עדכוני אבטחה דחופים

רוצים לקבל עדכוני אבטחה דחופים ל-Cloud Service Mesh? תוכלו להירשם לפיד ה-XML הזה. הרשמה

בדף הזה מפורטים עדכוני האבטחה הדחופים ל-Cloud Service Mesh.

GCP-2025-073

תאריך פרסום: 3 בדצמבר 2025

תיאור רמת סיכון הערות

התאמת אישורי TLS ל-match_typed_subject_alt_names עלולה לטפל באופן שגוי באישורים שמכילים בית אפס מוטמע.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסת תיקון של Cloud Service Mesh בתוך האשכול מוקדמת יותר מ:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh in-cluster, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי התמיכה וכבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.25 ואילך.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

בינוני

CVE-2025-66220
תיאור רמת סיכון הערות

‫Envoy קורס כשמוגדר אימות JWT עם אחזור JWKS מרחוק.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסת תיקון של Cloud Service Mesh בתוך האשכול מוקדמת יותר מ:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

האשכול מושפע אם הוא משתמש בגרסה מנוהלת של Cloud Service Mesh שקודמת לגרסאות הבאות:

  • 1.21.6-asm.7
  • 1.20.8-asm.59
  • 1.19.10-asm.54
השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי התמיכה וכבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.25 ואילך.

לגבי Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תעודכן אוטומטית במהלך השבועות הקרובים.

בינוני

CVE-2025-64527
תיאור רמת סיכון הערות

התגלה פוטנציאל להברחת בקשות מנתונים מוקדמים אחרי השדרוג של CONNECT.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסת תיקון של Cloud Service Mesh בתוך האשכול מוקדמת יותר מ:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh in-cluster, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי התמיכה וכבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.25 ואילך.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

בינוני

CVE-2025-64763

GCP-2025-064

תאריך פרסום: 28 באוקטובר 2025

תיאור רמת סיכון הערות

מסנני Lua עלולים לגרום לקריסה של Envoy כשמטפלים בגוף תגובה גדול.

מה לעשות?

כדי לבדוק אם האשכולות שלכם מושפעים:

האשכול מושפע אם גרסאות התיקון שלכם קודמות לגרסאות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה מוקדמת יותר, הגרסה הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.25 ומעלה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תעודכן אוטומטית במהלך השבועות הקרובים.

בינוני

CVE-2025-62504
תיאור רמת סיכון הערות

בקשות או תגובות גדולות עלולות לגרום לקריסה של מאגר חיבורי ה-TCP.

מה לעשות?

כדי לבדוק אם האשכולות שלכם מושפעים:

האשכול מושפע אם גרסאות התיקון שלכם קודמות לגרסאות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה מוקדמת יותר, הגרסה הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.25 ומעלה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תעודכן אוטומטית במהלך השבועות הקרובים.

בינוני

CVE-2025-62409

GCP-2025-048

תאריך פרסום: 2 בספטמבר 2025

תיאור רמת סיכון הערות

השימוש ב-DNS cache הוא ללא תשלום.

מה לעשות?

איך בודקים אם האשכולות מושפעים

רק אשכולות שפועלים בגרסה 1.26 של Cloud Service Mesh בתוך האשכול מושפעים.

אם אתם מפעילים Cloud Service Mesh מנוהל, השינוי לא ישפיע עליכם ולא תצטרכו לבצע פעולה כלשהי.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh 1.26 בתוך האשכול, שדרגו את כל האשכולות המושפעים לגרסה 1.26.4-asm.1.

גבוהה

CVE-2025-54588

GCP-2024-065

תיאור רמת סיכון הערות

Happy Eyeballs: Validate that additional_address are IP addresses instead of crashing when sorting.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם גרסאות התיקון קודמות לגרסאות הבאות:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh in-cluster, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.23.4-asm.1
  • 1.22.7-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.21 ואילך.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תעודכן אוטומטית במהלך השבועות הקרובים.

בינוני

CVE-2024-53269
תיאור רמת סיכון הערות

‫HTTP/1: קריסות של שליחת עומס יתר כשמאפסים את הבקשה מראש.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם גרסאות התיקון קודמות לגרסאות הבאות:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17
  • 1.20.8-asm.14
  • 1.19.10-asm.24
השבתה זמנית של אותות אכיפה

ב-in-cluster Cloud Service Mesh, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה והיא כבר לא נתמכת. אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.21 ואילך.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תעודכן אוטומטית במהלך השבועות הקרובים.

