Bollettini sulla sicurezza

Utilizza questo feed XML per abbonarti ai bollettini sulla sicurezza di Cloud Service Mesh.

Questa pagina elenca i bollettini sulla sicurezza per Cloud Service Mesh.

GCP-2026-067

Data di pubblicazione: 12 ottobre 2026

Descrizione	Gravità	Note
Corregge l'interruzione anomala del processo in Envoy Proxy quando un filtro HTTP (ad esempio ext_proc configurato con route_cache_action: RETAIN) modifica l'intestazione :path dopo la selezione della route in una stringa più breve del prefisso della route corrispondente in una route configurata con prefix_rewrite. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Cloud Service Mesh in-cluster v1.30 e v1.29 sono interessati da questa vulnerabilità. Cloud Service Mesh v1.28 in-cluster non è interessato. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.30.5-asm.8 1.29.8-asm.8 Se utilizzi Cloud Service Mesh v1.27 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Esegui l'upgrade a una versione supportata. Per Cloud Service Mesh gestito, non è richiesta alcuna azione da parte del cliente. Il sistema viene aggiornato automaticamente.	Alta	envoyproxy/envoy#47841

GCP-2026-057

Data di pubblicazione: 26 agosto 2026

Descrizione	Gravità	Note
Risolve un problema per cui un upstream non attendibile che invia trailer di risposta HTTP/2 senza il flag END_STREAM a un'istanza oghttp2 poteva danneggiare lo stato dello stream e causare una terminazione anomala del processo. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-73513

Descrizione	Gravità	Note
Risolve un problema per cui la corrispondenza safe_regex trattava i byte dell'intestazione HTTP non UTF-8 come una mancata corrispondenza ordinaria, causando l'apertura delle policy RBAC che utilizzano la logica di corrispondenza esclusa. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-73552

Descrizione	Gravità	Note
Corregge un problema di use-after-free nel gestore di datagrammi HTTP QUIC in cui una richiesta che utilizza il protocollo Capsule potrebbe avere il decodificatore di stream distrutto mentre i datagrammi HTTP/3 tardivi vi fanno ancora riferimento. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-73512

Descrizione	Gravità	Note
Risolve un'interruzione anomala del processo nel filtro ext_authz durante l'elaborazione delle richieste CONNECT senza un'intestazione pseudo :path. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-73547

Descrizione	Gravità	Note
Corregge l'interruzione anomala del processo durante la gestione degli indirizzi IPv6 con ambito nei cluster DST originali per le richieste HTTP/3. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-73549

Descrizione	Gravità	Note
Corregge un use-after-free nel client HTTP non elaborato ext_authz durante il completamento delle richieste di autorizzazione con risposte di rifiuto locali. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-50572

Descrizione	Gravità	Note
Risolve un problema di cross-site scripting archiviato nell'interfaccia delle statistiche HTML (/stats?format=html). Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-73546

Descrizione	Gravità	Note
Corregge una terminazione anomala del processo durante la selezione del pool di connessioni HTTP/3 basato su ALPN causata dalla dereferenziazione delle opzioni del socket di trasporto null. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-48521

Descrizione	Gravità	Note
Corregge la normalizzazione degli URL dei segmenti di percorso con punto e doppio punto contenenti parametri che potrebbero consentire l'elusione delle policy di autorizzazione basate sul percorso. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-73551

Descrizione	Gravità	Note
Corregge la corrispondenza dei percorsi per i percorsi contenenti parametri di matrice per segmento applicando la rimozione dei parametri in modo coerente tra i segmenti di percorso. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-73511

Descrizione	Gravità	Note
Corregge il poisoning delle risposte tra utenti che coinvolge upgrade HTTP generici non WebSocket mettendo in pausa i payload fino all'accettazione dell'upgrade. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-73548

Descrizione	Gravità	Note
Risolve un problema di esaurimento della memoria HTTP/2 per cui le intestazioni host duplicate ignorate non erano incluse nei limiti delle intestazioni della richiesta, impedendo la potenziale terminazione del proxy. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-73550

Descrizione	Gravità	Note
Risolve un bypass dell'autorizzazione quando ignore_path_parameters_in_path_matching era abilitato, assicurando che i matcher di percorso RBAC applichino la stessa gestione dei parametri di percorso del routing. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.27 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-73553

GCP-2026-045

Data di pubblicazione: 29 giugno 2026

Descrizione	Gravità	Note
Corregge una vulnerabilità in cui la decodifica QPACK bloccata può causare un attacco Denial of Service allo stack HTTP/3. Che cosa devo fare? Controllare se i cluster sono interessati Tutte le versioni di Cloud Service Mesh in-cluster sono interessate da questa CVE. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.5 1.28.9-asm.4 1.27.9-asm.9 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backporting di questa correzione CVE. Esegui l'upgrade a v1.26 o versioni successive. Cloud Service Mesh gestito non è interessato da questa CVE.	Alta	GHSA-p7c7-7c47-pwch

GCP-2026-040

Data di pubblicazione: 23 giugno 2026

Descrizione	Gravità	Note
La correzione scarta correttamente i TLV che superano il limite di dimensioni. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-47692

Descrizione	Gravità	Note
Risolve il problema di ext_proc con le risposte pacchettizzate. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-47207

Descrizione	Gravità	Note
Risolve l'arresto anomalo di uaf del client ext_authz per route. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa solo le versioni più recenti di Cloud Service Mesh 1.28 e 1.29. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.9-asm.2 1.27.9-asm.8	Moderato	CVE-2026-47205

Descrizione	Gravità	Note
Risolve un bug per cui REQUESTED_SERVER_NAME potrebbe causare l'arresto anomalo di Envoy. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Solo l'ultima versione 1.29 di Cloud Service Mesh è interessata da questa CVE. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.3	Alta	CVE-2026-47220

Descrizione	Gravità	Note
Risolto un problema relativo alla gestione dei reindirizzamenti interni HTTP per le richieste senza corpo. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-47221

Descrizione	Gravità	Note
Applicazione di MaxInflateRatio all'interno del loop interno del decompressore per impedire l'OOM da payload creati. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-48044

Descrizione	Gravità	Note
Annulla il client del token alla distruzione del filtro per evitare l'UAF. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-48090

Descrizione	Gravità	Note
Corregge la vulnerabilità di bypass della convalida SAN del byte NUL incorporato. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-47778

Descrizione	Gravità	Note
Risolve il problema relativo allo stato grpc della risposta diretta. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-47204

Descrizione	Gravità	Note
Correzione del controllo di integrità della lunghezza del nome della query per evitare l'interruzione anomala del processo. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-48497

Descrizione	Gravità	Note
Risolve il problema di overflow del buffer TcpStatsdSync con un nome di stato lungo. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-48706

