Boletines de seguridad

Usa este feed XML para suscribirte a los boletines de seguridad de Cloud Service Mesh. Suscribirse

En esta página, se enumeran los boletines de seguridad de Cloud Service Mesh.

GCP-2026-067

Publicado: 12 de octubre de 2026

Descripción Gravedad Notas

Se corrige una finalización anormal del proceso en Envoy Proxy cuando un filtro HTTP (como ext_proc configurado con route_cache_action: RETAIN) muta el encabezado :path después de la selección de la ruta a una cadena más corta que el prefijo de ruta coincidente en una ruta configurada con prefix_rewrite.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Cloud Service Mesh en el clúster v1.30 y v1.29 se ven afectadas por esta vulnerabilidad. Cloud Service Mesh en el clúster v1.28 no se ve afectado.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.30.5-asm.8
  • 1.29.8-asm.8

Si usas Cloud Service Mesh v1.27 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Actualiza a una versión compatible.

Para Cloud Service Mesh administrado, no se requiere ninguna acción del cliente. El sistema se actualiza automáticamente.

Alta

envoyproxy/envoy#47841

GCP-2026-057

Fecha de publicación: 26 de agosto de 2026

Descripción Gravedad Notas

Se corrigió un problema por el que un upstream no confiable que enviaba finales de respuesta HTTP/2 sin la marca END_STREAM a una instancia de oghttp2 podía dañar el estado de la transmisión y provocar una finalización anormal del proceso.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-73513
Descripción Gravedad Notas

Se corrigió un problema por el que la coincidencia de safe_regex trataba los bytes de encabezado HTTP que no eran UTF-8 como una coincidencia ordinaria, lo que provocaba que las políticas de RBAC que usaban lógica de coincidencia negativa fallaran de forma abierta.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-73552
Descripción Gravedad Notas

Se corrigió un error de uso después de la liberación en el controlador de datagramas HTTP de QUIC, en el que una solicitud que usaba el protocolo Capsule podía destruir su decodificador de transmisión mientras los datagramas HTTP/3 tardíos aún hacían referencia a él.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-73512
Descripción Gravedad Notas

Se corrige una finalización anormal del proceso en el filtro ext_authz cuando se procesan solicitudes CONNECT sin un pseudofiltro :path.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-73547
Descripción Gravedad Notas

Se corrigió una finalización anormal del proceso durante el manejo de direcciones IPv6 con alcance en los clústeres de DST originales para las solicitudes HTTP/3.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-73549
Descripción Gravedad Notas

Se corrige un error de uso después de la liberación en el cliente HTTP sin procesar de ext_authz cuando se completan las solicitudes de autorización con respuestas de rechazo locales.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-50572
Descripción Gravedad Notas

Se corrigió un problema de secuencia de comandos entre sitios almacenado en la interfaz de estadísticas HTML (/stats?format=html).

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-73546
Descripción Gravedad Notas

Se corrige una finalización anormal del proceso durante la selección del grupo de conexiones HTTP/3 basado en ALPN causada por la desreferenciación de opciones de socket de transporte nulas.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-48521
Descripción Gravedad Notas

Se corrigió la normalización de URLs de segmentos de ruta de acceso de punto y punto-punto que contienen parámetros que podrían permitir la omisión de la política de autorización basada en rutas de acceso.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-73551
Descripción Gravedad Notas

Se corrigió la coincidencia de rutas para las rutas que contienen parámetros de matriz por segmento. Para ello, se aplicó la eliminación de parámetros de manera coherente en todos los segmentos de ruta.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-73511
Descripción Gravedad Notas

Se corrigió el envenenamiento de respuestas entre usuarios que involucraba actualizaciones HTTP genéricas que no eran de WebSocket pausando las cargas útiles hasta que se aceptara la actualización.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-73548
Descripción Gravedad Notas

Se corrige un problema de agotamiento de memoria de HTTP/2 en el que los encabezados de host duplicados descartados no se incluían en los límites de encabezados de la solicitud, lo que evitaba la posible finalización del proxy.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-73550
Descripción Gravedad Notas

Se corrigió una omisión de autorización cuando se habilitó ignore_path_parameters_in_path_matching, ya que se garantizó que los comparadores de rutas de acceso de RBAC apliquen la misma organización de parámetros de ruta de acceso que el enrutamiento.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.27 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-73553

GCP-2026-045

Publicado: 29 de junio de 2026

Descripción Gravedad Notas

Se corrigió una vulnerabilidad en la que la decodificación de QPACK bloqueada puede causar un ataque de denegación del servicio contra la pila de HTTP/3.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh en el clúster se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.5
  • 1.28.9-asm.4
  • 1.27.9-asm.9

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

Cloud Service Mesh administrado no se ve afectado por esta CVE.

Alta

GHSA-p7c7-7c47-pwch

GCP-2026-040

Fecha de publicación: 23 de junio de 2026

Descripción Gravedad Notas

La corrección descarta correctamente los TLV que superan el límite de tamaño.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-47692
Descripción Gravedad Notas

Se corrigió el problema de ext_proc con las respuestas empaquetadas.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-47207
Descripción Gravedad Notas

Se corrigió la falla de uaf del cliente de ext_authz por ruta.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Solo las versiones más recientes 1.28 y 1.29 de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.9-asm.2
  • 1.27.9-asm.8

Moderado

CVE-2026-47205
Descripción Gravedad Notas

Se corrigió un error por el que REQUESTED_SERVER_NAME podía provocar una falla en Envoy.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Solo la versión 1.29 más reciente de Cloud Service Mesh se ve afectada por este CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3

Alta

CVE-2026-47220
Descripción Gravedad Notas

Se corrigió un problema que se producía cuando se controlaban los redireccionamientos internos de HTTP para las solicitudes sin cuerpo.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-47221
Descripción Gravedad Notas

Se aplica MaxInflateRatio dentro del bucle interno del descompresor para evitar errores de memoria insuficiente por cargas útiles creadas.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-48044
Descripción Gravedad Notas

Cancela el cliente de token cuando se destruya el filtro para evitar el UAF.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-48090
Descripción Gravedad Notas

Corrige la vulnerabilidad de omisión de validación de SAN de bytes NUL incorporados.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-47778
Descripción Gravedad Notas