גבוהה

CVE-2024-53270
תיאור רמת סיכון הערות

‫HTTP/1.1: כמה בעיות ב-envoy.reloadable_features.http1_balsa_delay_reset.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם גרסאות התיקון קודמות לגרסאות הבאות:

  • 1.23.4-asm.1
השבתה זמנית של אותות אכיפה

ב-in-cluster Cloud Service Mesh, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.23.4-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה והיא כבר לא נתמכת. אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה 1.21 ואילך.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תעודכן אוטומטית במהלך השבועות הקרובים.

גבוהה

CVE-2024-53271

GCP-2024-052

תאריך פרסום: 19 בספטמבר 2024

תיאור רמת סיכון הערות

קריסה של oghttp2 ב-OnBeginHeadersForStream

מה לעשות?

איך בודקים אם האשכולות מושפעים

רק אשכולות שמריצים את Cloud Service Mesh גרסה 1.23 מושפעים

השבתה זמנית של אותות אכיפה

התיקון לבעיה הזו כלול ב-Cloud Service Mesh 1.23.2-asm.2. לא נדרשת שום פעולה.

גבוהה

CVE-2024-45807
תיאור רמת סיכון הערות

החדרת יומן זדוני דרך יומני גישה

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45808
תיאור רמת סיכון הערות

פוטנציאל למניפולציה של כותרות x-envoy ממקורות חיצוניים

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45806
תיאור רמת סיכון הערות

קריסת מסנן JWT במטמון של נתיב ברור עם מפתחות JWK מרוחקים

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45809
תיאור רמת סיכון הערות

קריסת Envoy ב-LocalReply בלקוח אסינכרוני של http

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45810

GCP-2024-032

תאריך פרסום: 24 ביוני 2024

תיאור רמת סיכון הערות

‫Envoy מקבל באופן שגוי תגובת HTTP 200 לכניסה למצב שדרוג.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • גרסה v1.20.7-asm.2
  • ‫v1.19.10-asm.6
  • v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

בינוני

CVE-2024-23326
תיאור רמת סיכון הערות

קריסה ב-EnvoyQuicServerStream::OnInitialHeadersComplete().

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • גרסה v1.20.7-asm.2
  • ‫v1.19.10-asm.6
  • v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

בינוני

CVE-2024-32974
תיאור רמת סיכון הערות

קריסה ב-QuicheDataReader::PeekVarInt62Length().

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • גרסה v1.20.7-asm.2
  • ‫v1.19.10-asm.6
  • v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

בינוני

CVE-2024-32975
תיאור רמת סיכון הערות

לולאה אינסופית במהלך ביטול הדחיסה של נתוני Brotli עם קלט נוסף.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • גרסה v1.20.7-asm.2
  • ‫v1.19.10-asm.6
  • v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

גבוהה

CVE-2024-32976
תיאור רמת סיכון הערות

קריסה (שימוש אחרי שחרור) ב-EnvoyQuicServerStream.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • גרסה v1.20.7-asm.2
  • ‫v1.19.10-asm.6
  • v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

בינוני

CVE-2024-34362
תיאור רמת סיכון הערות

קריסה בגלל חריגת nlohmann JSON שלא נתפסה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • גרסה v1.20.7-asm.2
  • ‫v1.19.10-asm.6
  • v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

גבוהה

CVE-2024-34363
תיאור רמת סיכון הערות

‫Envoy OOM vector מלקוח HTTP אסינכרוני עם מאגר תגובות לא מוגבל לתגובת שיקוף.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • גרסה v1.20.7-asm.2
  • ‫v1.19.10-asm.6
  • v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

בינוני

CVE-2024-34364

GCP-2024-023

תאריך פרסום: 24 באפריל 2024

תיאור רמת סיכון הערות

‫HTTP/2: ניצול מלא של הזיכרון בגלל הצפה של מסגרת CONTINUATION.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא תקבל יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh גרסה 1.18 ואילך.