Descrizione	Gravità	Note
Convalida la lunghezza dei contenuti della richiesta e della risposta solo per le intestazioni HTTP/3. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-48743

Descrizione	Gravità	Note
Corregge l'oracle di padding nel codice OAuth2. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-47775

Descrizione	Gravità	Note
Corregge l'overflow dello stack nel distruttore limitando la profondità di nidificazione. Che cosa devo fare? Controllare se i cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 Se utilizzi Cloud Service Mesh v1.26 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Questa correzione CVE non è stata eseguita. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-48042

GCP-2026-035

Data di pubblicazione: 8 giugno 2026

Descrizione	Gravità	Note
Una vulnerabilità nell'elaborazione delle richieste downstream HTTP/2 di Envoy consente a un client remoto non autenticato di attivare un consumo eccessivo di memoria, con conseguente potenziale terminazione OOM del processo Envoy e denial of service. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.7-asm.4 1.27.9-asm.5 1.26.8-asm.11 Se utilizzi Cloud Service Mesh v1.25 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Non è stato eseguito il backporting di questa correzione CVE. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-47774

GCP-2026-013

Data di pubblicazione: 2026-03-11

Descrizione	Gravità	Note
Corregge il bypass dell'intestazione multivalore in RBAC. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 Se utilizzi Cloud Service Mesh v1.25 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-26308

Descrizione	Gravità	Note
Corregge un errore di scrittura off-by-one che potrebbe danneggiare il terminatore null della stringa. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 Se utilizzi Cloud Service Mesh v1.25 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-26309

Descrizione	Gravità	Note
Corregge l'arresto anomalo di `getAddressWithPort()` quando viene chiamato con un indirizzo IPv6 con ambito. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 Se utilizzi Cloud Service Mesh v1.25 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-26310

Descrizione	Gravità	Note
Garantisce che i metodi decode* vengano bloccati dopo un ripristino a valle. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 Se utilizzi Cloud Service Mesh v1.25 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni nell'MSA. Tutte le versioni continuano a essere supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Moderato	CVE-2026-26311

Descrizione	Gravità	Note
Correzione di un bug per cui il limite della fase di risposta potrebbe causare un arresto anomalo. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Solo la versione 1.28.2-asm.4 di Cloud Service Mesh in-cluster è interessata da questa CVE. Questa CVE non influisce su Cloud Service Mesh con un control plane gestito. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster alla seguente versione con patch: >1.28.5-asm.9. Per Cloud Service Mesh gestito, non è necessaria alcuna azione. Questa CVE non interessa Cloud Service Mesh con un control plane gestito.	Moderato	CVE-2026-26330

Descrizione	Gravità	Note
Corregge la vulnerabilità di perdita della chiave privata del set di chiavi web JSON. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Questa CVE interessa tutte le versioni di Cloud Service Mesh. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 Se utilizzi Cloud Service Mesh v1.25 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2026-31837

Descrizione	Gravità	Note
Corregge un bug per cui il debug degli endpoint consente l'accesso ai dati proxy tra spazi dei nomi Che cosa devo fare? Controllare se i cluster sono interessati Solo le versioni 1.27 e 1.28 di Cloud Service Mesh in-cluster sono interessate da questa CVE. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.28.5-asm.9 1.27.8-asm.7 Se utilizzi Cloud Service Mesh v1.25 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Esegui l'upgrade alla versione 1.26 o successive. Per Cloud Service Mesh gestito, non è necessaria alcuna azione. Questa CVE non interessa Cloud Service Mesh con un control plane gestito.	Media	CVE-2026-31838

GCP-2025-073

Data di pubblicazione: 3 dicembre 2025

Descrizione	Gravità	Note
Il matcher dei certificati TLS per match_typed_subject_alt_names potrebbe trattare in modo errato i certificati contenenti un byte null incorporato. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se utilizza una versione patch di Cloud Service Mesh in-cluster precedente a: 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 Questa CVE non influisce su Cloud Service Mesh con un control plane gestito. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 Se utilizzi Cloud Service Mesh v1.24 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Esegui l'upgrade alla versione 1.25 o successive. Per Cloud Service Mesh gestito, non è richiesta alcuna azione. Questa CVE non influisce su Cloud Service Mesh con un control plane gestito.	Media	CVE-2025-66220

Descrizione	Gravità	Note
Envoy si arresta in modo anomalo quando l'autenticazione JWT è configurata con il recupero JWKS remoto. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se utilizza una versione patch di Cloud Service Mesh in-cluster precedente a: 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 Il tuo cluster è interessato se utilizza una versione di Cloud Service Mesh gestito precedente a: 1.21.6-asm.7 1.20.8-asm.59 1.19.10-asm.54 Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 Se utilizzi Cloud Service Mesh v1.24 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.25 o successive. Per Cloud Service Mesh gestito, segui le istruzioni riportate nell'MSA. Tutte le versioni rimangono supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Media	CVE-2025-64527

Descrizione	Gravità	Note
Potenziale contrabbando di richieste da dati iniziali dopo l'upgrade di CONNECT. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se utilizza una versione patch di Cloud Service Mesh in-cluster precedente a: 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 Questa CVE non influisce su Cloud Service Mesh con un control plane gestito. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 Se utilizzi Cloud Service Mesh v1.24 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Esegui l'upgrade alla versione 1.25 o successive. Per Cloud Service Mesh gestito, non è richiesta alcuna azione. Questa CVE non influisce su Cloud Service Mesh con un control plane gestito.	Media	CVE-2025-64763

GCP-2025-064

Data di pubblicazione: 28/10/2025

Descrizione	Gravità	Note
I filtri Lua potrebbero causare l'arresto anomalo di Envoy durante la gestione di un corpo della risposta di grandi dimensioni. Che cosa devo fare? Controlla se i tuoi cluster sono interessati: Il tuo cluster è interessato se le versioni patch sono precedenti a: 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 Se utilizzi Cloud Service Mesh v1.24 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.25 o successive. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni corrette: 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 Per Cloud Service Mesh gestito, non è necessaria alcuna azione. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Media	CVE-2025-62504

Descrizione	Gravità	Note
Le richieste o le risposte di grandi dimensioni potrebbero causare l'arresto anomalo del pool di connessioni TCP. Che cosa devo fare? Controlla se i tuoi cluster sono interessati: Il tuo cluster è interessato se le versioni patch sono precedenti a: 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 Se utilizzi Cloud Service Mesh v1.24 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Esegui l'upgrade alla versione 1.25 o successive. Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni corrette: 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 Per Cloud Service Mesh gestito, non è necessaria alcuna azione. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Media	CVE-2025-62409

