo fare?Se esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene sia stato eseguito il backporting di queste correzioni per CVE alla versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successiva. |
Media |
Descrizione | Gravità | Note |
---|---|---|
L'autorizzazione esterna può essere bypassata quando il filtro del protocollo proxy imposta metadati UTF-8 non validi. Che cosa devo fare?Se esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene sia stato eseguito il backporting di queste correzioni per CVE alla versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successiva. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Envoy si arresta in modo anomalo quando viene utilizzato un tipo di indirizzo non supportato dal sistema operativo. Che cosa devo fare?Se esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene sia stato eseguito il backporting di queste correzioni per CVE alla versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successiva. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Arresto anomalo nel protocollo proxy quando il tipo di comando è Che cosa devo fare?Se esegui Anthos Service Mesh gestito, non è richiesta alcuna azione. Il tuo sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Anthos Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene sia stato eseguito il backporting di queste correzioni per CVE alla versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successiva. |
Alta |
GCP-2023-031
Pubblicato: 10/10/2023
Descrizione | Gravità | Note |
---|---|---|
Un attacco denial of service può colpire il piano dati quando si utilizza il protocollo HTTP/2. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.18.4, 1.17.7 o 1.16.7. AttenuazioneEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se esegui Anthos Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro alcuni giorni. Se utilizzi Anthos Service Mesh v1.15 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade alla versione 1.16 o successiva. |
Alta |
GCP-2023-021
Updated:2023-07-26
Pubblicato: 25/07/2022Descrizione | Gravità | Note |
---|---|---|
Un client malintenzionato è in grado di costruire le credenziali con validità permanente in alcuni scenari specifici. Ad esempio, la combinazione di host e data di scadenza nel payload HMAC può essere sempre valida nel controllo HMAC del filtro OAuth2. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni patch di Anthos Service Mesh precedenti a
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se esegui Anthos Service Mesh gestito, il sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
I logger di accesso gRPC che utilizzano l'ambito globale del listener possono causare un arresto anomalo use-after-free quando il listener viene svuotato. Ciò può essere attivato da un aggiornamento LDS con la stessa configurazione del log degli accessi gRPC. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni patch di Anthos Service Mesh precedenti a
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se esegui Anthos Service Mesh gestito, il sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Se l'intestazione Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni patch di Anthos Service Mesh precedenti a
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se esegui Anthos Service Mesh gestito, il sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Gli aggressori possono inviare richieste di schema miste per bypassare alcuni controlli di schema in Envoy. Ad esempio, se una richiesta con schema misto htTp viene inviata al filtro OAuth2, non supererà i controlli di corrispondenza esatta per http e comunicherà all'endpoint remoto che lo schema è https, bypassando potenzialmente i controlli OAuth2 specifici per le richieste HTTP. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni patch di Anthos Service Mesh precedenti a
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se esegui Anthos Service Mesh gestito, il sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive. |
Alta |
GCP-2023-019
Descrizione | Gravità | Note |
---|---|---|
Una risposta creata appositamente da un servizio upstream non attendibile può causare un Denial of Service mediante esaurimento della memoria. Ciò è causato dal codec HTTP/2 di Envoy che potrebbe divulgare una mappa di intestazione e strutture di contabilità alla ricezione di RST_STREAM immediatamente seguito dai frame GOAWAY da un server upstream. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni patch di Anthos Service Mesh precedenti a
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se esegui Anthos Service Mesh gestito, il sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive. |
Alta |
GCP-2023-002
Descrizione | Gravità | Note |
---|---|---|
