您目前查看的是已封存的 1.21 版服務網格說明文件。

可觀看版本

Cloud Service Mesh 最新版本
 Cloud Service Mesh 1.28 封存版本
 Cloud Service Mesh 1.27 封存版本
 Cloud Service Mesh 1.26 封存版本
 Cloud Service Mesh 1.25 封存版本
 Cloud Service Mesh 1.24 封存版本
 Cloud Service Mesh 1.23 封存版本
 Cloud Service Mesh 1.22 封存版本
 Cloud Service Mesh 1.21 封存版本
 Cloud Service Mesh 1.20 封存版本
 Anthos 服務網格 1.19 封存版本

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

安全性公告

使用這個 XML 動態饋給訂閱 Cloud Service Mesh 安全性公告。

本頁列出 Cloud Service Mesh 的安全性公告。

GCP-2026-067

發布日期：2026 年 10 月 12 日

說明嚴重性附註

說明	嚴重性	附註
修正 Envoy Proxy 中異常終止的程序。當 HTTP 篩選器 (例如使用 `route_cache_action: RETAIN` 設定的 `ext_proc`) 在選取路徑後，將 `:path` 標頭變更為比使用 `prefix_rewrite` 設定的路徑上相符路徑前置字串短的字串時，就會發生這種情況。該怎麼辦？檢查叢集是否受到影響叢集內 Cloud Service Mesh 1.30 和 1.29 版會受到這個安全漏洞影響。叢集內 Cloud Service Mesh 1.28 版不受影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.30.5-asm.8 1.29.8-asm.8 如果您使用的是 Cloud Service Mesh 1.27 版或更早版本，該版本已停用，不再提供支援。請升級至支援的版本。如果是代管 Cloud Service Mesh，客戶不需採取任何行動。系統會自動更新。	高	envoyproxy/envoy#47841

修正 Envoy Proxy 中異常終止的程序。當 HTTP 篩選器 (例如使用 route_cache_action: RETAIN 設定的 ext_proc) 在選取路徑後，將 :path 標頭變更為比使用 prefix_rewrite 設定的路徑上相符路徑前置字串短的字串時，就會發生這種情況。

該怎麼辦？

檢查叢集是否受到影響

叢集內 Cloud Service Mesh 1.30 和 1.29 版會受到這個安全漏洞影響。叢集內 Cloud Service Mesh 1.28 版不受影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.30.5-asm.8
1.29.8-asm.8

如果您使用的是 Cloud Service Mesh 1.27 版或更早版本，該版本已停用，不再提供支援。請升級至支援的版本。

如果是代管 Cloud Service Mesh，客戶不需採取任何行動。系統會自動更新。

高

envoyproxy/envoy#47841

GCP-2026-057

發布日期：2026 年 8 月 26 日

說明	嚴重性	附註
修正問題：不受信任的上游將不含 END_STREAM 標記的 HTTP/2 回應尾部傳送至 oghttp2 執行個體時，可能會導致串流狀態損毀，並造成程序異常終止。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-73513

說明

嚴重性

附註

修正問題：不受信任的上游將不含 END_STREAM 標記的 HTTP/2 回應尾部傳送至 oghttp2 執行個體時，可能會導致串流狀態損毀，並造成程序異常終止。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-73513

說明	嚴重性	附註
修正 safe_regex 比對將非 UTF-8 HTTP 標頭位元組視為一般不相符，導致使用排除比對邏輯的 RBAC 政策無法開啟的問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-73552

說明

嚴重性

附註

修正 safe_regex 比對將非 UTF-8 HTTP 標頭位元組視為一般不相符，導致使用排除比對邏輯的 RBAC 政策無法開啟的問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-73552

說明	嚴重性	附註
修正 QUIC HTTP 資料包處理常式中的 use-after-free 問題。使用 Capsule Protocol 的要求可能會在 HTTP/3 資料包仍參照要求時，毀損其串流解碼器。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-73512

說明

嚴重性

附註

修正 QUIC HTTP 資料包處理常式中的 use-after-free 問題。使用 Capsule Protocol 的要求可能會在 HTTP/3 資料包仍參照要求時，毀損其串流解碼器。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-73512

說明	嚴重性	附註
修正 ext_authz 篩選器在處理沒有 :path 虛擬標頭的 CONNECT 要求時，程序異常終止的問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-73547

說明

嚴重性

附註

修正 ext_authz 篩選器在處理沒有 :path 虛擬標頭的 CONNECT 要求時，程序異常終止的問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-73547

說明	嚴重性	附註
修正原始 DST 叢集中，處理 HTTP/3 要求時，範圍內 IPv6 位址處理程序異常終止的問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-73549

說明

嚴重性

附註

修正原始 DST 叢集中，處理 HTTP/3 要求時，範圍內 IPv6 位址處理程序異常終止的問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-73549

說明	嚴重性	附註
修正 ext_authz 原始 HTTP 用戶端在使用本機拒絕回覆完成授權要求時，出現釋放後使用錯誤的問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-50572

說明

嚴重性

附註

修正 ext_authz 原始 HTTP 用戶端在使用本機拒絕回覆完成授權要求時，出現釋放後使用錯誤的問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-50572

說明	嚴重性	附註
修正 HTML 統計資料介面 (/stats?format=html) 中儲存的跨網站指令碼問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-73546

說明

嚴重性

附註

修正 HTML 統計資料介面 (/stats?format=html) 中儲存的跨網站指令碼問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-73546

說明	嚴重性	附註
修正了在選取以 ALPN 為基礎的 HTTP/3 連線集區時，因取消參照空值傳輸通訊端選項而導致程序異常終止的問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-48521

說明

嚴重性

附註

修正了在選取以 ALPN 為基礎的 HTTP/3 連線集區時，因取消參照空值傳輸通訊端選項而導致程序異常終止的問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-48521

說明	嚴重性	附註
修正含有參數的點和點點路徑片段的網址正規化，這類片段可能允許略過以路徑為基礎的授權政策。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-73551

說明

嚴重性

附註

修正含有參數的點和點點路徑片段的網址正規化，這類片段可能允許略過以路徑為基礎的授權政策。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-73551

說明	嚴重性	附註
在路徑區隔中一致套用參數移除功能，修正包含每個區隔矩陣參數的路徑比對。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-73511

說明

嚴重性

附註

在路徑區隔中一致套用參數移除功能，修正包含每個區隔矩陣參數的路徑比對。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-73511

說明	嚴重性	附註
修正涉及一般非 WebSocket HTTP 升級的跨使用者回應中毒問題，方法是暫停酬載，直到升級獲得接受為止。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-73548

說明

嚴重性

附註

修正涉及一般非 WebSocket HTTP 升級的跨使用者回應中毒問題，方法是暫停酬載，直到升級獲得接受為止。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-73548

說明	嚴重性	附註
修正 HTTP/2 記憶體耗盡問題，即捨棄的重複主機標頭未納入要求標頭限制，導致 Proxy 可能終止。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-73550

說明

嚴重性

附註

修正 HTTP/2 記憶體耗盡問題，即捨棄的重複主機標頭未納入要求標頭限制，導致 Proxy 可能終止。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-73550

說明	嚴重性	附註
確保 RBAC 路徑比對器套用與轉送相同的路徑參數處理方式，修正啟用 ignore_path_parameters_in_path_matching 時的授權略過問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.7-asm.2 1.28.10-asm.24 1.27.9-asm.34 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-73553

說明

嚴重性

附註

確保 RBAC 路徑比對器套用與轉送相同的路徑參數處理方式，修正啟用 ignore_path_parameters_in_path_matching 時的授權略過問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.7-asm.2
1.28.10-asm.24
1.27.9-asm.34

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。升級至 1.27 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-73553

GCP-2026-045

發布日期：2026 年 6 月 29 日

說明	嚴重性	附註
修正以下安全漏洞：遭封鎖的 QPACK 解碼作業可能導致 HTTP/3 堆疊遭受阻斷服務攻擊。該怎麼辦？檢查叢集是否受到影響叢集內的所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.5-asm.5 1.28.9-asm.4 1.27.9-asm.9 如果您使用 Cloud Service Mesh 1.26 版或更早版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。代管 Cloud Service Mesh 不受這個 CVE 影響。	高	GHSA-p7c7-7c47-pwch