Se corrigió el problema de estado de grpc de respuesta directa.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-47204
Descripción Gravedad Notas

Se corrigió la verificación de estado de la longitud del nombre de la consulta para evitar la finalización anormal del proceso.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-48497
Descripción Gravedad Notas

Se corrigió el problema de desbordamiento del búfer de TcpStatsdSync con un nombre de estado largo.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-48706
Descripción Gravedad Notas

Valida la longitud del contenido de la solicitud y la respuesta solo de encabezados de HTTP/3.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-48743
Descripción Gravedad Notas

Corrige el padding oracle en el código de OAuth2.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-47775
Descripción Gravedad Notas

Se corrigió el desbordamiento de pila en el destructor limitando la profundidad de anidamiento.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Si usas Cloud Service Mesh v1.26 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o una posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-48042

GCP-2026-035

Publicado: 2026-06-08

Descripción Gravedad Notas

Una vulnerabilidad en el procesamiento de solicitudes downstream de HTTP/2 de Envoy permite que un cliente remoto no autenticado provoque un consumo excesivo de memoria, lo que podría generar la finalización del proceso de Envoy por falta de memoria y una denegación de servicio.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.7-asm.4
  • 1.27.9-asm.5
  • 1.26.8-asm.11

Si usas Cloud Service Mesh v1.25 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Esta corrección de CVE no se portó a versiones anteriores. Actualiza a la versión 1.26 o posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-47774

GCP-2026-013

Publicado: 11 de marzo de 2026

Descripción Gravedad Notas

Se corrigió la omisión del encabezado de varios valores en RBAC.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Si usas Cloud Service Mesh v1.25 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.26 o posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-26308
Descripción Gravedad Notas

Se corrigió un error de escritura por diferencia de uno que podía dañar el terminador nulo de la cadena.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Si usas Cloud Service Mesh v1.25 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.26 o posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-26309
Descripción Gravedad Notas

Se corrigió una falla en `getAddressWithPort()` cuando se llamaba con una dirección IPv6 con alcance.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Si usas Cloud Service Mesh v1.25 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.26 o posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-26310
Descripción Gravedad Notas

Garantiza que los métodos decode* se bloqueen después de un restablecimiento descendente.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Si usas Cloud Service Mesh v1.25 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.26 o posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Moderado

CVE-2026-26311
Descripción Gravedad Notas

Se corrigió un error por el que el límite de la fase de respuesta podía provocar una falla.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Solo la versión 1.28.2-asm.4 de Cloud Service Mesh en el clúster se ve afectada por esta CVE.

Este CVE no afecta a Cloud Service Mesh con un plano de control administrado.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a la siguiente versión con parche: >1.28.5-asm.9.

Para Cloud Service Mesh administrado, no se requiere ninguna acción. Este CVE no afecta a Cloud Service Mesh con un plano de control administrado.

Moderado

CVE-2026-26330
Descripción Gravedad Notas

Se corrigió la vulnerabilidad de filtración de claves privadas del conjunto de claves web JSON.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Si usas Cloud Service Mesh v1.25 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.26 o posterior.

En el caso de Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2026-31837
Descripción Gravedad Notas

Se corrigió un error por el que los endpoints de depuración permitían el acceso a datos de proxy entre espacios de nombres

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Solo las versiones 1.27 y 1.28 de Cloud Service Mesh en el clúster se ven afectadas por esta CVE.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.28.5-asm.9
  • 1.27.8-asm.7

Si usas Cloud Service Mesh v1.25 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.26 o posterior.

Para Cloud Service Mesh administrado, no se requiere ninguna acción. Este CVE no afecta a Cloud Service Mesh con un plano de control administrado.

Media

CVE-2026-31838

GCP-2025-073

Publicado: 3 de diciembre de 2025

Descripción Gravedad Notas

Es posible que el comparador de certificados TLS para match_typed_subject_alt_names trate de forma incorrecta los certificados que contienen un byte nulo incorporado.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa una versión de parche de Cloud Service Mesh en el clúster anterior a las siguientes:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Esta CVE no afecta a Cloud Service Mesh con un plano de control administrado.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Si usas Cloud Service Mesh v1.24 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.25 o posterior.

En el caso de Cloud Service Mesh administrado, no es necesario realizar ninguna acción. Esta CVE no afecta a Cloud Service Mesh con un plano de control administrado.

Media

CVE-2025-66220
Descripción Gravedad Notas

Envoy falla cuando la autenticación de JWT se configura con la recuperación remota de JWKS.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa una versión de parche de Cloud Service Mesh en el clúster anterior a las siguientes:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Tu clúster se ve afectado si usa una versión de Cloud Service Mesh administrado anterior a las siguientes:

  • 1.21.6-asm.7
  • 1.20.8-asm.59
  • 1.19.10-asm.54
Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Si usas Cloud Service Mesh v1.24 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.25 o posterior.

Para Cloud Service Mesh administrado, sigue las instrucciones del MSA. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Media

CVE-2025-64527
Descripción Gravedad Notas

Posible contrabando de solicitudes de datos anticipados después de la actualización de CONNECT.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa una versión de parche de Cloud Service Mesh en el clúster anterior a las siguientes:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Esta CVE no afecta a Cloud Service Mesh con un plano de control administrado.

Mitigación

Para Cloud Service Mesh en el clúster, actualiza tu clúster a una de las siguientes versiones de parche:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Si usas Cloud Service Mesh v1.24 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.25 o posterior.

En el caso de Cloud Service Mesh administrado, no es necesario realizar ninguna acción. Esta CVE no afecta a Cloud Service Mesh con un plano de control administrado.

Media

CVE-2025-64763

GCP-2025-064

Publicado: 28 de octubre de 2025

Descripción Gravedad Notas

Los filtros de Lua pueden hacer que Envoy falle cuando se controla un cuerpo de respuesta grande.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados:

Tu clúster se ve afectado si tus versiones de parche son anteriores a las siguientes:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Si usas Cloud Service Mesh v1.24 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.25 o posterior.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Para Cloud Service Mesh administrado, no se requiere ninguna acción. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Media

CVE-2025-62504
Descripción Gravedad Notas

Las solicitudes o respuestas grandes pueden provocar fallas en el grupo de conexiones TCP.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados:

Tu clúster se ve afectado si tus versiones de parche son anteriores a las siguientes:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Si usas Cloud Service Mesh v1.24 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Actualiza a la versión 1.25 o posterior.