GCP-2025-048

Data di pubblicazione: 2025-09-02

Descrizione	Gravità	Note
Utilizzo della memoria dopo la liberazione nella cache DNS. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Sono interessati solo i cluster che eseguono Cloud Service Mesh in-cluster versione 1.26. Se utilizzi Cloud Service Mesh gestito, non sei interessato e non devi intraprendere alcuna azione. Mitigazione Se esegui Cloud Service Mesh 1.26 in-cluster, esegui l'upgrade di tutti i cluster interessati alla versione 1.26.4-asm.1.	Alta	CVE-2025-54588

GCP-2024-065

Descrizione	Gravità	Note
Happy Eyeballs: verifica che additional_address siano indirizzi IP anziché causare un arresto anomalo durante l'ordinamento. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se le versioni patch sono precedenti a: 1.23.4-asm.1 1.22.7-asm.1 Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.23.4-asm.1 1.22.7-asm.1 Se utilizzi Cloud Service Mesh v1.20 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade alla versione 1.21 o successive. Per Cloud Service Mesh gestito, non è richiesta alcuna azione. Tutte le versioni rimangono supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Media	CVE-2024-53269

Descrizione	Gravità	Note
HTTP/1: l'invio di un sovraccarico causa un arresto anomalo quando la richiesta viene reimpostata in anticipo. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se le versioni patch sono precedenti a: 1.23.4-asm.1 1.22.7-asm.1 1.21.5-asm.17 1.20.8-asm.14 1.19.10-asm.24 Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.23.4-asm.1 1.22.7-asm.1 1.21.5-asm.17 Se utilizzi Cloud Service Mesh v1.20 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Se utilizzi Cloud Service Mesh v1.20 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade alla versione 1.21 o successive. Per Cloud Service Mesh gestito, non è richiesta alcuna azione. Tutte le versioni rimangono supportate e il sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2024-53270

Descrizione	Gravità	Note
HTTP/1.1: più problemi con envoy.reloadable_features.http1_balsa_delay_reset. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se le versioni patch sono precedenti a: 1.23.4-asm.1 Mitigazione Per Cloud Service Mesh in-cluster, esegui l'upgrade del cluster a una delle seguenti versioni corrette: 1.23.4-asm.1 Se utilizzi Cloud Service Mesh v1.20 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Se utilizzi Cloud Service Mesh v1.20 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state portate all'indietro. Devi eseguire l'upgrade alla versione 1.21 o successive. Per Cloud Service Mesh gestito, non è richiesta alcuna azione. Tutte le versioni rimangono supportate e il tuo sistema verrà aggiornato automaticamente nelle prossime settimane.	Alta	CVE-2024-53271

GCP-2024-052

Data di pubblicazione: 19 settembre 2024

Descrizione	Gravità	Note
Arresto anomalo di oghttp2 su OnBeginHeadersForStream Che cosa devo fare? Controllare se i cluster sono interessati Sono interessati solo i cluster che eseguono Cloud Service Mesh v1.23 Mitigazione Cloud Service Mesh 1.23.2-asm.2 contiene la correzione di questo problema. Non è richiesta alcuna azione da parte tua.	Alta	CVE-2024-45807

Descrizione	Gravità	Note
Inserimento di log dannosi tramite i log di accesso Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.8-asm.7 1.21.5-asm.7 1.22.5-asm.1 1.23.2-asm.2	Media	CVE-2024-45808

Descrizione	Gravità	Note
Potenziale manipolazione delle intestazioni "x-envoy" da fonti esterne Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.8-asm.7 1.21.5-asm.7 1.22.5-asm.1 1.23.2-asm.2	Media	CVE-2024-45806

Descrizione	Gravità	Note
Arresto anomalo del filtro JWT nella cache di route vuota con JWK remoti Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.8-asm.7 1.21.5-asm.7 1.22.5-asm.1 1.23.2-asm.2	Media	CVE-2024-45809

Descrizione	Gravità	Note
Arresto anomalo di Envoy per LocalReply nel client asincrono http Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.8-asm.7 1.21.5-asm.7 1.22.5-asm.1 1.23.2-asm.2	Media	CVE-2024-45810

GCP-2024-032

Data di pubblicazione: 2024-06-24

Descrizione	Gravità	Note
Envoy accetta erroneamente la risposta HTTP 200 per l'attivazione della modalità di upgrade. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se esegui Cloud Service Mesh gestito, il sistema verrà aggiornato automaticamente nei prossimi giorni. In caso contrario, esegui l'upgrade del cluster a una delle seguenti versioni con patch: v1.21.3-asm.3 v1.20.7-asm.2 v1.19.10-asm.6 v1.18.7-asm.26 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Media	CVE-2024-23326

Descrizione	Gravità	Note
Arresto anomalo in EnvoyQuicServerStream::OnInitialHeadersComplete(). Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se esegui Cloud Service Mesh gestito, il sistema verrà aggiornato automaticamente nei prossimi giorni. In caso contrario, esegui l'upgrade del cluster a una delle seguenti versioni con patch: v1.21.3-asm.3 v1.20.7-asm.2 v1.19.10-asm.6 v1.18.7-asm.26 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Media	CVE-2024-32974

Descrizione	Gravità	Note
Arresto anomalo in QuicheDataReader::PeekVarInt62Length(). Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se esegui Cloud Service Mesh gestito, il sistema verrà aggiornato automaticamente nei prossimi giorni. In caso contrario, esegui l'upgrade del cluster a una delle seguenti versioni con patch: v1.21.3-asm.3 v1.20.7-asm.2 v1.19.10-asm.6 v1.18.7-asm.26 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Media	CVE-2024-32975

Descrizione	Gravità	Note
Loop infinito durante la decompressione dei dati Brotli con input aggiuntivo. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se esegui Cloud Service Mesh gestito, il sistema verrà aggiornato automaticamente nei prossimi giorni. In caso contrario, esegui l'upgrade del cluster a una delle seguenti versioni con patch: v1.21.3-asm.3 v1.20.7-asm.2 v1.19.10-asm.6 v1.18.7-asm.26 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Alta	CVE-2024-32976

Descrizione	Gravità	Note
Arresto anomalo (use-after-free) in EnvoyQuicServerStream. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se esegui Cloud Service Mesh gestito, il sistema verrà aggiornato automaticamente nei prossimi giorni. In caso contrario, esegui l'upgrade del cluster a una delle seguenti versioni con patch: v1.21.3-asm.3 v1.20.7-asm.2 v1.19.10-asm.6 v1.18.7-asm.26 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Media	CVE-2024-34362

Descrizione	Gravità	Note
Arresto anomalo dovuto a un'eccezione nlohmann JSON non rilevata. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se esegui Cloud Service Mesh gestito, il sistema verrà aggiornato automaticamente nei prossimi giorni. In caso contrario, esegui l'upgrade del cluster a una delle seguenti versioni con patch: v1.21.3-asm.3 v1.20.7-asm.2 v1.19.10-asm.6 v1.18.7-asm.26 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Alta	CVE-2024-34363

