CVE-2022-21679
Açıklama
Istio; mikro hizmetleri bağlamak, yönetmek ve güvenli hale getirmek için kullanılan açık bir platformdur. Istio 1.12.0 ve 1.12.1 sürümlerinde, 1.11'den 1.12.0/1.12.1 sürümüne yükseltme sırasında, hosts ve notHosts içeren yetkilendirme politikaları ALLOW eylemi için yanlışlıkla atlanabilir veya DENY eylemi için beklenmedik şekilde reddedilebilir. Istio 1.12, yetkilendirme politikasındaki hosts ve notHosts alanlarını, 1.12 veri düzlemi ile birlikte gelen yeni bir Envoy API ile desteklemektedir. 1.12.0 ve 1.12.1 sürümlerindeki bir hata, yeni Envoy API'sini 1.11 veri düzlemi ile hatalı şekilde kullanmaktadır. Bu durum, 1.12.0/1.12.1 kontrol düzlemi ve 1.11 veri düzlemi birlikte kullanıldığında, host başlığının gerçek değerine bakılmaksızın hosts ve notHosts alanlarının her zaman eşleşmesine neden olacaktır. Yetkilendirme politikasında hosts veya notHosts alanı kullanan kullanıcıların yükseltme yapmaları veya 1.12.0/1.12.1 kontrol düzlemini 1.11 veri düzlemi ile karıştırmamaları önerilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| istio istio | 1.12.0, 1.12.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.