Mitigación

Para in-cluster Cloud Service Mesh, actualiza tu clúster a una de las siguientes versiones con parche:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Para Cloud Service Mesh administrado, no se requiere ninguna acción. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Media

CVE-2025-62409

GCP-2025-048

Publicado: 2025-09-02

Descripción Gravedad Notas

Uso después de liberación en la caché de DNS.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Solo se ven afectados los clústeres que ejecutan la versión 1.26 de Cloud Service Mesh en el clúster.

Si ejecutas un Cloud Service Mesh administrado, este problema no te afectará y no es necesario que realices ninguna acción.

Mitigación

Si ejecutas Cloud Service Mesh 1.26 en el clúster, actualiza los clústeres afectados a la versión 1.26.4-asm.1.

Alta

CVE-2025-54588

GCP-2024-065

Descripción Gravedad Notas

Happy Eyeballs: Se valida que additional_address sean direcciones IP en lugar de fallar cuando se ordenan.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si las versiones de parche son anteriores a las siguientes:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
Mitigación

Para Cloud Service Mesh en el clúster, actualiza el clúster a una de las siguientes versiones con parche:

  • 1.23.4-asm.1
  • 1.22.7-asm.1

Si usas Cloud Service Mesh v1.20 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a la versión 1.21 o una posterior.

Para Cloud Service Mesh administrado, no se requiere ninguna acción. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Media

CVE-2024-53269
Descripción Gravedad Notas

HTTP/1: Se producen fallas por sobrecarga de envío cuando la solicitud se restablece de antemano.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si las versiones de parche son anteriores a las siguientes:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17
  • 1.20.8-asm.14
  • 1.19.10-asm.24
Mitigación

Para Cloud Service Mesh en el clúster, actualiza el clúster a una de las siguientes versiones con parche:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17

Si usas Cloud Service Mesh v1.20 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Si usas Cloud Service Mesh v1.20 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a la versión 1.21 o una posterior.

Para Cloud Service Mesh administrado, no se requiere ninguna acción. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2024-53270
Descripción Gravedad Notas

HTTP/1.1: Varios problemas con envoy.reloadable_features.http1_balsa_delay_reset.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si las versiones de parche son anteriores a las siguientes:

  • 1.23.4-asm.1
Mitigación

Para Cloud Service Mesh en el clúster, actualiza el clúster a una de las siguientes versiones con parche:

  • 1.23.4-asm.1

Si usas Cloud Service Mesh v1.20 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Si usas Cloud Service Mesh v1.20 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a la versión 1.21 o una posterior.

Para Cloud Service Mesh administrado, no se requiere ninguna acción. Todas las versiones seguirán siendo compatibles, y tu sistema se actualizará automáticamente en las próximas semanas.

Alta

CVE-2024-53271

GCP-2024-052

Publicado: 19 de septiembre de 2024

Descripción Gravedad Notas

Falla de oghttp2 en OnBeginHeadersForStream

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Solo se ven afectados los clústeres que ejecutan Cloud Service Mesh v1.23

Mitigación

Cloud Service Mesh 1.23.2-asm.2 contiene la corrección para este problema. No es necesario que realices ninguna acción.

Alta

CVE-2024-45807
Descripción Gravedad Notas

Inyección de registros maliciosos a través de registros de acceso

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Media

CVE-2024-45808
Descripción Gravedad Notas

Posibilidad de manipular encabezados "x-envoy" de fuentes externas

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Media

CVE-2024-45806
Descripción Gravedad Notas

Falla del filtro de JWT en la caché de rutas no cifradas con JWK remotos

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Media

CVE-2024-45809
Descripción Gravedad Notas

Envoy falla para LocalReply en el cliente asíncrono HTTP

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Media

CVE-2024-45810

GCP-2024-032

Publicado: 24 de junio de 2024

Descripción Gravedad Notas

Envoy acepta de forma incorrecta la respuesta HTTP 200 para ingresar al modo de actualización.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

De lo contrario, actualiza tu clúster a una de las siguientes versiones con parche:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Media

CVE-2024-23326
Descripción Gravedad Notas

Se produce una falla en EnvoyQuicServerStream::OnInitialHeadersComplete().

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

De lo contrario, actualiza tu clúster a una de las siguientes versiones con parche:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Media

CVE-2024-32974
Descripción Gravedad Notas

Se produce una falla en QuicheDataReader::PeekVarInt62Length().

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

De lo contrario, actualiza el clúster a una de las siguientes versiones con parche:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Media

CVE-2024-32975
Descripción Gravedad Notas

Bucle sin fin mientras se descomprimen datos de Brotli con entrada adicional.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

De lo contrario, actualiza el clúster a una de las siguientes versiones con parche:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Alta

CVE-2024-32976
Descripción Gravedad Notas

Falla (uso después de la liberación) en EnvoyQuicServerStream.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

De lo contrario, actualiza el clúster a una de las siguientes versiones con parche:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Media

CVE-2024-34362
Descripción Gravedad Notas

Falla debido a una excepción de JSON de nlohmann no detectada.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

De lo contrario, actualiza el clúster a una de las siguientes versiones con parche:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Alta

CVE-2024-34363
Descripción Gravedad Notas

Vector de OOM de Envoy del cliente asíncrono HTTP con búfer de respuesta ilimitado para la respuesta de duplicación.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

De lo contrario, actualiza el clúster a una de las siguientes versiones con parche:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Media

CVE-2024-34364

GCP-2024-023

Publicado: 24 de abril de 2024

Descripción Gravedad Notas

HTTP/2: Agotamiento de la memoria debido a la inundación de marcos CONTINUATION.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, no se requiere ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh integrado en el clúster, debes actualizar tu clúster a una de las siguientes versiones con parche:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Si usas Cloud Service Mesh v1.17 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh v1.18 o una versión posterior.