說明

嚴重性

附註

修正以下安全漏洞：遭封鎖的 QPACK 解碼作業可能導致 HTTP/3 堆疊遭受阻斷服務攻擊。

該怎麼辦？

檢查叢集是否受到影響

叢集內的所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.5-asm.5
1.28.9-asm.4
1.27.9-asm.9

如果您使用 Cloud Service Mesh 1.26 版或更早版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

代管 Cloud Service Mesh 不受這個 CVE 影響。

高

GHSA-p7c7-7c47-pwch

GCP-2026-040

發布日期：2026 年 6 月 23 日

說明	嚴重性	附註
修正程式會正確捨棄超過大小限制的 TLV。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-47692

說明

嚴重性

附註

修正程式會正確捨棄超過大小限制的 TLV。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-47692

說明	嚴重性	附註
修正封裝回應的 ext_proc 問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-47207

說明

嚴重性

附註

修正封裝回應的 ext_proc 問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-47207

說明	嚴重性	附註
修正每個路徑用戶端 UAF 停止運作的 ext_authz 問題。該怎麼辦？確認叢集是否受到影響只有最新 1.28 和 1.29 版 Cloud Service Mesh 會受到這個 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.28.9-asm.2 1.27.9-asm.8	中	CVE-2026-47205

說明

嚴重性

附註

修正每個路徑用戶端 UAF 停止運作的 ext_authz 問題。

該怎麼辦？

確認叢集是否受到影響

只有最新 1.28 和 1.29 版 Cloud Service Mesh 會受到這個 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.28.9-asm.2
1.27.9-asm.8

中

CVE-2026-47205

說明	嚴重性	附註
修正 REQUESTED_SERVER_NAME 可能導致 Envoy 當機的錯誤。該怎麼辦？確認叢集是否受到影響只有最新的 1.29 Cloud Service Mesh 版本會受到這個 CVE 影響。緩解如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.5-asm.3	高	CVE-2026-47220

說明

嚴重性

附註

修正 REQUESTED_SERVER_NAME 可能導致 Envoy 當機的錯誤。

該怎麼辦？

確認叢集是否受到影響

只有最新的 1.29 Cloud Service Mesh 版本會受到這個 CVE 影響。

緩解

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.5-asm.3

高

CVE-2026-47220

說明	嚴重性	附註
修正處理無主體要求的 HTTP 內部重新導向時發生的問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-47221

說明

嚴重性

附註

修正處理無主體要求的 HTTP 內部重新導向時發生的問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-47221

說明	嚴重性	附註
在解壓縮器內迴圈中強制執行 MaxInflateRatio，防止精心設計的有效負載導致 OOM。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-48044

說明

嚴重性

附註

在解壓縮器內迴圈中強制執行 MaxInflateRatio，防止精心設計的有效負載導致 OOM。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-48044

說明	嚴重性	附註
在篩選器終止時取消權杖用戶端，以免發生 UAF。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-48090

說明

嚴重性

附註

在篩選器終止時取消權杖用戶端，以免發生 UAF。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-48090

說明	嚴重性	附註
修正嵌入式 NUL 位元組 SAN 驗證略過安全漏洞。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-47778

說明

嚴重性

附註

修正嵌入式 NUL 位元組 SAN 驗證略過安全漏洞。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-47778

說明	嚴重性	附註
修正直接回應 grpc 狀態問題。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-47204

說明

嚴重性

附註

修正直接回應 grpc 狀態問題。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-47204

說明	嚴重性	附註
修正查詢名稱長度的健全檢查，避免程序異常終止。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-48497

說明

嚴重性

附註

修正查詢名稱長度的健全檢查，避免程序異常終止。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-48497

說明	嚴重性	附註
修正 TcpStatsdSync 緩衝區溢位問題，該問題會導致狀態名稱過長。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-48706

說明

嚴重性

附註

修正 TcpStatsdSync 緩衝區溢位問題，該問題會導致狀態名稱過長。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-48706

說明	嚴重性	附註
驗證 HTTP/3 僅限標頭的要求和回應內容長度。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-48743

說明

嚴重性

附註

驗證 HTTP/3 僅限標頭的要求和回應內容長度。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內的 Cloud Service Mesh，請升級叢集至下列任一修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-48743

說明	嚴重性	附註
修正 OAuth2 程式碼中的 Padding Oracle。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2026-47775

說明

嚴重性

附註

修正 OAuth2 程式碼中的 Padding Oracle。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2026-47775

說明	嚴重性	附註
限制巢狀結構深度，修正解構函式中的堆疊溢位。該怎麼辦？確認叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.29.5-asm.3 1.28.9-asm.2 1.27.9-asm.8 如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-48042

說明

嚴重性

附註

限制巢狀結構深度，修正解構函式中的堆疊溢位。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.29.5-asm.3
1.28.9-asm.2
1.27.9-asm.8

如果您使用的是 Cloud Service Mesh 1.26 以下版本，該版本已停用，不再提供支援。這個 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-48042

GCP-2026-035

發布日期：2026 年 6 月 8 日

說明	嚴重性	附註
Envoy 的 HTTP/2 下游要求處理程序存在安全漏洞，未經驗證的遠端用戶端可能觸發過度消耗記憶體，導致 Envoy 程序因記憶體不足終止，並造成阻斷攻擊。該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列任一修補版本： 1.28.7-asm.4 1.27.9-asm.5 1.26.8-asm.11 如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這項 CVE 修正尚未向後移植。升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2026-47774

說明

嚴重性

附註

Envoy 的 HTTP/2 下游要求處理程序存在安全漏洞，未經驗證的遠端用戶端可能觸發過度消耗記憶體，導致 Envoy 程序因記憶體不足終止，並造成阻斷攻擊。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列任一修補版本：

1.28.7-asm.4
1.27.9-asm.5
1.26.8-asm.11

如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這項 CVE 修正尚未向後移植。升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2026-47774

GCP-2026-013

發布日期：2026 年 3 月 11 日

說明	嚴重性	附註
修正 RBAC 中的多值標頭略過問題。該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	高	CVE-2026-26308

說明

嚴重性

附註

修正 RBAC 中的多值標頭略過問題。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.28.5-asm.9
1.27.8-asm.7
1.26.8-asm.3

如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

高

CVE-2026-26308

說明	嚴重性	附註
修正可能導致字串空值終止符損毀的差一錯誤寫入問題。該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-26309

說明

嚴重性

附註

修正可能導致字串空值終止符損毀的差一錯誤寫入問題。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.28.5-asm.9
1.27.8-asm.7
1.26.8-asm.3

如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-26309

說明	嚴重性	附註
修正以範圍 IPv6 位址呼叫 `getAddressWithPort()` 時發生的當機問題。該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-26310

說明

嚴重性

附註

修正以範圍 IPv6 位址呼叫 `getAddressWithPort()` 時發生的當機問題。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.28.5-asm.9
1.27.8-asm.7
1.26.8-asm.3

如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-26310

說明	嚴重性	附註
確保下游重設後，decode* 方法會遭到封鎖。該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2026-26311

說明

嚴重性

附註

確保下游重設後，decode* 方法會遭到封鎖。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.28.5-asm.9
1.27.8-asm.7
1.26.8-asm.3

如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的操作說明進行。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2026-26311

說明	嚴重性	附註
修正可能導致當機的回應階段限制錯誤。該怎麼辦？確認叢集是否受到影響只有叢集內 Cloud Service Mesh 1.28.2-asm.4 版會受到這個 CVE 影響。這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列修補版本：>1.28.5-asm.9。如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響代管控制層的 Cloud Service Mesh。	中	CVE-2026-26330

說明

嚴重性

附註

修正可能導致當機的回應階段限制錯誤。

該怎麼辦？

確認叢集是否受到影響

只有叢集內 Cloud Service Mesh 1.28.2-asm.4 版會受到這個 CVE 影響。

這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列修補版本：>1.28.5-asm.9。

如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響代管控制層的 Cloud Service Mesh。

中

CVE-2026-26330

說明	嚴重性	附註
修正 JSON Web Key Set 私密金鑰外洩安全漏洞。該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.28.5-asm.9 1.27.8-asm.7 1.26.8-asm.3 如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	高	CVE-2026-31837

說明

嚴重性

附註

修正 JSON Web Key Set 私密金鑰外洩安全漏洞。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這項 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.28.5-asm.9
1.27.8-asm.7
1.26.8-asm.3

