CVE-2021-39155
Açıklama
Istio; mikro hizmetleri entegre etmek, mikro hizmetler arasındaki trafik akışını yönetmek, politikaları uygulamak ve telemetri verilerini toplamak için tek tip bir yöntem sağlayan açık kaynaklı bir platformdur. [RFC 4343](https://datatracker.ietf.org/doc/html/rfc4343) uyarınca, Istio yetkilendirme politikası, HTTP Host başlığındaki ana bilgisayar adını büyük/küçük harfe duyarsız bir şekilde karşılaştırmalıdır ancak şu anda bu karşılaştırma büyük/küçük harfe duyarlıdır. Proxy, istek ana bilgisayar adını büyük/küçük harfe duyarsız bir şekilde yönlendirecektir, bu da yetkilendirme politikasının atlatılabileceği anlamına gelir. Örnek olarak, kullanıcı bazı kaynak IP'ler için "httpbin.foo" ana bilgisayar adına sahip istekleri reddeden bir yetkilendirme politikasına sahip olabilir, ancak saldırgan isteği "Httpbin.Foo" ana bilgisayar adı ile göndererek bunu atlatabilir. Yamalar Istio 1.11.1, Istio 1.10.4 ve Istio 1.9.8 sürümlerinde mevcuttur. Geçici bir çözüm olarak, yetkilendirme kontrolünden önce Host başlığını normalleştirmek için bir Lua filtresi yazılabilir. Bu durum, [Security Best Practices](https://istio.io/latest/docs/ops/best-practices/security/#case-normalization) kılavuzunda sunulan Yol (Path) normalleştirmesine benzerdir.
Nasıl düzeltilir
- istio istio1.9.8, 1.10.4, 1.11.1 ya da sonraki bir sürüm
- istio.io/istio1.9.8, 1.10.4, 1.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| istio istio | v < 1.9.8, 1.10.0 ≤ v < 1.10.4, 1.11.0 ≤ v < 1.11.1 | 1.9.8, 1.10.4, 1.11.1 |
| istio.io/istioGo | v < 1.9.8, 1.10.0 ≤ v < 1.10.4, 1.11.0 ≤ v < 1.11.1 | 1.9.8, 1.10.4, 1.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.