Alta

CVE-2024-27919
Descripción Gravedad Notas

HTTP/2: Agotamiento de la CPU debido a la inundación de marcos CONTINUATION

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, no se requiere ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh integrado en el clúster, debes actualizar tu clúster a una de las siguientes versiones con parche:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Media

CVE-2024-30255
Descripción Gravedad Notas

Se produce una finalización anormal cuando se usa auto_sni con un encabezado ":authority" de más de 255 caracteres.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, no se requiere ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh integrado en el clúster, debes actualizar tu clúster a una de las siguientes versiones con parche:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Si usas Cloud Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.18 o una versión posterior.

Alta

CVE-2024-32475
Descripción Gravedad Notas

Los marcos CONTINUATION de HTTP/2 se pueden usar para ataques DoS.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Mitigación

Si ejecutas Cloud Service Mesh administrado, no se requiere ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh integrado en el clúster, debes actualizar tu clúster a una de las siguientes versiones con parche:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Si usas Cloud Service Mesh v1.17 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a la versión 1.18 o una posterior.

No proporcionada

CVE-2023-45288

GCP-2024-007

Publicado: 8 de febrero de 2024

Descripción Gravedad Notas

Envoy falla cuando hay tiempos inactivos y de espera de solicitudes por intento en el intervalo de retirada.

¿Qué debo hacer?

Si ejecutas Cloud Service Mesh administrado, no es necesario que realices ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh en el clúster, debes actualizarlo a una de las siguientes versiones con parche:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Si usas Anthos Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Si bien estas correcciones de CVE se portaron a la versión 1.17, debes actualizar a la versión 1.18 o a una posterior.

Alta

CVE-2024-23322
Descripción Gravedad Notas

Se produce un uso excesivo de la CPU cuando el comparador de plantillas de URI se configura a través de una regex.

¿Qué debo hacer?

Si ejecutas Cloud Service Mesh administrado, no es necesario que realices ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh en el clúster, debes actualizarlo a una de las siguientes versiones con parche:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Si usas Anthos Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Si bien estas correcciones de CVE se portaron a la versión 1.17, debes actualizar a la versión 1.18 o a una posterior.

Media

CVE-2024-23323
Descripción Gravedad Notas

Es posible omitir la autorización externa cuando el filtro de protocolo del proxy establece metadatos UTF-8 no válidos.

¿Qué debo hacer?

Si ejecutas Cloud Service Mesh administrado, no es necesario que realices ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh en el clúster, debes actualizarlo a una de las siguientes versiones con parche:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Si usas Anthos Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Si bien estas correcciones de CVE se portaron a la versión 1.17, debes actualizar a la versión 1.18 o a una posterior.

Alta

CVE-2024-23324
Descripción Gravedad Notas

Envoy falla cuando se utiliza un tipo de dirección que no es compatible con el SO.

¿Qué debo hacer?

Si ejecutas Cloud Service Mesh administrado, no es necesario que realices ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh en el clúster, debes actualizarlo a una de las siguientes versiones con parche:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Si usas Anthos Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Si bien estas correcciones de CVE se portaron a la versión 1.17, debes actualizar a la versión 1.18 o a una posterior.

Alta

CVE-2024-23325
Descripción Gravedad Notas

Se produce una falla en el protocolo del proxy cuando el tipo de comando es LOCAL.

¿Qué debo hacer?

Si ejecutas Cloud Service Mesh administrado, no es necesario que realices ninguna acción. Tu sistema se actualizará automáticamente durante los próximos días.

Si ejecutas Cloud Service Mesh en el clúster, debes actualizarlo a una de las siguientes versiones con parche:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Si usas Anthos Service Mesh v1.17 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Si bien estas correcciones de CVE se portaron a la versión 1.17, debes actualizar a la versión 1.18 o a una posterior.

Alta

CVE-2024-23327

GCP-2023-031

Publicado: 10 de octubre de 2023

Descripción Gravedad Notas

Un ataque de denegación del servicio puede afectar el plano de datos cuando se usa el protocolo HTTP/2.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.18.4, 1.17.7 o 1.16.7.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.18.4-asm.0
  • 1.17.7-asm.0
  • 1.16.7-asm.10

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

Si usas Cloud Service Mesh v1.15 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a la versión 1.16 o una posterior.

Alta

CVE-2023-44487

GCP-2023-021

Updated:2023-07-26

Publicado: 25-07-2022
Descripción Gravedad Notas

En algunas situaciones específicas, un cliente malicioso puede crear credenciales con validez permanente. Por ejemplo, la combinación de host y hora de vencimiento en la carga útil de HMAC puede ser siempre válida en la verificación de HMAC del filtro de OAuth2.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

Si usas Anthos Service Mesh 1.14 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a ASM 1.15 o una versión posterior.

Alta

CVE-2023-35941
Descripción Gravedad Notas

Los registradores de acceso de gRPC que usan el permiso global del objeto de escucha pueden causar una falla de uso después de la liberación cuando se vacía el objeto de escucha. Esto se puede activar con una actualización de LDS con la misma configuración de registro de acceso de gRPC.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

Si usas Anthos Service Mesh 1.14 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a ASM 1.15 o una versión posterior.

Media

CVE-2023-35942
Descripción Gravedad Notas

Si el encabezado origin está configurado para quitarse con request_headers_to_remove: origin, el filtro de CORS generará un error de segmentación y Envoy fallará.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

Si usas Anthos Service Mesh 1.14 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a ASM 1.15 o una versión posterior.

Media

CVE-2023-35943
Descripción Gravedad Notas

Los atacantes pueden enviar solicitudes de esquemas mixtos para omitir algunas verificaciones de esquemas en Envoy. Por ejemplo, si se envía una solicitud con el esquema mixto htTp al filtro OAuth2, fallarán las verificaciones de coincidencia exacta para http y se informará al extremo remoto que el esquema es https, lo que podría omitir las verificaciones de OAuth2 específicas para las solicitudes HTTP.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

Si usas Anthos Service Mesh 1.14 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a ASM 1.15 o una versión posterior.