Descrizione	Gravità	Note
Vettore OOM di Envoy dal client asincrono HTTP con buffer di risposta illimitato per la risposta mirror. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se esegui Cloud Service Mesh gestito, il sistema verrà aggiornato automaticamente nei prossimi giorni. In caso contrario, esegui l'upgrade del cluster a una delle seguenti versioni con patch: v1.21.3-asm.3 v1.20.7-asm.2 v1.19.10-asm.6 v1.18.7-asm.26 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Media	CVE-2024-34364

GCP-2024-023

Data di pubblicazione: 24 aprile 2024

Descrizione	Gravità	Note
HTTP/2: esaurimento della memoria dovuto a un flood di frame CONTINUATION. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se utilizzi Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.6-asm.0 1.19.10-asm.0 1.18.7-asm.21 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh v1.18 o versioni successive.	Alta	CVE-2024-27919

Descrizione	Gravità	Note
HTTP/2: esaurimento della CPU dovuto all'inondazione di frame CONTINUATION Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se utilizzi Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.6-asm.0 1.19.10-asm.0 1.18.7-asm.21 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Media	CVE-2024-30255

Descrizione	Gravità	Note
Terminazione anomala quando si utilizza auto_sni con l'intestazione ":authority" più lunga di 255 caratteri. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se utilizzi Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.6-asm.0 1.19.10-asm.0 1.18.7-asm.21 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.18 o versioni successive.	Alta	CVE-2024-32475

Descrizione	Gravità	Note
I frame CONTINUATION HTTP/2 possono essere utilizzati per attacchi DoS. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Mitigazione Se utilizzi Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni con patch: 1.20.6-asm.0 1.19.10-asm.0 1.18.7-asm.21 Se utilizzi Cloud Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Ti consigliamo di eseguire l'upgrade alla versione v1.18 o successive.	Non fornito	CVE-2023-45288

GCP-2024-007

Data di pubblicazione: 8 febbraio 2024

Descrizione	Gravità	Note
Envoy si arresta in modo anomalo quando è inattivo e si verificano timeout delle richieste per tentativo entro l'intervallo di backoff. Che cosa devo fare? Se esegui Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni patchate: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene queste correzioni CVE siano state eseguite per la versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successive.	Alta	CVE-2024-23322

Descrizione	Gravità	Note
Utilizzo eccessivo della CPU quando l'analizzatore di corrispondenze del template URI è configurato utilizzando regex. Che cosa devo fare? Se esegui Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni patchate: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene sia stato eseguito il backporting di queste correzioni CVE alla versione 1.17, devi eseguire l'upgrade alla versione 1.18 o successive.	Media	CVE-2024-23323

Descrizione	Gravità	Note
L'autorizzazione esterna può essere ignorata quando il filtro del protocollo proxy imposta metadati UTF-8 non validi. Che cosa devo fare? Se esegui Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni patchate: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene queste correzioni CVE siano state eseguite per la versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successive.	Alta	CVE-2024-23324

Descrizione	Gravità	Note
Envoy si arresta in modo anomalo quando utilizza un tipo di indirizzo non supportato dal sistema operativo. Che cosa devo fare? Se esegui Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni patchate: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene queste correzioni CVE siano state eseguite per la versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successive.	Alta	CVE-2024-23325

Descrizione	Gravità	Note
Arresto anomalo nel protocollo proxy quando il tipo di comando è LOCAL. Che cosa devo fare? Se esegui Cloud Service Mesh gestito, non è necessario alcun intervento. Il sistema verrà aggiornato automaticamente nei prossimi giorni. Se esegui Cloud Service Mesh nel cluster, devi eseguire l'upgrade del cluster a una delle seguenti versioni patchate: 1.20.3-asm.4 1.19.7-asm.3 1.18.7-asm.4 1.17.8-asm.20 Se utilizzi Anthos Service Mesh v1.17 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Sebbene queste correzioni CVE siano state eseguite per la versione 1.17, ti consigliamo di eseguire l'upgrade alla versione 1.18 o successive.	Alta	CVE-2024-23327

GCP-2023-031

Data di pubblicazione: 2023-10-10

Descrizione	Gravità	Note
Un attacco Denial of Service può influire sul piano dati quando si utilizza il protocollo HTTP/2. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti alla 1.18.4, 1.17.7 o 1.16.7. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.18.4-asm.0 1.17.7-asm.0 1.16.7-asm.10 Se utilizzi Cloud Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Cloud Service Mesh v1.15 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade alla versione 1.16 o successiva.	Alta	CVE-2023-44487

GCP-2023-021

Updated:2023-07-26

Data di pubblicazione: 25/07/2022

Descrizione	Gravità	Note
In alcuni scenari specifici, un client dannoso è in grado di creare credenziali con validità permanente. Ad esempio, la combinazione di host e ora di scadenza nel payload HMAC può essere sempre valida nel controllo HMAC del filtro OAuth2. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.17.4 1.16.6 1.15.7 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se utilizzi Cloud Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive.	Alta	CVE-2023-35941

Descrizione	Gravità	Note
I logger di accesso gRPC che utilizzano l'ambito globale del listener possono causare un arresto anomalo di tipo use-after-free quando il listener viene svuotato. Questo può essere attivato da un aggiornamento LDS con la stessa configurazione dei log di accesso gRPC. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.17.4 1.16.6 1.15.7 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se utilizzi Cloud Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive.	Media	CVE-2023-35942

Descrizione	Gravità	Note
Se l'intestazione origin è configurata per essere rimossa con request_headers_to_remove: origin, il filtro CORS causerà un errore di segmentazione e l'arresto anomalo di Envoy. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.17.4 1.16.6 1.15.7 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se utilizzi Cloud Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive.	Media	CVE-2023-35943

Descrizione	Gravità	Note
Gli autori di attacchi possono inviare richieste di schemi misti per aggirare alcuni controlli degli schemi in Envoy. Ad esempio, se una richiesta con lo schema misto htTp viene inviata al filtro OAuth2, non supererà i controlli di corrispondenza esatta per http e comunicherà all'endpoint remoto che lo schema è https, aggirando così potenzialmente i controlli OAuth2 specifici per le richieste HTTP. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.17.4 1.16.6 1.15.7 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.17.5-asm.0 1.16.7-asm.0 1.15.7-asm.23 Se utilizzi Cloud Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive.	Alta	CVE-2023-35944