גבוהה

CVE-2024-27919
תיאור רמת סיכון הערות

‫HTTP/2: ניצול יתר של המעבד (CPU) בגלל הצפת פריימים מסוג CONTINUATION

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא תקבל יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

בינוני

CVE-2024-30255
תיאור רמת סיכון הערות

סיום חריג כשמשתמשים ב-auto_sni עם כותרת ':authority' שארוכה מ-255 תווים.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר שלה ולא תקבל יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ואילך.

גבוהה

CVE-2024-32475
תיאור רמת סיכון הערות

אפשר להשתמש בפריימים של HTTP/2 CONTINUATION להתקפות מניעת שירות (DoS).

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה v1.18 ואילך.

לא צוין

CVE-2023-45288

GCP-2024-007

תאריך פרסום: 8 בפברואר 2024

תיאור רמת סיכון הערות

מערכת Envoy קורסת כשהיא בלי פעילות ומתרחש זמן קצוב לתפוגה של בקשות לניסיון חוזר בתוך מרווח המתנה.

מה לעשות?

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי התמיכה ולא נתמכת יותר. תיקוני ה-CVE האלה הועברו לגרסה 1.17, אבל מומלץ לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23322
תיאור רמת סיכון הערות

שימוש מוגזם במעבד (CPU) כשכלי ההתאמה של תבנית ה-URI מוגדר באמצעות ביטוי רגולרי.

מה לעשות?

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי התמיכה ולא נתמכת יותר. תיקוני ה-CVE האלה הועברו לגרסה 1.17, אבל מומלץ לשדרג לגרסה 1.18 ואילך.

בינוני

CVE-2024-23323
תיאור רמת סיכון הערות

אפשר לעקוף הרשאה חיצונית כשמסנן פרוטוקול ה-Proxy מגדיר מטא-נתונים לא תקינים בקידוד UTF-8.

מה לעשות?

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי התמיכה ולא נתמכת יותר. תיקוני ה-CVE האלה הועברו לגרסה 1.17, אבל מומלץ לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23324
תיאור רמת סיכון הערות

מערכת Envoy קורסת כשמשתמשים בסוג כתובת שלא נתמך על ידי מערכת ההפעלה.

מה לעשות?

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי התמיכה ולא נתמכת יותר. תיקוני ה-CVE האלה הועברו לגרסה 1.17, אבל מומלץ לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23325
תיאור רמת סיכון הערות

קריסה בפרוטוקול ה-proxy כשסוג הפקודה הוא LOCAL.

מה לעשות?

אם אתם מפעילים את Cloud Service Mesh המנוהל, לא נדרשת פעולה. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מפעילים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי התמיכה ולא נתמכת יותר. תיקוני ה-CVE האלה הועברו לגרסה 1.17, אבל מומלץ לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23327

GCP-2023-031

תאריך פרסום: 10 באוקטובר 2023

תיאור רמת סיכון הערות

התקפת מניעת שירות יכולה להשפיע על מישור הנתונים כשמשתמשים בפרוטוקול HTTP/2.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.18.4,‏ 1.17.7 או 1.16.7.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.18.4-asm.0
  • 1.17.7-asm.0
  • 1.16.7-asm.10

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.15 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף החיים שלה והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג לגרסה 1.16 ואילך.

גבוהה

CVE-2023-44487

GCP-2023-021

Updated:2023-07-26

תאריך פרסום: 25 ביולי 2022
תיאור רמת סיכון הערות

במקרים ספציפיים, לקוח זדוני יכול ליצור פרטי כניסה עם תוקף קבוע. לדוגמה, השילוב של מארח וזמן תפוגה במטען הייעודי (payload) של HMAC יכול להיות תמיד תקף בבדיקת ה-HMAC של מסנן OAuth2.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh מוקדמות יותר מ-

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-ASM 1.15 ואילך.

גבוהה

CVE-2023-35941
תיאור רמת סיכון הערות

יומני הגישה ל-gRPC שמשתמשים בהיקף הגלובלי של ה-listener עלולים לגרום לקריסה מסוג use-after-free כשה-listener מתרוקן. הפעולה הזו יכולה להיות מופעלת על ידי עדכון LDS עם אותה הגדרת יומן גישה של gRPC.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh מוקדמות יותר מ-

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-ASM 1.15 ואילך.

בינוני

CVE-2023-35942
תיאור רמת סיכון הערות

אם הכותרת origin מוגדרת להסרה באמצעות request_headers_to_remove: origin, מסנן ה-CORS יגרום לשגיאת פילוח (segfault) ולקריסה של Envoy.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh מוקדמות יותר מ-

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-ASM 1.15 ואילך.