Alta

CVE-2023-35944

GCP-2023-019

Descripción Gravedad Notas

Una respuesta diseñada específicamente de un servicio ascendente no confiable puede causar una denegación del servicio por agotamiento de la memoria. Esto se debe al códec HTTP/2 de Envoy, que puede filtrar un mapa de encabezados y estructuras de contabilidad cuando recibe RST_STREAM seguido de inmediato por los marcos GOAWAY de un servidor ascendente.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.17.4-asm.2
  • 1.16.6-asm.3
  • 1.15.7-asm.21

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

Si usas Anthos Service Mesh 1.14 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a ASM 1.15 o una versión posterior.

Alta

CVE-2023-35945

GCP-2023-002

Descripción Gravedad Notas

Si Envoy se ejecuta con el filtro de OAuth habilitado y expuesto, un agente malicioso podría crear una solicitud que causaría una denegación del servicio haciendo que Envoy falle.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tus clústeres se ven afectados si usan versiones de parche de Cloud Service Mesh anteriores a las siguientes:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Si usas Cloud Service Mesh v1.13 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.14 o una versión posterior.

Media

CVE-2023-27496
Descripción Gravedad Notas

El atacante puede usar esta vulnerabilidad para omitir las verificaciones de autenticación cuando se usa ext_authz.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tus clústeres se ven afectados si usan versiones de parche de Cloud Service Mesh anteriores a las siguientes:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Si usas Cloud Service Mesh v1.13 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.14 o una versión posterior.

Media

CVE-2023-27488
Descripción Gravedad Notas

La configuración de Envoy también debe incluir una opción para agregar encabezados de la solicitud que se generaron con entradas de la solicitud, es decir, la SAN del certificado del par.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tus clústeres se ven afectados si usan versiones de parche de Cloud Service Mesh anteriores a las siguientes:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Si usas Cloud Service Mesh v1.13 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.14 o una versión posterior.

Alta

CVE-2023-27493
Descripción Gravedad Notas

Los atacantes pueden enviar cuerpos de solicitud grandes para rutas que tienen habilitado el filtro de Lua y activar fallas.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tus clústeres se ven afectados si usan versiones de parche de Cloud Service Mesh anteriores a las siguientes:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Si usas Cloud Service Mesh v1.13 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.14 o una versión posterior.

Media

CVE-2023-27492
Descripción Gravedad Notas

Los atacantes pueden enviar solicitudes HTTP/2 o HTTP/3 especialmente diseñadas para activar errores de análisis en el servicio upstream HTTP/1.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tus clústeres se ven afectados si usan versiones de parche de Cloud Service Mesh anteriores a las siguientes:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Si usas Cloud Service Mesh v1.13 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.14 o una versión posterior.

Media

CVE-2023-27491
Descripción Gravedad Notas

El encabezado x-envoy-original-path debería ser un encabezado interno, pero Envoy no lo quita de la solicitud al comienzo del procesamiento cuando se envía desde un cliente no confiable.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tus clústeres se ven afectados si usan versiones de parche de Cloud Service Mesh anteriores a las siguientes:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Si usas Cloud Service Mesh v1.13 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.14 o una versión posterior.

Alta

CVE-2023-27487

GCP-2022-020

Fecha de publicación: 5 de octubre de 2022
Última actualización: 12 de octubre de 2022
Actualización del 12 de octubre de 2022: Se actualizó el vínculo a la descripción de CVE y se agregó información sobre actualizaciones automáticas para Cloud Service Mesh administrado.
Descripción Gravedad Notas

El plano de control de Istio istiod es vulnerable a un error de procesamiento de solicitudes, lo que permite que un atacante malicioso envíe un mensaje creado especialmente para que el plano de control falle cuando el webhook de validación para un clúster se expone públicamente. Este extremo se entrega a través del puerto TLS 15017, pero no requiere ninguna autenticación del atacante.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.14.4, 1.13.8 o 1.12.9.

Mitigación

Si ejecutas Cloud Service Mesh independiente, actualiza tu clúster a una de las siguientes versiones con parche:

  • Si usas Anthos Service Mesh 1.14, actualiza a v1.14.4-asm.2.
  • Si usas Anthos Service Mesh 1.13, actualiza a v1.13.8-asm.4.
  • Si usas Anthos Service Mesh 1.12, actualiza a v1.12.9-asm.3.

Si ejecutas Cloud Service Mesh administrado, tu sistema se actualizará automáticamente en los próximos días.

Si usas Cloud Service Mesh v1.11 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.12 o una versión posterior.

Alta

CVE-2022-39278

GCP-2022-015

Fecha de publicación: 9/6/2022
Última actualización: 10/06/2022
Actualización del 10/06/2022: Se actualizaron las versiones del parche para Cloud Service Mesh.
Descripción Gravedad Notas

El plano de datos de Istio puede acceder a la memoria de forma insegura cuando se habilitan las extensiones de estadísticas e intercambio de metadatos.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4.

Mitigación de Cloud Service Mesh

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Si usas Cloud Service Mesh v1.10 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.11 o una versión posterior. Para obtener más información, consulta Actualiza desde versiones anteriores (GKE) o Actualiza desde versiones anteriores (locales).

Alta

CVE-2022-31045
Descripción Gravedad Notas

Los datos pueden exceder los límites de búfer intermedios si un atacante malicioso pasa una carga útil pequeña altamente comprimida (también conocida como ataque de bomba zip).

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4.

Aunque Cloud Service Mesh no admite filtros de Envoy, es posible que te veas afectado si usas un filtro de descompresión.

Mitigación de Cloud Service Mesh

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Si usas Cloud Service Mesh v1.10 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.11 o una versión posterior. Para obtener más información, consulta Actualiza desde versiones anteriores (GKE) o Actualiza desde versiones anteriores (locales).

Mitigación de Envoy

Los usuarios de Envoy que administran sus propios Envoys deben asegurarse de usar la versión 1.22.1 de Envoy. Los usuarios de Envoy que administran sus propios Envoys compilan los objetos binarios desde una fuente como GitHub y los implementan.

No deben realizar ninguna acción los usuarios que ejecutan Envoys administrados (Google Cloud proporciona los objetos binarios de Envoy), para los que los productos de la nube cambiarán a la versión 1.22.1.

Alta

CVE-2022-29225
Descripción Gravedad Notas

Posible eliminación de referencia de puntero nulo en GrpcHealthCheckerImpl.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4.