GCP-2023-019

Descrizione	Gravità	Note
Una risposta creata appositamente da un servizio upstream non attendibile può causare un attacco Denial of Service tramite esaurimento della memoria. Ciò è dovuto al codec HTTP/2 di Envoy, che potrebbe perdere una mappa di intestazioni e strutture di contabilità dopo aver ricevuto RST_STREAM immediatamente seguito dai frame GOAWAY da un server upstream. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.17.4 1.16.6 1.15.7 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.17.4-asm.2 1.16.6-asm.3 1.15.7-asm.21 Se utilizzi Cloud Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Anthos Service Mesh 1.14 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade ad ASM 1.15 o versioni successive.	Alta	CVE-2023-35945

GCP-2023-002

Descrizione	Gravità	Note
Se Envoy è in esecuzione con il filtro OAuth abilitato, un malintenzionato potrebbe creare una richiesta che causerebbe un attacco Denial of Service bloccando Envoy. Che cosa devo fare? Controlla se i tuoi cluster sono interessati I tuoi cluster sono interessati se utilizzano versioni patch di Cloud Service Mesh precedenti a: 1.16.4 1.15.7 1.14.6 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se utilizzi Cloud Service Mesh v1.13 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.14 o versioni successive.	Media	CVE-2023-27496

Descrizione	Gravità	Note
L'autore dell'attacco può utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz. Che cosa devo fare? Controlla se i tuoi cluster sono interessati I tuoi cluster sono interessati se utilizzano versioni patch di Cloud Service Mesh precedenti a: 1.16.4 1.15.7 1.14.6 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se utilizzi Cloud Service Mesh v1.13 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.14 o versioni successive.	Media	CVE-2023-27488

Descrizione	Gravità	Note
La configurazione di Envoy deve includere anche un'opzione per aggiungere intestazioni della richiesta generate utilizzando gli input della richiesta, ovvero il SAN del certificato peer. Che cosa devo fare? Controlla se i tuoi cluster sono interessati I tuoi cluster sono interessati se utilizzano versioni patch di Cloud Service Mesh precedenti a: 1.16.4 1.15.7 1.14.6 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se utilizzi Cloud Service Mesh v1.13 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.14 o versioni successive.	Alta	CVE-2023-27493

Descrizione	Gravità	Note
Gli autori degli attacchi possono inviare corpi di richieste di grandi dimensioni per le route con il filtro Lua abilitato e causare arresti anomali. Che cosa devo fare? Controlla se i tuoi cluster sono interessati I tuoi cluster sono interessati se utilizzano versioni patch di Cloud Service Mesh precedenti a: 1.16.4 1.15.7 1.14.6 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se utilizzi Cloud Service Mesh v1.13 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.14 o versioni successive.	Media	CVE-2023-27492

Descrizione	Gravità	Note
Gli autori degli attacchi possono inviare richieste HTTP/2 o HTTP/3 create appositamente per attivare errori di analisi sul servizio upstream HTTP/1. Che cosa devo fare? Controlla se i tuoi cluster sono interessati I tuoi cluster sono interessati se utilizzano versioni patch di Cloud Service Mesh precedenti a: 1.16.4 1.15.7 1.14.6 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se utilizzi Cloud Service Mesh v1.13 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.14 o versioni successive.	Media	CVE-2023-27491

Descrizione	Gravità	Note
L'intestazione x-envoy-original-path deve essere un'intestazione interna, ma Envoy non la rimuove dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile. Che cosa devo fare? Controlla se i tuoi cluster sono interessati I tuoi cluster sono interessati se utilizzano versioni patch di Cloud Service Mesh precedenti a: 1.16.4 1.15.7 1.14.6 Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.16.4-asm.2 1.15.7-asm.1 1.14.6-asm.11 Se utilizzi Cloud Service Mesh v1.13 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.14 o versioni successive.	Alta	CVE-2023-27487

GCP-2022-020

Data di pubblicazione: 5 ottobre 2022
Data di aggiornamento: 12 ottobre 2022
Aggiornamento del 12 ottobre 2022: è stato aggiornato il link alla descrizione della CVE e sono state aggiunte informazioni sugli aggiornamenti automatici per Cloud Service Mesh gestito.

Descrizione	Gravità	Note
Il control plane Istio istiod è vulnerabile a un errore di elaborazione delle richieste, che consente a un malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida di un cluster viene esposto pubblicamente. Questo endpoint viene servito sulla porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'autore dell'attacco. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti alla 1.14.4, alla 1.13.8 o alla 1.12.9. Mitigazione Se utilizzi Cloud Service Mesh autonomo, esegui l'upgrade del cluster a una delle seguenti versioni con patch: Se utilizzi Anthos Service Mesh 1.14, esegui l'upgrade alla versione 1.14.4-asm.2 Se utilizzi Anthos Service Mesh 1.13, esegui l'upgrade alla versione 1.13.8-asm.4 Se utilizzi Anthos Service Mesh 1.12, esegui l'upgrade alla versione 1.12.9-asm.3 Se utilizzi Cloud Service Mesh gestito, il tuo sistema verrà aggiornato automaticamente entro i prossimi giorni. Se utilizzi Cloud Service Mesh v1.11 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.12 o versioni successive.	Alta	CVE-2022-39278

GCP-2022-015

Data di pubblicazione: 09/06/2022
Data di aggiornamento: 10/06/2022
Aggiornamento del 10/06/2022: sono state aggiornate le versioni delle patch per Cloud Service Mesh.

Descrizione	Gravità	Note
Il piano dati Istio può potenzialmente accedere alla memoria in modo non sicuro quando sono abilitate le estensioni Metadata Exchange e Stats. Che cosa devo fare? Controllare se i cluster sono interessati Il cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Mitigazione di Cloud Service Mesh Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se utilizzi Cloud Service Mesh v1.10 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE) o Eseguire l'upgrade da versioni precedenti (on-premise).	Alta	CVE-2022-31045

Descrizione	Gravità	Note
I dati possono superare i limiti del buffer intermedio se un utente malintenzionato passa un payload di piccole dimensioni altamente compresso (noto anche come attacco zip bomb). Che cosa devo fare? Controllare se i cluster sono interessati Il cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Sebbene Cloud Service Mesh non supporti i filtri Envoy, potresti riscontrare problemi se utilizzi un filtro di decompressione. Mitigazione di Cloud Service Mesh Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se utilizzi Cloud Service Mesh v1.10 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE) o Eseguire l'upgrade da versioni precedenti (on-premise). Mitigazione di Envoy Gli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi di utilizzare la release 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i file binari da un'origine come GitHub ed eseguono il deployment. Non è richiesta alcuna azione da parte degli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy), per i quali i prodotti cloud passeranno alla versione 1.22.1.	Alta	CVE-2022-29225