如果您使用的是 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

高

CVE-2026-31837

說明	嚴重性	附註
修正偵錯端點允許跨命名空間 Proxy 資料存取權的錯誤。該怎麼辦？檢查叢集是否受到影響只有叢集內 Cloud Service Mesh 1.27 和 1.28 版會受到這個 CVE 影響。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.28.5-asm.9 1.27.8-asm.7 如果您使用 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.26 以上版本。如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。	中	CVE-2026-31838

說明

嚴重性

附註

修正偵錯端點允許跨命名空間 Proxy 資料存取權的錯誤。

該怎麼辦？

檢查叢集是否受到影響

只有叢集內 Cloud Service Mesh 1.27 和 1.28 版會受到這個 CVE 影響。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.28.5-asm.9
1.27.8-asm.7

如果您使用 Cloud Service Mesh 1.25 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.26 以上版本。

如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。

中

CVE-2026-31838

GCP-2025-073

發布日期：2025 年 12 月 3 日

說明嚴重性附註

說明	嚴重性	附註
`match_typed_subject_alt_names` 的 TLS 憑證比對器可能會誤將含有內嵌空值位元組的憑證視為有效。該怎麼辦？檢查叢集是否受到影響如果叢集使用的叢集內 Cloud Service Mesh 修補程式版本早於下列版本，就會受到影響： 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 這項 CVE 不會影響使用代管控制層的 Cloud Service Mesh。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 如果您使用的是 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。	中	CVE-2025-66220

match_typed_subject_alt_names 的 TLS 憑證比對器可能會誤將含有內嵌空值位元組的憑證視為有效。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的叢集內 Cloud Service Mesh 修補程式版本早於下列版本，就會受到影響：

1.27.4-asm.1
1.26.7-asm.1
1.25.6-asm.1

這項 CVE 不會影響使用代管控制層的 Cloud Service Mesh。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.27.4-asm.1
1.26.7-asm.1
1.25.6-asm.1

如果您使用的是 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。

如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。

中

CVE-2025-66220

說明	嚴重性	附註
如果 JWT 驗證是透過遠端 JWKS 擷取設定，Envoy 就會當機。該怎麼辦？檢查叢集是否受到影響如果叢集使用的叢集內 Cloud Service Mesh 修補程式版本早於下列版本，就會受到影響： 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 如果叢集使用的代管 Cloud Service Mesh 版本低於下列版本，就會受到影響： 1.21.6-asm.7 1.20.8-asm.59 1.19.10-asm.54 緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 如果您使用 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。如要使用代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2025-64527

說明

嚴重性

附註

如果 JWT 驗證是透過遠端 JWKS 擷取設定，Envoy 就會當機。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的叢集內 Cloud Service Mesh 修補程式版本早於下列版本，就會受到影響：

1.27.4-asm.1
1.26.7-asm.1
1.25.6-asm.1

如果叢集使用的代管 Cloud Service Mesh 版本低於下列版本，就會受到影響：

1.21.6-asm.7
1.20.8-asm.59
1.19.10-asm.54

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.27.4-asm.1
1.26.7-asm.1
1.25.6-asm.1

如果您使用 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。

如要使用代管 Cloud Service Mesh，請按照 MSA 中的指示操作。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2025-64527

說明嚴重性附註

說明	嚴重性	附註
升級 `CONNECT` 後，可能因早期資料而發生要求走私。該怎麼辦？檢查叢集是否受到影響如果叢集使用的叢集內 Cloud Service Mesh 修補程式版本早於下列版本，就會受到影響： 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 這項 CVE 不會影響使用代管控制層的 Cloud Service Mesh。緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.27.4-asm.1 1.26.7-asm.1 1.25.6-asm.1 如果您使用的是 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。	中	CVE-2025-64763

升級 CONNECT 後，可能因早期資料而發生要求走私。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的叢集內 Cloud Service Mesh 修補程式版本早於下列版本，就會受到影響：

1.27.4-asm.1
1.26.7-asm.1
1.25.6-asm.1

這項 CVE 不會影響使用代管控制層的 Cloud Service Mesh。

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.27.4-asm.1
1.26.7-asm.1
1.25.6-asm.1

如果您使用的是 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。

如果是代管 Cloud Service Mesh，則無須採取任何行動。這項 CVE 不會影響採用代管控制層的 Cloud Service Mesh。

中

CVE-2025-64763

GCP-2025-064

發布日期：2025 年 10 月 28 日

說明	嚴重性	附註
Lua 篩選器在處理大型回應主體時，可能會導致 Envoy 停止運作。該怎麼辦？確認叢集是否受到影響：如果修補程式版本早於下列版本，叢集就會受到影響： 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 如果您使用 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 如果是代管 Cloud Service Mesh，則不需要採取任何行動。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2025-62504

說明

嚴重性

附註

Lua 篩選器在處理大型回應主體時，可能會導致 Envoy 停止運作。

該怎麼辦？

確認叢集是否受到影響：

如果修補程式版本早於下列版本，叢集就會受到影響：

1.27.2-asm.1
1.26.5-asm.1
1.25.5-asm.9

如果您使用 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.27.2-asm.1
1.26.5-asm.1
1.25.5-asm.9

如果是代管 Cloud Service Mesh，則不需要採取任何行動。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2025-62504

說明	嚴重性	附註
大型要求或回應可能會導致 TCP 連線集區當機。該怎麼辦？確認叢集是否受到影響：如果修補程式版本早於下列版本，叢集就會受到影響： 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 如果您使用 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.27.2-asm.1 1.26.5-asm.1 1.25.5-asm.9 如果是代管 Cloud Service Mesh，則不需要採取任何行動。所有版本仍會受到支援，系統會在接下來幾週內自動更新。	中	CVE-2025-62409

說明

嚴重性

附註

大型要求或回應可能會導致 TCP 連線集區當機。

該怎麼辦？

確認叢集是否受到影響：

如果修補程式版本早於下列版本，叢集就會受到影響：

1.27.2-asm.1
1.26.5-asm.1
1.25.5-asm.9

如果您使用 Cloud Service Mesh 1.24 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。升級至 1.25 以上版本。

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.27.2-asm.1
1.26.5-asm.1
1.25.5-asm.9

如果是代管 Cloud Service Mesh，則不需要採取任何行動。所有版本仍會受到支援，系統會在接下來幾週內自動更新。

中

CVE-2025-62409

GCP-2025-048

發布日期：2025 年 9 月 2 日

說明	嚴重性	附註
DNS 快取中的釋放後使用情況。該怎麼辦？確認叢集是否受到影響只有執行叢集內 Cloud Service Mesh 1.26 版本的叢集會受到影響。如果您執行的是代管 Cloud Service Mesh，則不會受到影響，也不必採取任何行動。緩解措施如果您執行的是叢集內 Cloud Service Mesh 1.26，請將所有受影響的叢集升級至 1.26.4-asm.1。	高	CVE-2025-54588

說明

嚴重性

附註

DNS 快取中的釋放後使用情況。

該怎麼辦？

確認叢集是否受到影響

只有執行叢集內 Cloud Service Mesh 1.26 版本的叢集會受到影響。

如果您執行的是代管 Cloud Service Mesh，則不會受到影響，也不必採取任何行動。

緩解措施

如果您執行的是叢集內 Cloud Service Mesh 1.26，請將所有受影響的叢集升級至 1.26.4-asm.1。

高

CVE-2025-54588

GCP-2024-065

說明	嚴重性	附註
Happy Eyeballs：驗證 additional_address 是 IP 位址，而不是在排序時當機。該怎麼辦？檢查叢集是否受到影響如果修補程式版本早於下列版本，叢集就會受到影響： 1.23.4-asm.1 1.22.7-asm.1 緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.23.4-asm.1 1.22.7-asm.1 如果您使用的是 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 1.21 以上版本。如果是代管 Cloud Service Mesh，則無須採取任何行動。所有版本仍會受到支援，系統會在未來幾週內自動更新。	中	CVE-2024-53269