Se Envoy è in esecuzione con il filtro OAuth attivo, un utente malintenzionato potrebbe creare una richiesta che causerebbe denial of service provocando l'arresto anomalo di Envoy. Che cosa devo fare?Controlla se i cluster sono interessatiI cluster sono interessati se utilizzano versioni patch di Anthos Service Mesh precedenti a:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.13 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.14 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
L’utente malintenzionato può utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz. Che cosa devo fare?Controlla se i cluster sono interessatiI cluster sono interessati se utilizzano versioni patch di Anthos Service Mesh precedenti a:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.13 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh} 1.14 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
La configurazione Envoy deve includere anche un'opzione per aggiungere intestazioni delle richieste generate utilizzando gli input della richiesta, ovvero la SAN del certificato peer. Che cosa devo fare?Controlla se i cluster sono interessatiI cluster sono interessati se utilizzano versioni patch di Anthos Service Mesh precedenti a:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.13 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.14 o versioni successive. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Gli aggressori possono inviare corpi di richieste di grandi dimensioni per route che hanno il filtro Lua abilitato e attivano arresti anomali. Che cosa devo fare?Controlla se i cluster sono interessatiI cluster sono interessati se utilizzano versioni patch di Anthos Service Mesh precedenti a:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.13 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.14 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Gli aggressori possono inviare richieste HTTP/2 o HTTP/3 appositamente create per attivare errori di analisi sul servizio upstream HTTP/1. Che cosa devo fare?Controlla se i cluster sono interessatiI cluster sono interessati se utilizzano versioni patch di Anthos Service Mesh precedenti a:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.13 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.14 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
L'intestazione x-envoy-original-path deve essere un'intestazione interna, ma Envoy non rimuove questa intestazione dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile. Che cosa devo fare?Controlla se i cluster sono interessatiI cluster sono interessati se utilizzano versioni patch di Anthos Service Mesh precedenti a:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.13 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.14 o versioni successive. |
Alta |
GCP-2022-020
Pubblicato: 05/10/2022Ultimo aggiornamento: 12/10/2022
Aggiornamento 12/10/2022: link aggiornato alla descrizione CVE e aggiunta di informazioni sugli aggiornamenti automatici per Anthos Service Mesh gestito.
Descrizione | Gravità | Note |
---|---|---|
Il piano di controllo Istio Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.14.4, 1.13.8 o 1.12.9. AttenuazioneSe esegui Anthos Service Mesh autonomo, esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se esegui Anthos Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh v1.11 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.12 o versioni successive. |
Alta |
GCP-2022-015
Pubblicato: 09/06/2022Ultimo aggiornamento: 10/06/2022
Aggiornamento 10/06/2022: versioni delle patch aggiornate per Anthos Service Mesh.
Descrizione | Gravità | Note |
---|---|---|
Il piano dati Istio può potenzialmente accedere alla memoria in modo non sicuro quando sono abilitate le estensioni Metadata Exchange e Stats. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Mitigazione del mesh di servizi AnthosEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh 1.10 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE o Eseguire l'upgrade da versioni precedenti (on-premise)). |
Alta |
Descrizione | Gravità | Note |
---|---|---|
I dati possono superare i limiti intermedi di buffer se un aggressore malintenzionato passa un piccolo payload altamente compresso (noto anche come attacco con zip bomba). Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Sebbene Anthos Service Mesh non supporti i filtri Envoy, l'uso di un filtro di decompressione potrebbe avere conseguenze. Mitigazione del mesh di servizi AnthosEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh 1.10 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE o Eseguire l'upgrade da versioni precedenti (on-premise)). Mitigazione dell'invioGli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi che utilizzino la versione 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i binari da un'origine come GitHub e ne eseguono il deployment. Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy) non devono intraprendere alcuna azione, per i quali i prodotti cloud passeranno alla versione 1.22.1. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Potenziale deriferimento del puntatore null in Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Mitigazione del mesh di servizi AnthosEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh 1.10 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE o Eseguire l'upgrade da versioni precedenti (on-premise)). Mitigazione dell'invioGli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi che utilizzino la versione 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i binari da un'origine come GitHub e ne eseguono il deployment. Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy) non devono intraprendere alcuna azione, per i quali i prodotti cloud passeranno alla versione 1.22.1. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Il filtro OAuth consente un'esclusione banale. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Sebbene Anthos Service Mesh non supporti i filtri Envoy, l'utilizzo di un filtro OAuth potrebbe interessarti. Mitigazione del mesh di servizi AnthosEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh 1.10 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE o Eseguire l'upgrade da versioni precedenti (on-premise)). Mitigazione dell'invioAnche gli utenti Envoy che gestiscono i propri Envoy utilizzano il filtro OAuth devono assicurarsi che utilizzino la release 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i programmi binari da un'origine come GitHub e ne eseguono il deployment. Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy) non devono intraprendere alcuna azione, per i quali i prodotti cloud passeranno alla versione 1.22.1. |
Critico |
Descrizione | Gravità | Note |
---|---|---|
Il filtro OAuth può danneggiare la memoria (versioni precedenti) o attivare ASSERT() (versioni successive). Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Sebbene Anthos Service Mesh non supporti i filtri Envoy, l'utilizzo di un filtro OAuth potrebbe interessarti. Mitigazione del mesh di servizi AnthosEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh 1.10 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.11 o versioni successive. Mitigazione dell'invioAnche gli utenti Envoy che gestiscono i propri Envoy utilizzano il filtro OAuth devono assicurarsi che utilizzino la release 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i programmi binari da un'origine come GitHub e ne eseguono il deployment. Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy) non devono intraprendere alcuna azione, per i quali i prodotti cloud passeranno alla versione 1.22.1. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
I reindirizzamenti interni si arrestano in modo anomalo per le richieste con corpo o trailer. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Mitigazione del mesh di servizi AnthosEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh 1.10 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE o Eseguire l'upgrade da versioni precedenti (on-premise)). Mitigazione dell'invioGli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi che utilizzino la versione 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i binari da un'origine come GitHub e ne eseguono il deployment. Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy) non devono intraprendere alcuna azione, per i quali i prodotti cloud passeranno alla versione 1.22.1. |
Alta |
GCP-2022-010
Pubblicato: 10/03/2022Ultimo aggiornamento: 16/03/2022
Descrizione | Gravità | Note |
---|---|---|
Il piano di controllo Istio, istiod, è vulnerabile a un errore di elaborazione delle richieste, consentendo a un utente malintenzionato di inviare un messaggio creato appositamente, causando l'arresto anomalo del piano di controllo quando il webhook di convalida per un cluster viene esposto pubblicamente. Questo endpoint viene gestito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'utente malintenzionato. Che cosa devo fare?Controlla se i cluster sono interessatiTutte le versioni di Anthos Service Mesh sono interessate da questa CVE. Nota: se utilizzi il piano di controllo gestito, questa vulnerabilità è già stata corretta e il tuo account non è interessato. AttenuazioneEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Alta |
GCP-2022-007
Pubblicato: 22/02/2022Descrizione | Gravità | Note |
---|---|---|
Istio si arresta in modo anomalo alla ricezione delle richieste con un'intestazione Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Nota: se utilizzi il piano di controllo gestito, questa vulnerabilità è già stata corretta e il tuo account non è interessato. AttenuazioneEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Potenziale deriferimento del puntatore nullo quando si utilizza la corrispondenza del filtro JWT Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Da utilizzare dopo la pubblicazione quando i filtri di risposta aumentano i dati di risposta e l'aumento di dati supera i limiti di buffer downstream. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Use-after-free durante il tunneling di TCP su HTTP, se il downstream si disconnette durante la connessione a monte. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Media |