בינוני

CVE-2023-35943
תיאור רמת סיכון הערות

תוקפים יכולים לשלוח בקשות עם Scheme משולב כדי לעקוף חלק מבדיקות ה-Scheme ב-Envoy. לדוגמה, אם בקשה עם htTp בעל Scheme משולב נשלחת למסנן OAuth2, היא נכשלת בבדיקות ההתאמה המדויקת ל-HTTP, ונשלחת הודעה לנקודת הקצה המרוחקת שה-Scheme היא HTTPS. כתוצאה מכך יכול להיות שתהיה עקיפה של בדיקות פרוטוקול OAuth2 שספציפיות לבקשות HTTP.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh מוקדמות יותר מ-

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-ASM 1.15 ואילך.

גבוהה

CVE-2023-35944

GCP-2023-019

תיאור רמת סיכון הערות

תגובה שנוצרה במיוחד משירות upstream לא מהימן עלולה לגרום להתקפת מניעת שירות (DoS) בגלל מיצוי הזיכרון. הבעיה הזו נגרמת בגלל רכיב ה-codec של Envoy HTTP/2, שעלול לגרום לדליפה של מיפוי כותרות ומבני ניהול כשמתקבל RST_STREAM מיד אחרי מסגרות GOAWAY משרת במעלה הזרם.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh מוקדמות יותר מ-

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.4-asm.2
  • 1.16.6-asm.3
  • 1.15.7-asm.21

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-ASM 1.15 ואילך.

גבוהה

CVE-2023-35945

GCP-2023-002

תיאור רמת סיכון הערות

אם Envoy פועל עם מסנן OAuth מופעל וחשוף, גורם זדוני יכול ליצור בקשה שתגרום להתקפת מניעת שירות (DoS) על ידי קריסת Envoy.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שמוקדמות מהגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 ומטה, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.14 ואילך.

בינוני

CVE-2023-27496
תיאור רמת סיכון הערות

התוקף יכול להשתמש בנקודת החולשה הזו כדי לעקוף את בדיקות האימות כשמשתמשים ב-ext_authz.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שמוקדמות מהגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 ומטה, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh} 1.14 או לגרסה חדשה יותר.

בינוני

CVE-2023-27488
תיאור רמת סיכון הערות

הגדרת Envoy חייבת לכלול גם אפשרות להוסיף כותרות בקשה שנוצרו באמצעות מקורות קלט מהבקשה, כמו ה-SAN של אישור הרשת השכנה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שמוקדמות מהגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 ומטה, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.14 ואילך.

גבוהה

CVE-2023-27493
תיאור רמת סיכון הערות

תוקפים יכולים לשלוח גופי בקשות גדולים למסלולים שבהם מסנן Lua מופעל ולגרום לקריסות.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שמוקדמות מהגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 ומטה, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.14 ואילך.

בינוני

CVE-2023-27492
תיאור רמת סיכון הערות

תוקפים יכולים לשלוח בקשות HTTP/2 או HTTP/3 שנוצרו במיוחד כדי להפעיל שגיאות בניתוח בשירות במעלה הזרם של HTTP/1.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שמוקדמות מהגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 ומטה, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.14 ואילך.

בינוני

CVE-2023-27491
תיאור רמת סיכון הערות

הכותרת x-envoy-original-path צריכה להיות כותרת פנימית, אבל Envoy לא מסיר את הכותרת הזאת מהבקשה בתחילת העיבוד שלה כשהיא נשלחת מלקוח לא מהימן.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שמוקדמות מהגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 ומטה, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.14 ואילך.