說明

嚴重性

附註

Happy Eyeballs：驗證 additional_address 是 IP 位址，而不是在排序時當機。

該怎麼辦？

檢查叢集是否受到影響

如果修補程式版本早於下列版本，叢集就會受到影響：

1.23.4-asm.1
1.22.7-asm.1

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.23.4-asm.1
1.22.7-asm.1

如果您使用的是 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 1.21 以上版本。

如果是代管 Cloud Service Mesh，則無須採取任何行動。所有版本仍會受到支援，系統會在未來幾週內自動更新。

中

CVE-2024-53269

說明	嚴重性	附註
HTTP/1：如果事先重設要求，傳送超載會導致當機。該怎麼辦？檢查叢集是否受到影響如果修補程式版本早於下列版本，叢集就會受到影響： 1.23.4-asm.1 1.22.7-asm.1 1.21.5-asm.17 1.20.8-asm.14 1.19.10-asm.24 緩解措施如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本： 1.23.4-asm.1 1.22.7-asm.1 1.21.5-asm.17 如果您使用 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。如果您使用 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.21 以上版本。如果是代管 Cloud Service Mesh，則無須採取任何行動。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2024-53270

說明

嚴重性

附註

HTTP/1：如果事先重設要求，傳送超載會導致當機。

該怎麼辦？

檢查叢集是否受到影響

如果修補程式版本早於下列版本，叢集就會受到影響：

1.23.4-asm.1
1.22.7-asm.1
1.21.5-asm.17
1.20.8-asm.14
1.19.10-asm.24

緩解措施

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

1.23.4-asm.1
1.22.7-asm.1
1.21.5-asm.17

如果您使用 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。如果您使用 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.21 以上版本。

如果是代管 Cloud Service Mesh，則無須採取任何行動。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2024-53270

說明	嚴重性	附註
HTTP/1.1 envoy.reloadable_features.http1_balsa_delay_reset 存在多項問題。該怎麼辦？檢查叢集是否受到影響如果修補程式版本早於下列版本，叢集就會受到影響： 1.23.4-asm.1 緩解如果是叢集內 Cloud Service Mesh，請將叢集升級至下列任一修補版本： 1.23.4-asm.1 如果您使用的是 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。如果您使用的是 Cloud Service Mesh 1.20 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.21 以上版本。如果是代管 Cloud Service Mesh，則無須採取任何行動。所有版本仍會受到支援，系統會在未來幾週內自動更新。	高	CVE-2024-53271

說明

嚴重性

附註

HTTP/1.1 envoy.reloadable_features.http1_balsa_delay_reset 存在多項問題。

該怎麼辦？

檢查叢集是否受到影響

如果修補程式版本早於下列版本，叢集就會受到影響：

1.23.4-asm.1

緩解

如果是叢集內 Cloud Service Mesh，請將叢集升級至下列任一修補版本：

1.23.4-asm.1

如果您使用的是 Cloud Service Mesh 1.20 版或更早版本，該版本已停用，不再提供支援。如果您使用的是 Cloud Service Mesh 1.20 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 1.21 以上版本。

如果是代管 Cloud Service Mesh，則無須採取任何行動。所有版本仍會受到支援，系統會在未來幾週內自動更新。

高

CVE-2024-53271

GCP-2024-052

發布日期：2024 年 9 月 19 日

說明	嚴重性	附註
oghttp2 crash on OnBeginHeadersForStream 該怎麼辦？確認叢集是否受到影響只有執行 Cloud Service Mesh 1.23 版的叢集會受到影響緩解 Cloud Service Mesh 1.23.2-asm.2 包含這個問題的修正程式。您無須採取任何行動。	高	CVE-2024-45807

說明

嚴重性

附註

oghttp2 crash on OnBeginHeadersForStream

該怎麼辦？

確認叢集是否受到影響

只有執行 Cloud Service Mesh 1.23 版的叢集會受到影響

緩解

Cloud Service Mesh 1.23.2-asm.2 包含這個問題的修正程式。您無須採取任何行動。

高

CVE-2024-45807

說明	嚴重性	附註
透過存取記錄注入惡意記錄該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解將叢集升級至下列其中一個修補版本： 1.20.8-asm.7 1.21.5-asm.7 1.22.5-asm.1 1.23.2-asm.2	中	CVE-2024-45808

說明

嚴重性

附註

透過存取記錄注入惡意記錄

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

將叢集升級至下列其中一個修補版本：

1.20.8-asm.7
1.21.5-asm.7
1.22.5-asm.1
1.23.2-asm.2

中

CVE-2024-45808

說明	嚴重性	附註
可能從外部來源操控「x-envoy」標頭該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解將叢集升級至下列其中一個修補版本： 1.20.8-asm.7 1.21.5-asm.7 1.22.5-asm.1 1.23.2-asm.2	中	CVE-2024-45806

說明

嚴重性

附註

可能從外部來源操控「x-envoy」標頭

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

將叢集升級至下列其中一個修補版本：

1.20.8-asm.7
1.21.5-asm.7
1.22.5-asm.1
1.23.2-asm.2

中

CVE-2024-45806

說明	嚴重性	附註
使用遠端 JWK 清除路徑快取時，JWT 篩選器會異常終止該怎麼辦？檢查叢集是否受到影響所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。緩解將叢集升級至下列其中一個修補版本： 1.20.8-asm.7 1.21.5-asm.7 1.22.5-asm.1 1.23.2-asm.2	中	CVE-2024-45809

說明

嚴重性

附註

使用遠端 JWK 清除路徑快取時，JWT 篩選器會異常終止

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

將叢集升級至下列其中一個修補版本：

1.20.8-asm.7
1.21.5-asm.7
1.22.5-asm.1
1.23.2-asm.2

中

CVE-2024-45809

說明

嚴重性

附註

Envoy 在 HTTP 非同步用戶端中因 LocalReply 異常終止

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解

將叢集升級至下列其中一個修補版本：

1.20.8-asm.7
1.21.5-asm.7
1.22.5-asm.1
1.23.2-asm.2

中

CVE-2024-45810

GCP-2024-032

發布日期：2024 年 6 月 24 日

說明

嚴重性

附註

Envoy 錯誤地接受進入升級模式的 HTTP 200 回應。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天自動更新。

否則，請將叢集升級至下列其中一個修補版本：

v1.21.3-asm.3
v1.20.7-asm.2
v1.19.10-asm.6
v1.18.7-asm.26
如果您使用 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

中

CVE-2024-23326

說明

嚴重性

附註

EnvoyQuicServerStream::OnInitialHeadersComplete() 異常終止。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天自動更新。

否則，請將叢集升級至下列其中一個修補版本：

v1.21.3-asm.3
v1.20.7-asm.2
v1.19.10-asm.6
v1.18.7-asm.26
如果您使用 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

中

CVE-2024-32974

說明

嚴重性

附註

QuicheDataReader::PeekVarInt62Length() 異常終止。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天自動更新。

否則，請將叢集升級至下列其中一個修補版本：

v1.21.3-asm.3
v1.20.7-asm.2
v1.19.10-asm.6
v1.18.7-asm.26
如果您使用 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

中

CVE-2024-32975

說明

嚴重性

附註

解壓縮 Brotli 資料時，若有額外輸入內容，會導致無限迴圈。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天自動更新。

否則，請將叢集升級至下列其中一個修補版本：

v1.21.3-asm.3
v1.20.7-asm.2
v1.19.10-asm.6
v1.18.7-asm.26
如果您使用的是 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

高

CVE-2024-32976

說明

嚴重性

附註

EnvoyQuicServerStream 中發生異常終止 (use-after-free)。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天自動更新。

否則，請將叢集升級至下列其中一個修補版本：

v1.21.3-asm.3
v1.20.7-asm.2
v1.19.10-asm.6
v1.18.7-asm.26
如果您使用 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

中

CVE-2024-34362

說明

嚴重性

附註

因未偵測到的 nlohmann JSON 例外狀況而當機。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天自動更新。

否則，請將叢集升級至下列其中一個修補版本：

v1.21.3-asm.3
v1.20.7-asm.2
v1.19.10-asm.6
v1.18.7-asm.26
如果您使用的是 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

高

CVE-2024-34363

說明

嚴重性

附註

Envoy 記憶體不足向量來自 HTTP 非同步用戶端，具有無限制的回應緩衝區，用於鏡像回應。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天自動更新。

否則，請將叢集升級至下列其中一個修補版本：

v1.21.3-asm.3
v1.20.7-asm.2
v1.19.10-asm.6
v1.18.7-asm.26
如果您使用 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