Descrizione	Gravità	Note
Potenziale dereferenziazione di puntatore nullo in GrpcHealthCheckerImpl. Che cosa devo fare? Controllare se i cluster sono interessati Il cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Mitigazione di Cloud Service Mesh Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se utilizzi Cloud Service Mesh v1.10 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.11 o versioni successive. Per maggiori informazioni, consulta Eseguire l'upgrade dalle versioni precedenti (GKE) o Eseguire l'upgrade dalle versioni precedenti (on-premise). Mitigazione di Envoy Gli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi di utilizzare la release 1.22.1. Gli utenti di Envoy che gestiscono i propri Envoy creano i binari da un'origine come GitHub ed eseguono il deployment. Non è richiesta alcuna azione da parte degli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy), per i quali i prodotti cloud passeranno alla versione 1.22.1.	Media	CVE-2021-29224

Descrizione	Gravità	Note
Il filtro OAuth consente un bypass banale. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti alla 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Sebbene Cloud Service Mesh non supporti i filtri Envoy, potresti essere interessato se utilizzi un filtro OAuth. Mitigazione di Cloud Service Mesh Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se utilizzi Cloud Service Mesh v1.10 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.11 o versioni successive. Per saperne di più, consulta Eseguire l'upgrade da versioni precedenti (GKE) o Eseguire l'upgrade da versioni precedenti (on-premise). Mitigazione di Envoy Gli utenti di Envoy che gestiscono i propri Envoy e utilizzano il filtro OAuth devono assicurarsi di utilizzare la versione 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i file binari da un'origine come GitHub ed eseguono il deployment. Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i binari di Envoy), per i quali i prodotti cloud passeranno alla versione 1.22.1, non devono intraprendere alcuna azione.	Critico	CVE-2021-29226

Descrizione	Gravità	Note
Il filtro OAuth può danneggiare la memoria (versioni precedenti) o attivare un ASSERT() (versioni successive). Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti alla 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Sebbene Cloud Service Mesh non supporti i filtri Envoy, potresti essere interessato se utilizzi un filtro OAuth. Mitigazione di Cloud Service Mesh Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se utilizzi Cloud Service Mesh v1.10 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.11 o versioni successive. Mitigazione di Envoy Gli utenti Envoy che gestiscono i propri Envoy e utilizzano anche il filtro OAuth devono assicurarsi di utilizzare la versione 1.22.1 di Envoy. Gli utenti di Envoy che gestiscono i propri Envoy creano i file binari da un'origine come GitHub ed eseguono il deployment. Gli utenti che eseguono Envoy gestiti (Google Cloud fornisce i binari di Envoy), per i quali i prodotti cloud passeranno alla versione 1.22.1, non devono intraprendere alcuna azione.	Alta	CVE-2022-29228

Descrizione	Gravità	Note
Arresto anomalo dei reindirizzamenti interni per le richieste con corpo o testo iniziale. Che cosa devo fare? Controllare se i cluster sono interessati Il cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4. Mitigazione di Cloud Service Mesh Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.13.4-asm.4 1.12.7-asm.2 1.11.8-asm.4 Se utilizzi Cloud Service Mesh v1.10 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.11 o versioni successive. Per maggiori informazioni, consulta Eseguire l'upgrade dalle versioni precedenti (GKE) o Eseguire l'upgrade dalle versioni precedenti (on-premise). Mitigazione di Envoy Gli utenti di Envoy che gestiscono i propri Envoy devono assicurarsi di utilizzare la release 1.22.1. Gli utenti di Envoy che gestiscono i propri Envoy creano i binari da un'origine come GitHub ed eseguono il deployment. Non è richiesta alcuna azione da parte degli utenti che eseguono Envoy gestiti (Google Cloud fornisce i file binari di Envoy), per i quali i prodotti cloud passeranno alla versione 1.22.1.	Alta	CVE-2022-29227

GCP-2022-010

Pubblicato: 10/03/2022
Aggiornato: 16/03/2022

Descrizione	Gravità	Note
Il control plane Istio, istiod, è vulnerabile a un errore di elaborazione delle richieste, consentendo a un malintenzionato che invia un messaggio creato appositamente di causare l'arresto anomalo del control plane quando il webhook di convalida per un cluster è esposto pubblicamente. Questo endpoint viene servito sulla porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'attaccante. Che cosa devo fare? Controllare se i cluster sono interessati Tutte le versioni di Cloud Service Mesh sono interessate da questa CVE. Nota: se utilizzi il control plane gestito, questa vulnerabilità è già stata corretta e non sei interessato. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.12.5-asm.0 1.11.8-asm.0 1.10.6-asm.2 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Alta	CVE-2022-24726

GCP-2022-007

Data di pubblicazione: 22/02/2022

Descrizione	Gravità	Note
Istiod si arresta in modo anomalo quando riceve richieste con un'intestazione authorization creata appositamente. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se entrambe le seguenti condizioni sono vere: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.12.4-asm.1, 1.11.7-asm.1, o 1.10.6-asm.1. Nota: se utilizzi il control plane gestito, questa vulnerabilità è già stata corretta e non sei interessato. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Alta	CVE-2022-23635

Descrizione	Gravità	Note
Potenziale dereferenziazione del puntatore null quando si utilizza la corrispondenza safe_regex del filtro JWT. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se entrambe le seguenti condizioni sono vere: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1. Sebbene Cloud Service Mesh non supporti i filtri Envoy, potresti essere interessato se utilizzi l'espressione regolare del filtro JWT. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Media	CVE-2021-43824

Descrizione	Gravità	Note
Use-after-free quando i filtri di risposta aumentano i dati di risposta e i dati aumentati superano i limiti del buffer downstream. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se entrambe le seguenti condizioni sono vere: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.12.4-asm.1, 1.11.7-asm.1, o 1.10.6-asm.1. Sebbene Cloud Service Mesh non supporti i filtri Envoy, potresti riscontrare problemi se utilizzi un filtro di decompressione. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Media	CVE-2021-43825

Descrizione	Gravità	Note
Use-after-free durante il tunneling TCP su HTTP, se il downstream si disconnette durante la creazione della connessione upstream. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se entrambe le seguenti condizioni sono vere: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1. Sebbene Cloud Service Mesh non supporti i filtri Envoy, potresti riscontrare problemi se utilizzi un filtro di tunneling. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Media	CVE-2021-43826

Descrizione	Gravità	Note
La gestione errata della configurazione consente il riutilizzo della sessione mTLS senza riconvalida dopo la modifica delle impostazioni di convalida. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se entrambe le seguenti condizioni sono vere: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.12.4-asm.1, 1.11.7-asm.1, o 1.10.6-asm.1. Tutti i servizi Cloud Service Mesh che utilizzano mTLS sono interessati da questa CVE. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Alta	CVE-2022-21654

Descrizione	Gravità	Note
Gestione errata dei reindirizzamenti interni alle route con una voce di risposta diretta. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se entrambe le seguenti condizioni sono vere: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1. Sebbene Cloud Service Mesh non supporti i filtri Envoy, potresti essere interessato se utilizzi un filtro di risposta diretta. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.12.4-asm.1 1.11.7-asm.1 1.10.6-asm.1 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Alta	CVE-2022-21655