Descrizione | Gravità | Note |
---|---|---|
Una gestione errata della configurazione consente il riutilizzo della sessione mTLS senza riconvalida dopo la modifica delle impostazioni di convalida. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Gestione errata dei reindirizzamenti interni a route con una voce di risposta diretta. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Esaurimento dello stack quando un cluster viene eliminato tramite Cluster Discovery Service. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se utilizzi Anthos Service Mesh v1.9 o versioni precedenti, la release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backport di queste correzioni CVE. Devi eseguire l'upgrade ad Anthos Service Mesh 1.10 o versioni successive. |
Media |
GCP-2021-016
Pubblicato: 24/08/2021Descrizione | Gravità | Note |
---|---|---|
Istio contiene una vulnerabilità sfruttabile da remoto in cui una richiesta HTTP con un frammento (una sezione alla fine di un URI che inizia con un carattere
Ad esempio, un criterio di autorizzazione Istio denies le richieste inviate al percorso dell'URI Questa correzione dipende da una correzione in Envoy, associata a CVE-2021-32779. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Con le nuove versioni, la parte frammento dell'URI della richiesta viene rimossa prima dell'autorizzazione e del routing. Questo impedisce a una richiesta con un frammento nel suo URI di bypassare i criteri di autorizzazione basati sull'URI senza la parte del frammento. DisattivaSe disattivi questo nuovo comportamento, la sezione fragment nell'URI viene mantenuta. Per disattivare questa opzione, puoi configurare l'installazione come segue: apiVersion: install.istio.io/v1alpha1 kind: IstioOperator metadata: name: opt-out-fragment-cve-fix namespace: istio-system spec: meshConfig: defaultConfig: proxyMetadata: HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false" Nota: se disattivi questo comportamento, il cluster vulnerabile a questo CVE. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Istio contiene una vulnerabilità sfruttabile da remoto in cui una richiesta HTTP potrebbe bypassare un criterio di autorizzazione Istio quando vengono utilizzate regole basate su
Nelle versioni vulnerabili, il criterio di autorizzazione Istio confronta le intestazioni HTTP Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Questa mitigazione assicura che le intestazioni HTTP |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Envoy contiene una vulnerabilità sfruttabile in remoto che una richiesta HTTP con più intestazioni di valore potrebbe eseguire un controllo incompleto dei criteri di autorizzazione quando viene utilizzata l'estensione Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
|
Alta |
Descrizione | Gravità | Note |
---|---|---|
Envoy contiene una vulnerabilità sfruttabile in remoto che interessa le estensioni Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se si verificano entrambe le seguenti condizioni:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
|
Alta |
Descrizione | Gravità | Note |
---|---|---|
Envoy contiene una vulnerabilità sfruttabile in remoto per cui un client Envoy che apre e quindi reimposta un numero elevato di richieste HTTP/2 potrebbe portare a un consumo eccessivo di CPU. Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza versioni della patch di Anthos Service Mesh precedenti a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. AttenuazioneEsegui l'upgrade del cluster a una delle seguenti versioni con patch:
Nota: se utilizzi Anthos Service Mesh 1.8 o versioni precedenti, esegui l'upgrade alle versioni più recenti della patch di Anthos Service Mesh 1.9 e versioni successive per mitigare questa vulnerabilità. |
Alta |
Descrizione | Gravità | Note |
---|---|---|
Envoy contiene una vulnerabilità sfruttabile in remoto per cui un servizio upstream non attendibile potrebbe causare l'arresto anomalo di Envoy inviando il frame Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se utilizza Anthos Service Mesh 1.10 con una versione della patch precedente a 1.10.4-asm.6. AttenuazioneEsegui l'upgrade del cluster alla versione patch seguente:
|
Alta |
GCP-2021-012
Pubblicato: 24/06/2021Descrizione | Gravità | Note |
---|---|---|
I carichi di lavoro sicuri
Normalmente, un gateway o un deployment di un carico di lavoro è in grado di accedere solo ai certificati TLS e alle chiavi private archiviate nel secret all'interno del relativo spazio dei nomi. Tuttavia, un bug in Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato se TUTTE le seguenti condizioni sono vere:
Esegui l'upgrade del cluster a una delle seguenti versioni con patch:
Se non è possibile eseguire un upgrade, puoi mitigare questa vulnerabilità disattivando la memorizzazione nella cache di istiod .