中

CVE-2024-34364

GCP-2024-023

發布日期：2024 年 4 月 24 日

說明

嚴重性

附註

HTTP/2：因 CONTINUATION 框架大量湧入而導致記憶體耗盡。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是代管 Cloud Service Mesh，則不必採取任何行動。系統會在未來幾天內自動更新。

如果您執行的是叢集內 Cloud Service Mesh，則必須將叢集升級至下列其中一個修補版本：

1.20.6-asm.0
1.19.10-asm.0
1.18.7-asm.21

如果您使用 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

高

CVE-2024-27919

說明

嚴重性

附註

HTTP/2：因 CONTINUATION 框架溢出而導致 CPU 耗盡

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是代管 Cloud Service Mesh，則不必採取任何行動。系統會在未來幾天內自動更新。

如果您執行的是叢集內 Cloud Service Mesh，則必須將叢集升級至下列其中一個修補版本：

1.20.6-asm.0
1.19.10-asm.0
1.18.7-asm.21

如果您使用的是 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議升級至 Cloud Service Mesh 1.18 以上版本。

中

CVE-2024-30255

說明嚴重性附註

使用 auto_sni 時，如果「:authority」標頭超過 255 個字元，就會異常終止。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是代管 Cloud Service Mesh，則不必採取任何行動。系統會在未來幾天內自動更新。

如果您執行的是叢集內 Cloud Service Mesh，則必須將叢集升級至下列其中一個修補版本：

1.20.6-asm.0
1.19.10-asm.0
1.18.7-asm.21

如果您使用 Cloud Service Mesh 1.17 版或更舊版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.18 以上版本。

高

CVE-2024-32475

說明

嚴重性

附註

HTTP/2 CONTINUATION 框架可用於發動阻斷服務攻擊。

該怎麼辦？

檢查叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

緩解措施

如果您執行的是代管 Cloud Service Mesh，則不必採取任何行動。系統會在未來幾天內自動更新。

如果您執行的是叢集內 Cloud Service Mesh，則必須將叢集升級至下列其中一個修補版本：

1.20.6-asm.0
1.19.10-asm.0
1.18.7-asm.21

如果您使用的是 Cloud Service Mesh 1.17 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 v1.18 以上版本。

未提供

CVE-2023-45288

GCP-2024-007

發布日期：2024 年 2 月 8 日

說明

嚴重性

附註

閒置時 Envoy 會當機，且每次嘗試的要求逾時時間會發生在輪詢間隔內。

該怎麼辦？

如果您執行的是代管 Cloud Service Mesh，則不需採取任何行動。系統會在未來幾天內自動更新。

如果您在叢集內執行 Cloud Service Mesh，請務必將叢集升級至下列其中一個修補版本：

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

如果您使用的是 Anthos 服務網格 1.17 以下版本，該版本已產品停產，不再提供支援。雖然這些 CVE 修正程式已向後移植到 1.17，但建議您升級至 1.18 以上版本。

高

CVE-2024-23322

說明

嚴重性

附註

使用規則運算式設定 URI 範本比對器時，CPU 使用率過高。

該怎麼辦？

如果您執行的是代管 Cloud Service Mesh，則不需採取任何行動。系統會在未來幾天內自動更新。

如果您在叢集內執行 Cloud Service Mesh，請務必將叢集升級至下列其中一個修補版本：

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

中

CVE-2024-23323

說明

嚴重性

附註

當 Proxy 通訊協定篩選器設定無效的 UTF-8 中繼資料時，外部授權可能會遭到略過。

該怎麼辦？

如果您執行的是代管 Cloud Service Mesh，則不需採取任何行動。系統會在未來幾天內自動更新。

如果您在叢集內執行 Cloud Service Mesh，請務必將叢集升級至下列其中一個修補版本：

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

高

CVE-2024-23324

說明

嚴重性

附註

使用作業系統不支援的位址類型時，Envoy 會當機。

該怎麼辦？

如果您執行的是代管 Cloud Service Mesh，則不需採取任何行動。系統會在未來幾天內自動更新。

如果您在叢集內執行 Cloud Service Mesh，請務必將叢集升級至下列其中一個修補版本：

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

高

CVE-2024-23325

說明嚴重性附註

指令類型為 LOCAL 時，Proxy 通訊協定發生異常終止。

該怎麼辦？

如果您執行的是代管 Cloud Service Mesh，則不需採取任何行動。系統會在未來幾天內自動更新。

如果您在叢集內執行 Cloud Service Mesh，請務必將叢集升級至下列其中一個修補版本：

1.20.3-asm.4
1.19.7-asm.3
1.18.7-asm.4
1.17.8-asm.20

高

CVE-2024-23327

GCP-2023-031

發布日期：2023-10-10

說明

嚴重性

附註

使用 HTTP/2 通訊協定時，阻斷服務攻擊可能會影響資料層。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於 1.18.4、1.17.7 或 1.16.7，就會受到影響。

緩解

將叢集升級至下列其中一個修補版本：

1.18.4-asm.0
1.17.7-asm.0
1.16.7-asm.10

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天內自動更新。

如果您使用的是 Cloud Service Mesh 1.15 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 1.16 以上版本。

高

CVE-2023-44487

GCP-2023-021

Updated:2023-07-26

發布日期：2022 年 7 月 25 日

說明

嚴重性

附註

在某些特定情況下，惡意用戶端可以建構永久有效的憑證。舉例來說，HMAC 酬載中的主機和到期時間組合，在 OAuth2 篩選器的 HMAC 檢查中一律有效。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本早於

1.17.4
1.16.6
1.15.7

緩解措施

將叢集升級至下列其中一個修補版本：

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天內自動更新。

如果您使用的是 Anthos 服務網格 1.14 以下版本，該版本已達產品停產階段，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 ASM 1.15 以上版本。

高

CVE-2023-35941

說明

嚴重性

附註

使用接聽程式全域範圍的 gRPC 存取記錄器，可能會在接聽程式排空時導致使用後釋放的當機。如果 LDS 更新的 gRPC 存取記錄檔設定相同，就會觸發這項作業。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本早於

1.17.4
1.16.6
1.15.7

緩解措施

將叢集升級至下列其中一個修補版本：

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天內自動更新。

中

CVE-2023-35942

說明嚴重性附註

如果 origin 標頭設為透過 request_headers_to_remove: origin 移除，CORS 篩選器會發生區段錯誤，導致 Envoy 停止運作。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本早於

1.17.4
1.16.6
1.15.7

緩解措施

將叢集升級至下列其中一個修補版本：

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天內自動更新。

中

CVE-2023-35943

說明

嚴重性

附註

攻擊者可以傳送混合配置要求，略過 Envoy 中的部分配置檢查。舉例來說，如果含有混合配置 htTp 的要求傳送至 OAuth2 篩選器，系統會因 http 的完全比對檢查失敗，通知遠端端點配置為 https，因此可能會略過 HTTP 要求專用的 OAuth2 檢查。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本早於

1.17.4
1.16.6
1.15.7

緩解措施

將叢集升級至下列其中一個修補版本：

1.17.5-asm.0
1.16.7-asm.0
1.15.7-asm.23

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天內自動更新。

高

CVE-2023-35944

GCP-2023-019

說明

嚴重性

附註

不受信任的上游服務傳送特製回應，可能導致記憶體耗盡，造成阻斷服務。這是 Envoy 的 HTTP/2 轉碼器所致，在收到 RST_STREAM 後，如果緊接著收到上游伺服器的 GOAWAY 框架，可能會洩漏標頭對應和記錄結構。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本早於

1.17.4
1.16.6
1.15.7

緩解措施

將叢集升級至下列其中一個修補版本：

1.17.4-asm.2
1.16.6-asm.3
1.15.7-asm.21

如果您執行的是受管理 Cloud Service Mesh，系統會在接下來幾天內自動更新。

高

CVE-2023-35945

GCP-2023-002

說明

嚴重性

附註

如果 Envoy 執行時啟用 OAuth 篩選器，惡意行為人可能會建構要求，導致 Envoy 崩潰，造成阻斷攻擊。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於下列版本，就會受到影響：

1.16.4
1.15.7
1.14.6

緩解

將叢集升級至下列其中一個修補版本：

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

如果您使用 Cloud Service Mesh 1.13 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.14 以上版本。

中

CVE-2023-27496

說明

嚴重性

附註

攻擊者可利用這項安全漏洞，在使用 ext_authz 時規避驗證檢查。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於下列版本，就會受到影響：

