CVE-2021-32783
Açıklama
Contour, Envoy proxy kullanan bir Kubernetes ingress controller'dır. Contour'un 1.17.1 sürümünden önceki sürümlerinde, özel olarak hazırlanmış bir ExternalName türü Service, Contour'un normalde Envoy container'ı dışından erişimi engellediği Envoy'un admin arayüzüne erişmek için kullanılabilir. Bu durum, Envoy'u uzaktan kapatmak (hizmet reddi) veya Envoy'un yapılandırması için kullandığı herhangi bir Secret'ın, özellikle de TLS Keypair'lerinin varlığını açığa çıkarmak için kullanılabilir. Ancak bu, söz konusu secret'ların *içeriğini* elde etmek için *kullanılamaz*. Bu saldırı yönetim arayüzüne erişime izin verdiğinden, Envoy'u kapatmak veya trafiği boşaltmak gibi çeşitli yönetim seçenekleri mevcuttur. Genel olarak Envoy admin arayüzü, kümede, uçuştaki isteklerde veya arka uç hizmetlerinde değişiklik yapmak için kolayca kullanılamaz, ancak yukarıda belirtildiği gibi Envoy'u kapatmak veya trafiği boşaltmak, trafik yönlendirmesini değiştirmek veya secret meta verilerini almak için kullanılabilir. Sorun Contour v1.18.0'da ele alınacaktır ve şu anda yükseltme yapamayan kullanıcıları kapsamak üzere cherry-pick edilmiş bir yama sürümü olan v1.17.1 yayımlanmıştır. Daha fazla ayrıntı için bağlantılı GitHub Security Advisory'ye bakın.
Nasıl düzeltilir
- projectcontour contour1.17.1 ya da sonraki bir sürüm
- github.com/projectcontour/contour1.14.2, 1.15.2, 1.16.1, 1.17.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| projectcontour contour | v < 1.17.1 | 1.17.1 |
| github.com/projectcontour/contourGo | v < 1.14.2, 1.15.0 ≤ v < 1.15.2, 1.16.0 ≤ v < 1.16.1, 1.17.0 ≤ v < 1.17.1 | 1.14.2, 1.15.2, 1.16.1, 1.17.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.