Mitigación de Cloud Service Mesh

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Si usas Cloud Service Mesh v1.10 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.11 o una versión posterior. Para obtener más información, consulta Actualiza desde versiones anteriores (GKE) o Actualiza desde versiones anteriores (locales).

Mitigación de Envoy

Los usuarios de Envoy que administran sus propios Envoys deben asegurarse de usar la versión 1.22.1 de Envoy. Los usuarios de Envoy que administran sus propios Envoys compilan los objetos binarios desde una fuente como GitHub y los implementan.

No deben realizar ninguna acción los usuarios que ejecutan Envoys administrados (Google Cloud proporciona los objetos binarios de Envoy), para los que los productos de la nube cambiarán a la versión 1.22.1.

Media

CVE-2021-29224
Descripción Gravedad Notas

El filtro OAuth permite la omisión trivial.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4.

Aunque Cloud Service Mesh no admite filtros de Envoy, es posible que te veas afectado si usas un filtro de OAuth.

Mitigación de Cloud Service Mesh

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Si usas Cloud Service Mesh v1.10 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.11 o una versión posterior. Para obtener más información, consulta Actualiza desde versiones anteriores (GKE) o Actualiza desde versiones anteriores (locales).

Mitigación de Envoy

Los usuarios de Envoy que administran sus propios Envoy y también usan el filtro de OAuth deben asegurarse de usar la versión 1.22.1 de Envoy. Los usuarios de Envoy que administran sus propios Envoys compilan los objetos binarios desde una fuente como GitHub y los implementan.

No deben realizar ninguna acción los usuarios que ejecutan Envoys administrados (Google Cloud proporciona los objetos binarios de Envoy), para los que los productos de la nube cambiarán a la versión 1.22.1.

Crítico

CVE-2021-29226
Descripción Gravedad Notas

El filtro OAuth puede dañar la memoria (versiones anteriores) o activar un ASSERT() (versiones posteriores).

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4.

Aunque Cloud Service Mesh no admite filtros de Envoy, es posible que te veas afectado si usas un filtro de OAuth.

Mitigación de Cloud Service Mesh

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Si usas Cloud Service Mesh v1.10 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.11 o una versión posterior.

Mitigación de Envoy

Los usuarios de Envoy que administran sus propios Envoy y también usan el filtro de OAuth deben asegurarse de usar la versión 1.22.1 de Envoy. Los usuarios de Envoy que administran sus propios Envoys compilan los objetos binarios desde una fuente como GitHub y los implementan.

No deben realizar ninguna acción los usuarios que ejecutan Envoys administrados (Google Cloud proporciona los objetos binarios de Envoy), para los que los productos de la nube cambiarán a la versión 1.22.1.

Alta

CVE-2022-29228
Descripción Gravedad Notas

Los redireccionamientos internos fallan para las solicitudes con cuerpo o trailers.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.13.4-asm.4, 1.12.7-asm.2 o 1.11.8-asm.4.

Mitigación de Cloud Service Mesh

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Si usas Cloud Service Mesh v1.10 o una versión anterior, tu versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.11 o una versión posterior. Para obtener más información, consulta Actualiza desde versiones anteriores (GKE) o Actualiza desde versiones anteriores (locales).

Mitigación de Envoy

Los usuarios de Envoy que administran sus propios Envoys deben asegurarse de usar la versión 1.22.1 de Envoy. Los usuarios de Envoy que administran sus propios Envoys compilan los objetos binarios desde una fuente como GitHub y los implementan.

No deben realizar ninguna acción los usuarios que ejecutan Envoys administrados (Google Cloud proporciona los objetos binarios de Envoy), para los que los productos de la nube cambiarán a la versión 1.22.1.

Alta

CVE-2022-29227

GCP-2022-010

Fecha de publicación: 10/03/2022
Última actualización: 16/03/2022
Descripción Gravedad Notas

El plano de control de Istio, istiod, es vulnerable a un error de procesamiento de solicitudes, lo que permite que un atacante malicioso envíe un mensaje creado especialmente a fin de que el plano de control falle cuando el webhook de validación para un clúster se expone públicamente. Este extremo se entrega a través del puerto TLS 15017, pero no requiere ninguna autenticación del atacante.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Todas las versiones de Cloud Service Mesh se ven afectadas por esta CVE.

Nota: Si usas el plano de control administrado, esta vulnerabilidad ya se corrigió y no te verás afectado.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.5-asm.0
  • 1.11.8-asm.0
  • 1.10.6-asm.2

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Alta

CVE-2022-24726

GCP-2022-007

Publicado: 22/02/2022
Descripción Gravedad Notas

Istiod falla cuando recibe solicitudes con un encabezado authorization creado especialmente.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1.

Nota: Si usas el plano de control administrado, esta vulnerabilidad ya se corrigió y no te verás afectado.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Alta

CVE-2022-23635
Descripción Gravedad Notas

Posible eliminación de referencia de puntero nulo cuando se usa la coincidencia del filtro safe_regex de JWT.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1.
  • Aunque Cloud Service Mesh no admite filtros de Envoy, es posible que te veas afectado si usas el regex de filtro de JWT.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Media

CVE-2021-43824
Descripción Gravedad Notas

Uso gratuito después de que los filtros de respuesta aumentan los datos de respuesta, y el aumento de los datos supera los límites de búfer descendente.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1.
  • Aunque Cloud Service Mesh no admite filtros de Envoy, es posible que te veas afectado si usas un filtro de descompresión.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Media

CVE-2021-43825
Descripción Gravedad Notas

Uso gratuito después de establecer una tunelización de TCP a HTTP, si la conexión descendente se desconecta durante el establecimiento de la conexión ascendente.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1.
  • Aunque Cloud Service Mesh no admite filtros de Envoy, es posible que te veas afectado si usas un filtro de tunelización.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Media

CVE-2021-43826
Descripción Gravedad Notas

Un control de configuración incorrecto permite la reutilización de la sesión de mTLS sin revalidación después de que haya cambiado la configuración de validación.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1.
  • Todos los servicios de Cloud Service Mesh que usan mTLS se ven afectados por esta CVE.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Alta

CVE-2022-21654
Descripción Gravedad Notas

Control incorrecto de redireccionamientos internos a rutas con una entrada de respuesta directa.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.12.4-asm.1, 1.11.7-asm.1 o 1.10.6-asm.1.
  • Aunque Cloud Service Mesh no admite filtros de Envoy, es posible que te veas afectado si usas un filtro de respuesta directa.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Alta

CVE-2022-21655
Descripción Gravedad Notas

Agotamiento de la pila cuando se borra un clúster mediante el servicio de descubrimiento de clústeres.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.12.4-asm.1 o 1.11.7-asm.1.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.12.4-asm.1
  • 1.11.7-asm.1

Si usas Cloud Service Mesh v1.9 o una versión anterior, debes saber que esa versión llegó al final del ciclo de vida y ya no es compatible. Estas correcciones de CVE no se portaron a versiones anteriores. Debes actualizar a Cloud Service Mesh 1.10 o una versión posterior.