1.16.4
1.15.7
1.14.6

緩解

將叢集升級至下列其中一個修補版本：

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

如果您使用的是 Cloud Service Mesh 1.13 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.14 以上版本。

中

CVE-2023-27488

說明

嚴重性

附註

Envoy 設定也必須包含一個選項，用於新增使用要求輸入內容 (即對等互連憑證 SAN) 產生的要求標頭。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於下列版本，就會受到影響：

1.16.4
1.15.7
1.14.6

緩解

將叢集升級至下列其中一個修補版本：

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

高

CVE-2023-27493

說明

嚴重性

附註

攻擊者可以針對啟用 Lua 篩選器的路徑傳送大型要求主體，並觸發當機。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於下列版本，就會受到影響：

1.16.4
1.15.7
1.14.6

緩解

將叢集升級至下列其中一個修補版本：

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

如果您使用 Cloud Service Mesh 1.13 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.14 以上版本。

中

CVE-2023-27492

說明

嚴重性

附註

攻擊者可以傳送特別製作的 HTTP/2 或 HTTP/3 要求，在 HTTP/1 上游服務觸發剖析錯誤。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於下列版本，就會受到影響：

1.16.4
1.15.7
1.14.6

緩解

將叢集升級至下列其中一個修補版本：

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

如果您使用 Cloud Service Mesh 1.13 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.14 以上版本。

中

CVE-2023-27491

說明

嚴重性

附註

x-envoy-original-path 標頭應為內部標頭，但 Envoy 不會從不受信任用戶端傳送的要求中，移除這個標頭。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於下列版本，就會受到影響：

1.16.4
1.15.7
1.14.6

緩解

將叢集升級至下列其中一個修補版本：

1.16.4-asm.2
1.15.7-asm.1
1.14.6-asm.11

高

CVE-2023-27487

GCP-2022-020

發布日期：2022-10-05
更新日期：2022-10-12
2022-10-12 更新：更新 CVE 說明連結，並新增代管 Cloud Service Mesh 自動更新的相關資訊。

說明嚴重性附註

Istio 控制層 istiod 容易發生要求處理錯誤，如果叢集的驗證用 Webhook 公開，惡意攻擊者就能傳送特製訊息，導致控制層異常終止。這個端點是透過 TLS 連接埠 15017 提供服務，但不需要攻擊者進行任何驗證。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本早於 1.14.4、1.13.8 或 1.12.9，就會受到影響。

緩解措施

如果您執行的是獨立的 Cloud Service Mesh，請將叢集升級至下列其中一個修補版本：

如果您使用的是 Anthos 服務網格 1.14，請升級至 v1.14.4-asm.2
如果您使用 Anthos 服務網格 1.13，請升級至 v1.13.8-asm.4
如果您使用 Anthos 服務網格 1.12，請升級至 v1.12.9-asm.3

如果您執行的是代管 Cloud Service Mesh，系統會在未來幾天內自動更新。

如果您使用的是 Cloud Service Mesh 1.11 以下版本，該版本已終止支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.12 以上版本。

高

CVE-2022-39278

GCP-2022-015

發布日期：2022 年 6 月 9 日
更新日期：2022 年 6 月 10 日
2022 年 6 月 10 日更新：更新 Cloud Service Mesh 的修補程式版本。

說明

嚴重性

附註

啟用中繼資料交換和統計資料擴充功能時，Istio 資料層可能會以不安全的方式存取記憶體。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於 1.13.4-asm.4、1.12.7-asm.2 或 1.11.8-asm.4，就會受到影響。

Cloud Service Mesh 緩解措施

將叢集升級至下列其中一個修補版本：

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

如果您使用的是 Cloud Service Mesh 1.10 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.11 以上版本。詳情請參閱「從舊版升級 (GKE)」或「從舊版升級 (地端部署)」。

高

CVE-2022-31045

說明

嚴重性

附註

如果惡意攻擊者傳遞高度壓縮的小型酬載 (也稱為 ZIP 炸彈攻擊)，資料量可能會超過中繼緩衝區限制。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於 1.13.4-asm.4、1.12.7-asm.2 或 1.11.8-asm.4，就會受到影響。

雖然 Cloud Service Mesh 不支援 Envoy 篩選器，但如果您使用解壓縮篩選器，可能會受到影響。

Cloud Service Mesh 緩解措施

將叢集升級至下列其中一個修補版本：

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

如果您使用 Cloud Service Mesh 1.10 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.11 以上版本。詳情請參閱「從舊版升級 (GKE)」或「從舊版升級 (地端部署)」。

Envoy 緩解措施

如果 Envoy 使用者自行管理 Envoy，請務必使用 Envoy 1.22.1 版。管理自有 Envoy 的 Envoy 使用者會從 GitHub 等來源建構二進位檔，並部署這些檔案。

如果使用者執行的是代管 Envoy (Google Cloud 提供 Envoy 二進位檔)，則不需採取任何行動，雲端產品會切換至 1.22.1。

高

CVE-2022-29225

說明嚴重性附註

GrpcHealthCheckerImpl 中可能出現空值指標取消參照。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於 1.13.4-asm.4、1.12.7-asm.2 或 1.11.8-asm.4，就會受到影響。

Cloud Service Mesh 緩解措施

將叢集升級至下列其中一個修補版本：

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

如果您使用 Cloud Service Mesh 1.10 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。請升級至 Cloud Service Mesh 1.11 以上版本。詳情請參閱「從舊版升級 (GKE)」或「從舊版升級 (地端部署)」。

Envoy 緩解措施

自行管理 Envoy 的 Envoy 使用者應確保使用的是 Envoy 1.22.1 版。管理自有 Envoy 的 Envoy 使用者會從 GitHub 等來源建構二進位檔，並部署這些檔案。

如果使用者執行的是代管 Envoy (Google Cloud 提供 Envoy 二進位檔)，則不需採取任何行動，雲端產品會切換至 1.22.1。

中

CVE-2021-29224

說明

嚴重性

附註

OAuth 篩選器允許略過微不足道的項目。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於 1.13.4-asm.4、1.12.7-asm.2 或 1.11.8-asm.4，就會受到影響。

雖然 Cloud Service Mesh 不支援 Envoy 篩選器，但如果您使用 OAuth 篩選器，可能會受到影響。

Cloud Service Mesh 緩解措施

將叢集升級至下列其中一個修補版本：

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Envoy 緩解措施

如果 Envoy 使用者管理自己的 Envoy，並使用 OAuth 篩選器，請務必使用 Envoy 1.22.1 版。自行管理 Envoy 的 Envoy 使用者會從 GitHub 等來源建構二進位檔，並加以部署。

如果使用者執行受管理的 Envoy (Google Cloud 提供 Envoy 二進位檔)，則不需要採取任何行動，因為雲端產品會切換至 1.22.1。

重大

CVE-2021-29226

說明

嚴重性

附註

OAuth 篩選器可能會損毀記憶體 (舊版) 或觸發 ASSERT() (新版)。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於 1.13.4-asm.4、1.12.7-asm.2 或 1.11.8-asm.4，就會受到影響。

雖然 Cloud Service Mesh 不支援 Envoy 篩選器，但如果您使用 OAuth 篩選器，可能會受到影響。

Cloud Service Mesh 緩解措施

將叢集升級至下列其中一個修補版本：

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

如果您使用 Cloud Service Mesh 1.10 版或更早版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.11 以上版本。

Envoy 緩解措施

自行管理 Envoy 的 Envoy 使用者也應使用 OAuth 篩選器，確保使用的是 Envoy 1.22.1 版。自行管理 Envoy 的 Envoy 使用者會從 GitHub 等來源建構二進位檔，並加以部署。

如果使用者執行受管理的 Envoy (Google Cloud 提供 Envoy 二進位檔)，則不需要採取任何行動，因為雲端產品會切換至 1.22.1。

高

CVE-2022-29228

說明

嚴重性

附註

如果要求含有主體或預告片，內部重新導向會導致當機。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本低於 1.13.4-asm.4、1.12.7-asm.2 或 1.11.8-asm.4，就會受到影響。

Cloud Service Mesh 緩解措施

將叢集升級至下列其中一個修補版本：

1.13.4-asm.4
1.12.7-asm.2
1.11.8-asm.4

Envoy 緩解措施

自行管理 Envoy 的 Envoy 使用者應確保使用的是 Envoy 1.22.1 版。管理自有 Envoy 的 Envoy 使用者會從 GitHub 等來源建構二進位檔，並部署這些檔案。