Descrizione	Gravità	Note
Esaurimento dello stack quando un cluster viene eliminato tramite il servizio di rilevamento dei cluster. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se si verificano entrambe le seguenti condizioni: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.12.4-asm.1 o 1.11.7-asm.1. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.12.4-asm.1 1.11.7-asm.1 Se utilizzi Cloud Service Mesh v1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni delle CVE non sono state eseguite. Devi eseguire l'upgrade a Cloud Service Mesh 1.10 o versioni successive.	Media	CVE-2022-23606

GCP-2021-016

Data di pubblicazione: 2021-08-24

Descrizione	Gravità	Note
Istio contiene una vulnerabilità sfruttabile da remoto in cui una richiesta HTTP con un frammento (una sezione alla fine di un URI che inizia con un carattere #) nel percorso URI potrebbe bypassare le policy di autorizzazione basate sul percorso URI di Istio. Ad esempio, una policy di autorizzazione Istio nega le richieste inviate al percorso URI /user/profile. Nelle versioni vulnerabili, una richiesta con il percorso URI /user/profile#section1 bypassa la policy di negazione e viene indirizzata al backend (con il percorso URI normalizzato /user/profile%23section1), il che porta a un incidente di sicurezza. Questa correzione dipende da una correzione in Envoy, associata a CVE-2021-32779. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se si verificano entrambe le seguenti condizioni: Utilizza versioni patch di Cloud Service Mesh precedenti alla 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Utilizza le policy di autorizzazione con DENY actions e operation.paths o ALLOW actions e operation.notPaths. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10 Con le nuove versioni, la parte del frammento dell'URI della richiesta viene rimossa prima dell'autorizzazione e del routing. In questo modo, una richiesta con un frammento nel relativo URI non può bypassare le policy di autorizzazione basate sull'URI senza la parte del frammento. Disattivazione Se disattivi questo nuovo comportamento, la sezione del frammento nell'URI viene mantenuta. Per disattivare questa opzione, puoi configurare l'installazione nel seguente modo: apiVersion: install.istio.io/v1alpha1 kind: IstioOperator metadata: name: opt-out-fragment-cve-fix namespace: istio-system spec: meshConfig: defaultConfig: proxyMetadata: HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false" Nota: se disattivi questo comportamento, il tuo cluster sarà vulnerabile a questa CVE.	Alta	CVE-2021-39156

Descrizione	Gravità	Note
Istio contiene una vulnerabilità sfruttabile da remoto in cui una richiesta HTTP potrebbe potenzialmente bypassare una policy di autorizzazione Istio quando si utilizzano regole basate su hosts o notHosts. Nelle versioni vulnerabili, il criterio di autorizzazione Istio confronta le intestazioni HTTP Host o :authority in modo sensibile alle maiuscole e minuscole, il che non è coerente con RFC 4343. Ad esempio, l'utente potrebbe avere una policy di autorizzazione che rifiuta le richieste con l'host secret.com, ma l'utente malintenzionato può aggirare questo problema inviando la richiesta al nome host Secret.com. Il flusso di routing instrada il traffico al backend per secret.com, causando un incidente di sicurezza. Che cosa devo fare? Controllare se i cluster sono interessati Il tuo cluster è interessato se si verificano entrambe le seguenti condizioni: Utilizza versioni patch di Cloud Service Mesh precedenti alla 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Utilizza criteri di autorizzazione con DENY actions basati su operation.hosts o ALLOW actions basati su operation.notHosts. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10 Questa mitigazione garantisce che le intestazioni HTTP Host o :authority vengano valutate rispetto alle specifiche hosts o notHosts nelle policy di autorizzazione senza distinzione tra maiuscole e minuscole.	Alta	CVE-2021-39155

Descrizione	Gravità	Note
Envoy contiene una vulnerabilità sfruttabile da remoto per cui una richiesta HTTP con intestazioni di valore multiple potrebbe eseguire un controllo incompleto della policy di autorizzazione quando viene utilizzata l'estensione ext_authz. Quando un'intestazione della richiesta contiene più valori, il server di autorizzazione esterno visualizzerà solo l'ultimo valore dell'intestazione specificata. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se si verificano entrambe le seguenti condizioni: Utilizza versioni patch di Cloud Service Mesh precedenti a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Utilizza la funzionalità di autorizzazione esterna. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10	Alta	CVE-2021-32777

Descrizione	Gravità	Note
Envoy contiene una vulnerabilità sfruttabile da remoto che interessa le estensioni decompressor, json-transcoder o grpc-web di Envoy o le estensioni proprietarie che modificano e aumentano le dimensioni dei corpi delle richieste o delle risposte. La modifica e l'aumento delle dimensioni del corpo nell'estensione di un Envoy oltre le dimensioni del buffer interno potrebbero comportare l'accesso di Envoy alla memoria deallocata e la sua terminazione anomala. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se si verificano entrambe le seguenti condizioni: Utilizza versioni patch di Cloud Service Mesh precedenti alla 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Utilizza EnvoyFilters. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.10.4-asm.6 1.9.8-asm.1 1.8.6-asm.8 1.7.8-asm.10	Alta	CVE-2021-32781

Descrizione	Gravità	Note
Envoy contiene una vulnerabilità sfruttabile da remoto in cui un client Envoy che apre e poi reimposta un numero elevato di richieste HTTP/2 potrebbe portare a un consumo eccessivo di CPU. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza versioni patch di Cloud Service Mesh precedenti alla 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 e 1.10.4-asm.6. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni con patch: 1.10.4-asm.6 1.9.8-asm.1 Nota: se utilizzi Cloud Service Mesh 1.8 o versioni precedenti, esegui l'upgrade alle versioni patch più recenti di Cloud Service Mesh 1.9 e versioni successive per mitigare questa vulnerabilità.	Alta	CVE-2021-32778

Descrizione	Gravità	Note
Envoy contiene una vulnerabilità sfruttabile da remoto in cui un servizio upstream non attendibile potrebbe causare l'arresto anomalo di Envoy inviando il frame GOAWAY seguito dal frame SETTINGS con il parametro SETTINGS_MAX_CONCURRENT_STREAMS impostato su 0. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se utilizza Cloud Service Mesh 1.10 con una versione patch precedente alla 1.10.4-asm.6. Mitigazione Esegui l'upgrade del cluster alla seguente versione patch: 1.10.4-asm.6	Alta	CVE-2021-32780

