CVE-2022-24726

Istio mikroxidmətləri birləşdirmək, idarə etmək və təhlükəsizliyini təmin etmək üçün açıq platformadır. Təsirə məruz qalan versiyalarda Istio idarəetmə müstəvisi olan istiod sorğuların emalı xətasına qarşı həssasdır. Bu, klaster üçün təsdiqləyici webhook (validating webhook) ictimai şəkildə əlçatan olduqda, xüsusi hazırlanmış mesaj göndərən bədniyyətli hücumçunun idarəetmə müstəvisinin çökməsinə səbəb olmasına şərait yaradır. Bu son nöqtə (endpoint) TLS portu 15017 vasitəsilə təqdim olunur, lakin hücumçudan hər hansı autentifikasiya tələb etmir. Sadə quraşdırmalar üçün Istiod adətən yalnız klaster daxilindən əlçatandır ki, bu da təsir dairəsini məhdudlaşdırır. Lakin bəzi yerləşdirmələr, xüsusilə [external istiod](https://istio.io/latest/docs/setup/install/external-controlplane/) topologiyaları üçün bu port ictimai internet üzərindən açıqdır. Bu problem 1.13.2, 1.12.5 və 1.11.8 versiyalarında aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə edə bilməyən istifadəçilər ictimai internetə açıq olan təsdiqləyici webhook-a girişi bağlamalı və ya ona sorğu göndərə bilən IP ünvanlarının siyahısını tanınan, etibarlı qurumlarla məhdudlaşdırmalıdırlar.