Media

CVE-2022-23606

GCP-2021-016

Publicada: 24 de agosto de 2021
Descripción Gravedad Notas

Istio contiene una vulnerabilidad que se puede usar a nivel remoto en la que una solicitud HTTP con un fragmento (una sección al final de un URI que comienza con un carácter #) en la ruta del URI podría omitir las políticas de autorización de la ruta basada en URI de Istio.

Por ejemplo, una política de autorización de Istio rechaza las solicitudes enviadas a la ruta del URI /user/profile. En las versiones vulnerables, una solicitud con la ruta de acceso de URI /user/profile#section1 omite la política de denegación y se enruta al backend (con la ruta de URI normalizada /user/profile%23section1), lo que genera un incidente de seguridad.

Esta corrección depende de una corrección en Envoy, que está asociada con CVE-2021-32779.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Con las versiones nuevas, la parte del fragmento del URI de la solicitud se quita antes de la autorización y el enrutamiento. Esto evita que una solicitud con un fragmento en su URI omita las políticas de autorización basadas en el URI sin la parte del fragmento.

Inhabilitar

Si inhabilitas este comportamiento nuevo, se conserva la sección de fragmentos del URI. Para inhabilitarlo, puedes configurar la instalación de la siguiente manera: 

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: opt-out-fragment-cve-fix
  namespace: istio-system
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false"

Nota: Si inhabilitas este comportamiento, tu clúster será vulnerable a esta CVE.

Alto

CVE-2021-39156
Descripción Gravedad Notas

Istio contiene una vulnerabilidad que se puede usar de forma remota, en la que una solicitud HTTP podría omitir una política de autorización de Istio cuando se usan reglas basadas en hosts o notHosts.

En las versiones vulnerables, la política de autorización de Istio compara los encabezados HTTP Host o :authority distinguiendo mayúsculas de minúsculas, lo que no concuerda con RFC 4343. Por ejemplo, el usuario podría tener una política de autorización que rechace las solicitudes con el host secret.com, pero el atacante puede omitir esto mediante el envío de la solicitud en el nombre de host Secret.com. El flujo de enrutamiento enruta el tráfico al backend de secret.com, lo que provoca un incidente de seguridad.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Esta mitigación garantiza que los encabezados HTTP Host o :authority se evalúen según las especificaciones hosts o notHosts en las políticas de autorización para que no distingan entre mayúsculas y minúsculas.

Alto

CVE-2021-39155
Descripción Gravedad Notas

Envoy contiene una vulnerabilidad que se puede usar de forma remota y que una solicitud HTTP con varios encabezados de valor puede realizar una verificación de política de autorización incompleta cuando se usa la extensión ext_authz. Cuando un encabezado de la solicitud contiene varios valores, el servidor de autorización externo solo verá el último valor del encabezado especificado.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa versiones de parche de Cloud Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 y 1.10.4-asm.6.
  • Usa la función de autorización externa.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Alto

CVE-2021-32777
Descripción Gravedad Notas

Envoy contiene una vulnerabilidad que se puede usar de forma remota y afecta a las extensiones decompressor, json-transcoder o grpc-web de Envoy, o que modifican y aumentan el tamaño de los cuerpos de las solicitudes o respuestas. Modifica y aumenta el tamaño del cuerpo en la extensión de Envoy más allá del tamaño del búfer interno podría provocar que Envoy acceda a la memoria desasignada y finalice de forma anormal.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen las siguientes condiciones:

  • Usa las versiones de parche de Cloud Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 y 1.10.4-asm.6.
  • Usa EnvoyFilters.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Alto

CVE-2021-32781
Descripción Gravedad Notas

Envoy contiene una vulnerabilidad que se puede aprovechar de forma remota, en la que un cliente de Envoy que abre y, luego, restablece una gran cantidad de solicitudes HTTP/2 puede generar un consumo excesivo de CPU.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa versiones de parche de Cloud Service Mesh anteriores a 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1 y 1.10.4-asm.6.

Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.10.4-asm.6
  • 1.9.8-asm.1

Nota: Si usas Cloud Service Mesh 1.8 o una versión anterior, actualiza a las versiones de parche más recientes de Cloud Service Mesh 1.9 y versiones posteriores para mitigar esta vulnerabilidad.

Alta

CVE-2021-32778
Descripción Gravedad Notas

Envoy contiene una vulnerabilidad que se puede aprovechar de forma remota, en la que un servicio ascendente no confiable podría provocar que Envoy finalice de forma anormal mediante el envío del marco GOAWAY seguido del marco SETTINGS con el parámetro SETTINGS_MAX_CONCURRENT_STREAMS establecido en 0.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si usa Cloud Service Mesh 1.10 con una versión de parche anterior a la 1.10.4-asm.6.

Mitigación

Actualiza tu clúster a la siguiente versión de parche:

  • 1.10.4-asm.6

Alto

CVE-2021-32780

GCP-2021-012

Publicado el 24 de junio de 2021
Descripción Gravedad Notas

La Gateway segura de Istio o las cargas de trabajo que usan DestinationRule pueden cargar certificados y claves privadas TLS desde los secretos de Kubernetes a través de la configuración credentialName. En Istio 1.8 y versiones posteriores, los secretos se leen desde istiod y se transmiten a las puertas de enlace y las cargas de trabajo a través de XDS.