GCP-2021-012

Data di pubblicazione: 2021-06-24

Descrizione	Gravità	Note
Istio secure Gateway o i workload che utilizzano DestinationRule possono caricare chiavi private e certificati TLS dai secret di Kubernetes tramite la configurazione credentialName. A partire da Istio 1.8, i secret vengono letti da istiod e trasmessi a gateway e workload tramite XDS. In genere, un deployment di gateway o workload può accedere solo ai certificati TLS e alle chiavi private archiviati nel secret all'interno del suo spazio dei nomi. Tuttavia, un bug in istiod consente a un client autorizzato ad accedere all'API Istio XDS di recuperare qualsiasi certificato TLS e le chiavi private memorizzate nella cache in istiod. Questa vulnerabilità della sicurezza interessa solo le release secondarie 1.8 e 1.9 di Cloud Service Mesh. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato se TUTTE le seguenti condizioni sono vere: Utilizza una versione 1.9.x precedente alla 1.9.6-asm.1 o una versione 1.8.x precedente alla 1.8.6-asm.4. Ha definito Gateways o DestinationRules con il campo credentialName specificato. Non specifica il flag istiod PILOT_ENABLE_XDS_CACHE=false. Mitigazione Esegui l'upgrade del cluster a una delle seguenti versioni patchate: 1.9.6-asm.1 1.8.6-asm.4 Se non è possibile eseguire l'upgrade, puoi mitigare questa vulnerabilità disattivando la memorizzazione nella cache di istiod. Puoi disattivare la memorizzazione nella cache impostando la variabile di ambiente istiod su PILOT_ENABLE_XDS_CACHE=false. Le prestazioni del sistema e di istiod potrebbero risentirne perché la memorizzazione nella cache XDS viene disattivata.	Alta	CVE-2021-34824

GCP-2021-008

Pubblicato: 2021-05-17

Descrizione	Gravità	Note
Istio contiene una vulnerabilità sfruttabile da remoto in cui un client esterno può accedere a servizi imprevisti nel cluster, bypassando i controlli di autorizzazione, quando un gateway è configurato con la configurazione di routing AUTO_PASSTHROUGH. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Questa vulnerabilità influisce solo sull'utilizzo del tipo di gateway AUTO_PASSTHROUGH, che in genere viene utilizzato solo nei deployment multirete e multicluster. Rileva la modalità TLS di tutti i gateway nel cluster con il seguente comando: kubectl get gateways.networking.istio.io -A -o \ "custom-columns=NAMESPACE:.metadata.namespace, \ NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode" Se l'output mostra gateway AUTO_PASSTHROUGH, potresti essere interessato. Mitigazione Aggiorna i cluster alle versioni più recenti di Cloud Service Mesh: 1.9.5-asm.2 1.8.6-asm.3 1.7.8-asm.8 * Nota: l'implementazione del control plane gestito di Cloud Service Mesh (disponibile solo nelle versioni 1.9.x) verrà completata nei prossimi giorni.	Alta	CVE-2021-31921

GCP-2021-007

Pubblicato: 2021-05-17

Descrizione	Gravità	Note
Istio contiene una vulnerabilità sfruttabile da remoto in cui un percorso di richiesta HTTP con più slash o caratteri slash di escape (%2F o %5C) potrebbe potenzialmente bypassare un criterio di autorizzazione Istio quando vengono utilizzate regole di autorizzazione basate sul percorso. In uno scenario in cui un amministratore del cluster Istio definisce una policy di autorizzazione DENY per rifiutare la richiesta al percorso "/admin", una richiesta inviata al percorso dell'URL "//admin" NON verrà rifiutata dalla policy di autorizzazione. Secondo lo standard RFC 3986, il percorso "//admin" con più barre dovrebbe tecnicamente essere trattato come un percorso diverso da "/admin". Tuttavia, alcuni servizi di backend scelgono di normalizzare i percorsi dell'URL unendo più barre in una singola barra. Ciò può comportare un bypass della policy di autorizzazione ("//admin" non corrisponde a "/admin") e un utente può accedere alla risorsa nel percorso "/admin" nel backend. Che cosa devo fare? Controlla se i tuoi cluster sono interessati Il tuo cluster è interessato da questa vulnerabilità se hai policy di autorizzazione che utilizzano i pattern "ALLOW action + notPaths field" o "DENY action + paths field". Questi pattern sono vulnerabili a bypass imprevisti delle policy e devi eseguire l'upgrade per risolvere il problema di sicurezza il prima possibile. Di seguito è riportato un esempio di policy vulnerabile che utilizza il pattern "Azione DENY + campo paths": apiVersion: security.istio.io/v1beta1 kind: AuthorizationPolicy metadata: name: deny-path-admin spec: action: DENY rules: - to: - operation: paths: ["/admin"] Di seguito è riportato un altro esempio di policy vulnerabile che utilizza il pattern "Azione ALLOW + campo notPaths": apiVersion: security.istio.io/v1beta1 kind: AuthorizationPolicy metadata: name: allow-path-not-admin spec: action: ALLOW rules: - to: - operation: notPaths: ["/admin"] Il tuo cluster non è interessato da questa vulnerabilità se: Non hai policy di autorizzazione. Le policy di autorizzazione non definiscono i campi paths o notPaths. Le tue policy di autorizzazione utilizzano i pattern "Azione ALLOW + campo paths" o "Azione DENY + campo notPaths". Questi pattern potrebbero causare solo un rifiuto imprevisto anziché l'elusione delle norme. L'upgrade è facoltativo in questi casi. Mitigazione Aggiorna i cluster alle ultime versioni supportate di Cloud Service Mesh.* Queste versioni supportano la configurazione dei proxy Envoy nel sistema con più opzioni di normalizzazione: 1.9.5-asm.2 1.8.6-asm.3 1.7.8-asm.8 * Nota: l'implementazione del control plane gestito di Cloud Service Mesh (disponibile solo nelle versioni 1.9.x) verrà completata nei prossimi giorni. Segui la guida alle best practice per la sicurezza di Istio per configurare i criteri di autorizzazione.	Alta	CVE-2021-31920

GCP-2021-004

Pubblicato: 2021-05-06

Descrizione	Gravità	Note
I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28682, CVE-2021-28683 e CVE-2021-29258), che potrebbero consentire a un malintenzionato di arrestare in modo anomalo Envoy e potenzialmente rendere parti del cluster offline e non raggiungibili. Questo influisce sui servizi forniti, come Cloud Service Mesh. Che cosa devo fare? Per correggere queste vulnerabilità, esegui l'upgrade del bundle Cloud Service Mesh a una delle seguenti versioni con patch: 1.9.3-asm.2 1.8.5-asm.2 1.7.8-asm.1 1.6.14-asm.2 Per ulteriori informazioni, consulta le note di rilascio di Cloud Service Mesh.	Alta	CVE-2021-28682 CVE-2021-28683 CVE-2021-29258