如果使用者執行受管理的 Envoy (Google Cloud 提供 Envoy 二進位檔)，則不需要採取任何行動，因為雲端產品會切換至 1.22.1。

高

CVE-2022-29227

GCP-2022-010

發布日期：2022-03-10
更新日期：2022-03-16

說明

嚴重性

附註

Istio 控制層 (istiod) 容易發生要求處理錯誤，因此當叢集的驗證用 Webhook 公開時，惡意攻擊者只要傳送特製訊息，就會導致控制層當機。這個端點透過 TLS 通訊埠 15017 提供服務，但不需要攻擊者進行任何驗證。

該怎麼辦？

確認叢集是否受到影響

所有 Cloud Service Mesh 版本都會受到這個 CVE 的影響。

注意：如果您使用受管理控制層，這項安全漏洞已修正，因此不會受到影響。

緩解

將叢集升級至下列其中一個修補版本：

1.12.5-asm.0
1.11.8-asm.0
1.10.6-asm.2

如果您使用的是 Cloud Service Mesh 1.9 版或更舊版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.10 以上版本。

高

CVE-2022-24726

GCP-2022-007

發布日期：2022-02-22

說明嚴重性附註

Istiod 收到含有特製 authorization 標頭的要求時會異常終止。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用的 Cloud Service Mesh 修補程式版本早於 1.12.4-asm.1、 1.11.7-asm.1 或 1.10.6-asm.1。

注意：如果您使用的是代管控制層，這項安全漏洞已修正，您不會受到影響。

緩解措施

將叢集升級至下列其中一個修補版本：

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

如果您使用的是 Cloud Service Mesh 1.9 以下版本，該版本已停用，不再提供支援。這些 CVE 修正程式尚未向後移植。建議您升級至 Cloud Service Mesh 1.10 以上版本。

高

CVE-2022-23635

說明嚴重性附註

使用 JWT 篩選器 safe_regex 比對時，可能會發生空值指標取消參照。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用的 Cloud Service Mesh 修補程式版本早於 1.12.4-asm.1、 1.11.7-asm.1 或 1.10.6-asm.1。
雖然 Cloud Service Mesh 不支援 Envoy 篩選器，但如果您使用 JWT 篩選器規則運算式，可能會受到影響。

緩解措施

將叢集升級至下列其中一個修補版本：

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

中

CVE-2021-43824

說明

嚴重性

附註

當回應篩選器增加回應資料，且增加的資料超出下游緩衝區限制時，就會發生釋放後使用 (use-after-free) 的情況。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用的 Cloud Service Mesh 修補程式版本早於 1.12.4-asm.1、 1.11.7-asm.1 或 1.10.6-asm.1。
雖然 Cloud Service Mesh 不支援 Envoy 篩選器，但如果您使用解壓縮篩選器，可能會受到影響。

緩解措施

將叢集升級至下列其中一個修補版本：

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

中

CVE-2021-43825

說明

嚴重性

附註

透過 HTTP 建立 TCP 通道時，如果下游在建立上游連線期間中斷連線，就會發生釋放後使用問題。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用 1.12.4-asm.1、1.11.7-asm.1 或 1.10.6-asm.1 之前的 Cloud Service Mesh 修補程式版本。
雖然 Cloud Service Mesh 不支援 Envoy 篩選器，但如果您使用通道篩選器，可能會受到影響。

緩解措施

將叢集升級至下列其中一個修補版本：

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

中

CVE-2021-43826

說明

嚴重性

附註

設定處理不正確，導致驗證設定變更後，mTLS 工作階段可重複使用，不需重新驗證。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用 1.12.4-asm.1、1.11.7-asm.1 或 1.10.6-asm.1 之前的 Cloud Service Mesh 修補程式版本。
所有使用 mTLS 的 Cloud Service Mesh 服務都會受到這個 CVE 的影響。

緩解措施

將叢集升級至下列其中一個修補版本：

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

高

CVE-2022-21654

說明

嚴重性

附註

不正確處理內部重新導向至具有直接回應項目的路徑。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用的 Cloud Service Mesh 修補程式版本早於 1.12.4-asm.1、 1.11.7-asm.1 或 1.10.6-asm.1。
雖然 Cloud Service Mesh 不支援 Envoy 篩選器，但如果您使用直接回應篩選器，可能會受到影響。

緩解

將叢集升級至下列其中一個修補版本：

1.12.4-asm.1
1.11.7-asm.1
1.10.6-asm.1

高

CVE-2022-21655

說明

嚴重性

附註

透過叢集探索服務刪除叢集時，發生堆疊耗盡問題。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用 1.12.4-asm.1 或 1.11.7-asm.1 之前的 Cloud Service Mesh 修補程式版本。

緩解措施

將叢集升級至下列其中一個修補版本：

1.12.4-asm.1
1.11.7-asm.1

中

CVE-2022-23606

GCP-2021-016

發布日期：2021 年 8 月 24 日

說明嚴重性附註

Istio 含有可從遠端入侵的漏洞，如果 HTTP 要求的 URI 路徑含有片段 (URI 結尾以 # 字元開頭的部分)，就能略過 Istio 的 URI 路徑授權政策。

舉例來說，Istio 授權政策會拒絕傳送至 URI 路徑 /user/profile 的要求。在有安全漏洞的版本中，URI 路徑為 /user/profile#section1 的要求會略過拒絕政策，並轉送至後端 (正規化 URI 路徑為 /user/profile%23section1)，導致安全性事件。

這項修正取決於 Envoy 的修正，與 CVE-2021-32779 相關。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用 1.7.8-asm.10、1.8.6-asm.8、1.9.8-asm.1 和 1.10.4-asm.6 之前的 Cloud Service Mesh 修補程式版本。
使用 DENY actions 和 operation.paths，或 ALLOW actions 和 operation.notPaths 的授權政策。

緩解措施

將叢集升級至下列其中一個修補版本：

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

新版會先移除要求 URI 的片段部分，再進行授權和路由作業。這樣一來，URI 含有片段的要求，就不會略過以不含片段 URI 為依據的授權政策。

選擇不採用

如果您選擇不採用這項新行為，系統會保留 URI 中的片段部分。如要選擇不採用，請按照下列方式設定安裝作業：

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: opt-out-fragment-cve-fix
  namespace: istio-system
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false"

注意：如果選擇不採用這項行為，叢集可能會受到這個 CVE 的影響。

高

CVE-2021-39156

說明嚴重性附註

Istio 含有可從遠端入侵的安全漏洞，如果使用以 hosts 或 notHosts 為基礎的規則，HTTP 要求可能會略過 Istio 授權政策。

在有安全漏洞的版本中，Istio 授權政策會以區分大小寫的方式比較 HTTP Host 或 :authority 標頭，這與 RFC 4343 不一致。舉例來說，使用者的授權政策可能會拒絕主機 secret.com 的要求，但攻擊者可以透過主機名稱 Secret.com 傳送要求，藉此規避這項政策。轉送流程會將流量轉送至 secret.com 的後端，導致安全性事件。

該怎麼辦？

確認叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用的 Cloud Service Mesh 修補程式版本早於 1.7.8-asm.10、1.8.6-asm.8、1.9.8-asm.1 和 1.10.4-asm.6。
這項功能會使用授權政策，並根據 operation.hosts 採用 DENY actions，或根據 operation.notHosts 採用 ALLOW actions。

緩解措施

將叢集升級至下列其中一個修補版本：

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

這項防護措施可確保系統會根據授權政策中的 hosts 或 notHosts 規格，以不區分大小寫的方式評估 HTTP Host 或 :authority 標頭。

高

CVE-2021-39155

說明嚴重性附註

Envoy 含有可從遠端發動攻擊的安全漏洞。如果使用 ext_authz 擴充功能，HTTP 要求含有多個值標頭時，可能無法完成授權政策檢查。如果要求標頭包含多個值，外部授權伺服器只會看到指定標頭的最後一個值。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用的 Cloud Service Mesh 修補程式版本早於 1.7.8-asm.10、1.8.6-asm.8、1.9.8-asm.1 和 1.10.4-asm.6。
這項功能會使用外部授權功能。