Puoi disattivare la memorizzazione nella cache impostando la variabile di ambiente istiod su
PILOT_ENABLE_XDS_CACHE=false . Le prestazioni del sistema e di istiod potrebbero risentirne perché ciò disabilita la memorizzazione nella cache XDS.
|
Alta |
GCP-2021-008
Pubblicato: 17/05/2021Descrizione | Gravità | Note |
---|---|---|
Istio contiene una vulnerabilità sfruttabile da remoto in cui un client esterno può accedere a servizi imprevisti nel cluster, ignorando i controlli di autorizzazione, quando un gateway è configurato con una configurazione di routing AUTO_PASSTHROUGH. Che cosa devo fare?Controlla se i cluster sono interessatiQuesta vulnerabilità influisce solo sull'utilizzo del tipo di gateway AUTO_PASSTHROUGH, che viene generalmente utilizzato solo nei deployment multi-rete e multi-cluster. Rileva la modalità TLS di tutti i gateway nel cluster con il seguente comando: kubectl get gateways.networking.istio.io -A -o \ "custom-columns=NAMESPACE:.metadata.namespace, \ NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode" Se l'output mostra AUTO_PASSTHROUGH gateway, questo potrebbe essere interessato. AttenuazioneAggiorna i cluster alle versioni più recenti di Anthos Service Mesh:
* Nota: l'implementazione del piano di controllo gestito di Anthos Service Mesh (disponibile solo nelle versioni 1.9.x) verrà completata nei prossimi giorni. |
Alta |
GCP-2021-007
Pubblicato: 17/05/2021Descrizione | Gravità | Note |
---|---|---|
Istio contiene una vulnerabilità sfruttabile da remoto in cui un percorso di richiesta HTTP con più barre o caratteri barra di escape (%2F o %5C) potrebbe potenzialmente bypassare un criterio di autorizzazione Istio quando vengono utilizzate regole di autorizzazione basate sul percorso.
In uno scenario in cui un amministratore del cluster Istio definisce un criterio DENY di autorizzazione per rifiutare la richiesta al percorso
In base al documento RFC 3986, il percorso Che cosa devo fare?Controlla se i cluster sono interessatiIl cluster è interessato da questa vulnerabilità se hai criteri di autorizzazione che utilizzano pattern "ALLOW azione + notPaths" o "DENY azione + percorsi campo". Questi pattern sono vulnerabili ad bypass inaspettati dei criteri, pertanto ti consigliamo di eseguire l'upgrade per risolvere il problema di sicurezza il prima possibile. Di seguito è riportato un esempio di criterio vulnerabile che utilizza il pattern "campo azione + percorsi DENY": apiVersion: security.istio.io/v1beta1 kind: AuthorizationPolicy metadata: name: deny-path-admin spec: action: DENY rules: - to: - operation: paths: ["/admin"] Di seguito è riportato un altro esempio di criterio vulnerabile che utilizza il pattern "ALLOW action + notPaths": apiVersion: security.istio.io/v1beta1 kind: AuthorizationPolicy metadata: name: allow-path-not-admin spec: action: ALLOW rules: - to: - operation: notPaths: ["/admin"] Il cluster non è interessato da questa vulnerabilità se:
In questi casi l'upgrade è facoltativo. Aggiorna i cluster alle ultime versioni supportate di Anthos Service Mesh*. Queste versioni supportano la configurazione dei proxy Envoy nel sistema con più opzioni di normalizzazione:
* Nota: l'implementazione del piano di controllo gestito di Anthos Service Mesh (disponibile solo nelle versioni 1.9.x) verrà completata nei prossimi giorni. Segui la guida alle best practice per la sicurezza di Istio per configurare i tuoi criteri di autorizzazione. |
Alta |
GCP-2021-004
Pubblicato: 06/05/2021Descrizione | Gravità | Note |
---|---|---|
I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28682, CVE-2021-28683 e CVE-2021-29258), che potrebbero consentire a un utente malintenzionato di causare l'arresto anomalo di Envoy e rendere potenzialmente irraggiungibili e offline parti del cluster. Questo influisce su servizi distribuiti come Anthos Service Mesh. Che cosa devo fare?Per correggere queste vulnerabilità, esegui l'upgrade del bundle Anthos Service Mesh a una delle seguenti versioni con patch:
Per ulteriori informazioni, consulta le note di rilascio di Anthos Service Mesh. |
Alta |