CVE-2020-15127

Contour-da (Kubernetes üçün Ingress kontrolleri) 1.7.0 versiyasından əvvəl bədniyyətli şəxs bütün Envoy instansiyalarını dayandıra və bununla da bütün ingress məlumat müstəvisini (data plane) sıradan çıxara bilər. Envoy podunun 8090 portundakı /shutdown ünvanına göndərilən GET sorğuları Envoy-un söndürmə prosedurunu başladır. Söndürmə proseduru readiness endpoint-inin "false" olaraq dəyişdirilməsini ehtiva edir ki, bu da Envoy-u marşrutlaşdırma hovuzundan kənarlaşdırır. Envoy işlədikdə (Məsələn, host şəbəkəsində, pod spec hostNetwork=true olduqda), söndürmə menecerinin endpoint-i Envoy-un işlədiyi Kubernetes noduna çata bilən şəbəkədəki hər kəs üçün əlçatandır. Şəbəkədəki bədniyyətli şəxsin söndürmə meneceri endpoint-i vasitəsilə Envoy-u dayandırmasının qarşısını alan heç bir autentifikasiya mexanizmi mövcud deyil. Bu problemin uğurlu istismarı bədniyyətli şəxslərin bütün Envoy instansiyalarını dayandırmasına və nəticədə bütün ingress məlumat müstəvisinin sıradan çıxmasına səbəb olacaqdır. Bu problem 1.7.0 versiyasında düzəldilmişdir.