緩解措施

將叢集升級至下列其中一個修補版本：

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

高

CVE-2021-32777

說明嚴重性附註

Envoy 含有可從遠端發動攻擊的安全性漏洞，會影響 Envoy 的 decompressor、json-transcoder 或 grpc-web 擴充功能，或是修改及增加要求或回應主體大小的專屬擴充功能。如果 Envoy 擴充功能的本文大小超過內部緩衝區大小，可能會導致 Envoy 存取已解除分配的記憶體，並異常終止。

該怎麼辦？

檢查叢集是否受到影響

如果符合下列兩項條件，叢集就會受到影響：

使用的 Cloud Service Mesh 修補程式版本早於 1.7.8-asm.10、1.8.6-asm.8、1.9.8-asm.1 和 1.10.4-asm.6。
其使用 EnvoyFilters。

緩解措施

將叢集升級至下列其中一個修補版本：

1.10.4-asm.6
1.9.8-asm.1
1.8.6-asm.8
1.7.8-asm.10

高

CVE-2021-32781

說明

嚴重性

附註

Envoy 含有可從遠端入侵的漏洞，Envoy 用戶端開啟並重設大量 HTTP/2 要求，可能會導致 CPU 消耗過多。

該怎麼辦？

確認叢集是否受到影響

如果叢集使用的 Cloud Service Mesh 修補程式版本早於 1.7.8-asm.10、1.8.6-asm.8、1.9.8-asm.1 和 1.10.4-asm.6，就會受到影響。

緩解

將叢集升級至下列其中一個修補版本：

1.10.4-asm.6
1.9.8-asm.1

注意：如果您使用的是 Cloud Service Mesh 1.8 或更早版本，請升級至 Cloud Service Mesh 1.9 以上版本的最新修補程式，以降低這項安全漏洞的風險。

高

CVE-2021-32778

說明嚴重性附註

Envoy 含有可從遠端入侵的安全漏洞，不受信任的上游服務可能會傳送 GOAWAY 框架，接著傳送 SETTINGS 框架 (SETTINGS_MAX_CONCURRENT_STREAMS 參數設為 0)，導致 Envoy 異常終止。

該怎麼辦？

檢查叢集是否受到影響

如果叢集使用 Cloud Service Mesh 1.10，且修補程式版本早於 1.10.4-asm.6，就會受到影響。

緩解

將叢集升級至下列修補程式版本：

1.10.4-asm.6

高

CVE-2021-32780

GCP-2021-012

發布日期：2021 年 6 月 24 日

說明嚴重性附註

Istio 安全Gateway或使用DestinationRule的工作負載可透過credentialName設定，從 Kubernetes 密鑰載入 TLS 私密金鑰和憑證。在 Istio 1.8 以上版本中，系統會從 istiod 讀取 Secret，並透過 XDS 將 Secret 傳送至閘道和工作負載。

一般來說，閘道或工作負載部署作業只能存取儲存在其命名空間 Secret 中的 TLS 憑證和私密金鑰。不過，istiod 中的錯誤會允許有權存取 Istio XDS API 的用戶端擷取任何快取在 istiod 中的 TLS 憑證和私密金鑰。這項安全漏洞只會影響 Cloud Service Mesh 的 1.8 和 1.9 次要版本。

該怎麼辦？

確認叢集是否受到影響

如果符合下列所有條件，叢集就會受到影響：

使用的 1.9.x 版本早於 1.9.6-asm.1，或使用的 1.8.x 版本早於 1.8.6-asm.4。
已定義 Gateways 或 DestinationRules，並指定 credentialName 欄位。
未指定 istiod 旗標 PILOT_ENABLE_XDS_CACHE=false。

緩解措施

將叢集升級至下列其中一個修補版本：

1.9.6-asm.1
1.8.6-asm.4

如果無法升級，可以停用 istiod 快取，降低這個安全漏洞的風險。如要停用快取，請將 istiod 環境變數設為 PILOT_ENABLE_XDS_CACHE=false。這會停用 XDS 快取，因此可能會影響系統和 istiod 效能。

高

CVE-2021-34824

GCP-2021-008

發布日期：2021-05-17

說明

嚴重性

附註

Istio 含有可從遠端發動攻擊的漏洞，當閘道設定為 AUTO_PASSTHROUGH 路由設定時，外部用戶端可存取叢集中非預期的服務，並略過授權檢查。

該怎麼辦？

檢查叢集是否受到影響

這個安全漏洞只會影響 AUTO_PASSTHROUGH 閘道類型的使用，這類閘道通常只用於多網路、多叢集部署。

使用下列指令偵測叢集中所有閘道的 TLS 模式：

kubectl get gateways.networking.istio.io -A -o \
  "custom-columns=NAMESPACE:.metadata.namespace, \
  NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode"

如果輸出內容顯示任何 AUTO_PASSTHROUGH 閘道，您可能會受到影響。

緩解

將叢集更新至最新版 Cloud Service Mesh：

1.9.5-asm.2
1.8.6-asm.3
1.7.8-asm.8

* 注意：Cloud Service Mesh 代管控制層 (僅適用於 1.9.x 版) 的推出作業將在未來幾天內完成。

高

CVE-2021-31921

GCP-2021-007

發布日期：2021-05-17

說明嚴重性附註

Istio 含有可從遠端入侵的漏洞，如果使用路徑型授權規則，含有多個斜線或逸出斜線字元 (%2F 或 %5C) 的 HTTP 要求路徑可能會略過 Istio 授權政策。

如果 Istio 叢集管理員定義授權 DENY 政策，在路徑 "/admin" 拒絕要求，則傳送至網址路徑 "//admin" 的要求「不會」遭到授權政策拒絕。

根據 RFC 3986，含有多個斜線的路徑 "//admin" 在技術上應視為與 "/admin" 不同的路徑。不過，部分後端服務會選擇將多個斜線合併為單一斜線，藉此正規化網址路徑。這可能會導致授權政策遭到規避 ("//admin" 與 "/admin" 不符)，使用者可以存取後端路徑 "/admin" 中的資源。

該怎麼辦？

確認叢集是否受到影響

如果叢集具備使用「ALLOW 動作 + notPaths 欄位」或「DENY 動作 + paths 欄位」模式的授權政策，就會受到這項安全漏洞影響。這些模式容易遭到意外的政策規避行為，因此請盡快升級，修正安全性問題。

以下範例是使用「DENY 動作 + 路徑欄位」模式，但有安全漏洞的政策：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-path-admin
spec:
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/admin"]

以下是另一個使用「ALLOW 動作 + notPaths 欄位」模式，但有安全漏洞的政策範例：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-path-not-admin
spec:
  action: ALLOW
  rules:
  - to:
    - operation:
        notPaths: ["/admin"]

如果符合下列條件，叢集就不會受到這項安全漏洞影響：

您沒有授權政策。
授權政策未定義 paths 或 notPaths 欄位。
您的授權政策使用「ALLOW 動作 + paths 欄位」或「DENY 動作 + notPaths 欄位」模式。這些模式只會導致意外拒絕，而不會繞過政策。

在這些情況下，您可以選擇是否要升級。

緩解措施

將叢集更新至支援的最新 Cloud Service Mesh 版本*。這些版本支援使用更多正規化選項，在系統中設定 Envoy Proxy：

1.9.5-asm.2
1.8.6-asm.3
1.7.8-asm.8

* 注意：Cloud Service Mesh 代管控制層 (僅適用於 1.9.x 版) 的推出作業將在未來幾天內完成。

請按照 Istio 安全性最佳做法指南設定授權政策。

高

CVE-2021-31920

GCP-2021-004

發布日期：2021-05-06

說明

嚴重性

附註

Envoy 和 Istio 專案最近宣布了多個新的安全漏洞 (CVE-2021-28682、CVE-2021-28683 和 CVE-2021-29258)，攻擊者可能會利用這些漏洞導致 Envoy 停止運作，並可能使部分叢集離線且無法連線。

這會影響 Cloud Service Mesh 等交付的服務。

該怎麼辦？

如要修正這些安全漏洞，請將 Cloud Service Mesh 套件升級至下列其中一個修補版本：

1.9.3-asm.2
1.8.5-asm.2
1.7.8-asm.1
1.6.14-asm.2

詳情請參閱 Cloud Service Mesh 版本資訊。

高

CVE-2021-28682
CVE-2021-28683
CVE-2021-29258