Por lo general, una implementación de carga de trabajo o puerta de enlace solo puede acceder a certificados y claves privadas TLS almacenados en el secreto de su espacio de nombres. Sin embargo, un error en istiod permite que un cliente con autorización para acceder a la API de Istio XDS recupere cualquier certificado y clave privada TLS almacenados en caché en istiod. Esta vulnerabilidad de seguridad solo afecta a las versiones secundarias 1.8 y 1.9 de Cloud Service Mesh.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Tu clúster se ve afectado si se cumplen TODAS las condiciones que se indican a continuación:

  • Usa una versión 1.9.x anterior a 1.9.6-asm.1 o una versión 1.8.x anterior a 1.8.6-asm.4.
  • Definió Gateways o DestinationRules con el campo credentialName especificado.
  • No especifica la marca istiod PILOT_ENABLE_XDS_CACHE=false.
Mitigación

Actualiza el clúster a una de las siguientes versiones de parche:

  • 1.9.6-asm.1
  • 1.8.6-asm.4

Si no es posible actualizar, puedes mitigar esta vulnerabilidad inhabilitando el almacenamiento en caché istiod. Para inhabilitar el almacenamiento en caché, configura la variable de entorno istiod como PILOT_ENABLE_XDS_CACHE=false. El rendimiento del sistema y de istiod puede verse afectado porque esta acción inhabilita el almacenamiento en caché de XDS.

Alto

CVE-2021-34824

GCP-2021-008

Fecha de publicación: 17 de mayo de 2021
Descripción Gravedad Notas

Istio contiene una vulnerabilidad que se puede aprovechar de forma remota, en la que un cliente externo puede acceder a servicios inesperados en el clúster y, así, omitir las verificaciones de autorización cuando una puerta de enlace se configura con la configuración de enrutamiento AUTO_PASSTHROUGH.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Esta vulnerabilidad solo afecta el uso del tipo de puerta de enlace AUTO_PASSTHROUGH, que suele usarse solo en implementaciones de varias redes y varios clústeres.

Usa el siguiente comando para detectar el modo TLS de todas las puertas de enlace del clúster: 

kubectl get gateways.networking.istio.io -A -o \
  "custom-columns=NAMESPACE:.metadata.namespace, \
  NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode"

Si el resultado muestra alguna puerta de enlace AUTO_PASSTHROUGH, es posible que se vea afectado.

Mitigación

Actualiza tus clústeres a las versiones más recientes de Cloud Service Mesh:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* Nota: El lanzamiento del plano de control administrado de Cloud Service Mesh (disponible solo en las versiones 1.9.x) se completará en los próximos días.

Alta

CVE-2021-31921

GCP-2021-007

Fecha de publicación: 17 de mayo de 2021
Descripción Gravedad Notas

Istio contiene una vulnerabilidad con capacidad de accesibilidad remota en la que una solicitud HTTP con múltiples barras o caracteres de barra con escape (%2F o %5C) podría omitir una política de autorización de Istio cuando se usan reglas de autorización basadas en la ruta.

En una situación en la que un administrador de clúster de Istio define una política de DENEGACIÓN de autorización para rechazar la solicitud a la ruta "/admin", la política de autorización NO rechazará una solicitud enviada a la ruta de URL "//admin".

Según el RFC 3986, la ruta "//admin" con varias barras técnicamente debe tratarse como una ruta diferente a "/admin". Sin embargo, algunos servicios de backend eligen normalizar las rutas de URL mediante la combinación de varias barras en una sola barra. Esto puede ocasionar una omisión de la política de autorización ("//admin" no coincide con "/admin") y un usuario puede acceder al recurso en la ruta "/admin" del backend.

¿Qué debo hacer?

Verifica si tus clústeres se ven afectados

Esta vulnerabilidad afecta a tu clúster si tienes políticas de autorización que usen patrones “ALLOW action + notPaths field” o “DENY action + paths field”. Estos patrones son vulnerables a omisiones de políticas inesperadas, y debes actualizar para solucionar el problema de seguridad lo antes posible.

El siguiente es un ejemplo de una política vulnerable que usa el patrón "DENY action + paths field": 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-path-admin
spec:
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/admin"]

El siguiente es otro ejemplo de política vulnerable que usa el patrón "ALLOW action + notPaths field": 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-path-not-admin
spec:
  action: ALLOW
  rules:
  - to:
    - operation:
        notPaths: ["/admin"]

Esta vulnerabilidad no afecta a tu clúster si ocurre lo siguiente:

  • No tienes políticas de autorización.
  • Las políticas de autorización no definen campos paths o notPaths.
  • Tus políticas de autorización usan patrones “ALLOW action + paths field” o patrones de “DENY action + notPaths field”. Estos patrones solo podrían provocar un rechazo inesperado en lugar de omisiones de políticas.

    • La actualización es opcional para estos casos.

Mitigación

Actualiza tus clústeres a las versiones compatibles más recientes de Cloud Service Mesh*. Estas versiones admiten la configuración de los proxies de Envoy en el sistema con más opciones de normalización:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* Nota: El lanzamiento del plano de control administrado de Cloud Service Mesh (disponible solo en las versiones 1.9.x) se completará en los próximos días.

Sigue la guía de prácticas recomendadas de seguridad de Istio para configurar tus políticas de autorización.

Alto

CVE-2021-31920

GCP-2021-004

Fecha de publicación: 6 de mayo de 2021
Descripción Gravedad Notas

Recientemente, los proyectos de Envoy y Istio anunciaron varias vulnerabilidades de seguridad nuevas (CVE-2021-28682, CVE-2021-28683 y CVE-2021-29258), que podrían permitir que un atacante bloquee Envoy y, posiblemente, renderizar partes del clúster inaccesible y sin conexión

Esto afecta los servicios entregados, como Cloud Service Mesh.

¿Qué debo hacer?

Para solucionar estas vulnerabilidades, actualiza tu paquete de Cloud Service Mesh a una de las siguientes versiones de parche:

  • 1.9.3-asm.2
  • 1.8.5-asm.2
  • 1.7.8-asm.1
  • 1.6.14-asm.2

Para obtener más información, consulta las notas de la versión de Cloud Service Mesh.

Alta

CVE-2021-28682
CVE-2021-28683
CVE-2021-29258