גבוהה

CVE-2023-27487

GCP-2022-020

פורסם: 5 באוקטובר 2022
עודכן: 12 באוקטובר 2022
עדכון מ-12 באוקטובר 2022: עודכן הקישור לתיאור של CVE ונוסף מידע על עדכונים אוטומטיים של Cloud Service Mesh מנוהל.
תיאור רמת סיכון הערות

רמת הבקרה ב-Istio‏ istiod חשופה לשגיאה בעיבוד בקשות. כתוצאה מכך, תוקף זדוני עלול לשלוח הודעה שנוצרה במיוחד כדי לגרום לקריסה של רמת הבקרה, בזמן שה-webhook המאמת של האשכול חשוף באופן ציבורי. מילוי הבקשה של נקודת הקצה (endpoint) הזו מתבצע ביציאה 15017 ב-TLS, אבל לא מחייב אימות כלשהו מצד התוקף.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh מוקדמות מ-1.14.4,‏ 1.13.8 או 1.12.9.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים Cloud Service Mesh עצמאי, אתם צריכים לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • אם אתם משתמשים ב-Anthos Service Mesh 1.14, עליכם לשדרג לגרסה v1.14.4-asm.2
  • אם אתם משתמשים ב-Anthos Service Mesh 1.13, עליכם לשדרג לגרסה v1.13.8-asm.4
  • אם אתם משתמשים ב-Anthos Service Mesh 1.12, עליכם לשדרג לגרסה v1.12.9-asm.3

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.11 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא תקבל יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.12 ואילך.

גבוהה

CVE-2022-39278

GCP-2022-015

תאריך פרסום: 9 ביוני 2022
תאריך עדכון: 10 ביוני 2022
עדכון מ-10 ביוני 2022: עודכנו גרסאות התיקון של Cloud Service Mesh.
תיאור רמת סיכון הערות

מישור הנתונים של Istio עלול לגשת לזיכרון באופן לא בטוח כשהתוספים Metadata Exchange ו-Stats מופעלים.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

Cloud Service Mesh Mitigation

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף חיי המוצר שלה ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או שדרוג מגרסאות קודמות (במקום).

גבוהה

CVE-2022-31045
תיאור רמת סיכון הערות

הנתונים עלולים לחרוג ממגבלות המאגר הזמני, אם תוקף זדוני יעביר מטען ייעודי (payload) קטן מאוד ודחוס במיוחד (התקפת פצצת ZIP).

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן דקומפרסיה.

Cloud Service Mesh Mitigation

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף חיי המוצר שלה ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או שדרוג מגרסאות קודמות (במקום).

Envoy Mitigation

משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

גבוהה

CVE-2022-29225
תיאור רמת סיכון הערות

שגיאת הפניית מצביע אפס (null pointer dereference) עלולה להתרחש ב-GrpcHealthCheckerImpl.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

Cloud Service Mesh Mitigation

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף חיי המוצר שלה ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או שדרוג מגרסאות קודמות (במקום).

Envoy Mitigation

משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

בינוני

CVE-2021-29224
תיאור רמת סיכון הערות

המסנן של OAuth מאפשר מעקף פשוט.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן OAuth.

Cloud Service Mesh Mitigation

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף חיי המוצר שלה ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או שדרוג מגרסאות קודמות (במקום).

Envoy Mitigation

משתמשי Envoy שמנהלים מערכות Envoy משלהם ומשתמשים במסנן OAuth צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

קריטית

CVE-2021-29226
תיאור רמת סיכון הערות

המסנן של OAuth עלול לפגום בזיכרון (בגרסאות קודמות) או לגרום להפעלה של ASSERT()‎ (בגרסאות מאוחרות יותר).

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן OAuth.

Cloud Service Mesh Mitigation

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף חיי המוצר שלה ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך.

Envoy Mitigation

משתמשי Envoy שמנהלים מערכות Envoy משלהם ומשתמשים במסנן OAuth צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

גבוהה

CVE-2022-29228
תיאור רמת סיכון הערות

שגיאה של קריסת הניתובים הפנימיים מתרחשת בבקשות שיש בהן גוף (body) או סוגרים (trailers).

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

Cloud Service Mesh Mitigation

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף חיי המוצר שלה ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או שדרוג מגרסאות קודמות (במקום).

Envoy Mitigation

משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

גבוהה

CVE-2022-29227

GCP-2022-010

תאריך פרסום: 10 במרץ 2022
תאריך עדכון: 16 במרץ 2022
תיאור רמת סיכון הערות

רמת הבקרה ב-Istio‏, istiod, חשופה לשגיאה בעיבוד בקשות. כתוצאה מכך, תוקף זדוני עלול לשלוח הודעה שנוצרה במיוחד כדי לגרום לקריסה של רמת הבקרה, בזמן שה-webhook המאמת של האשכול חשוף באופן ציבורי. מילוי הבקשה של נקודת הקצה (endpoint) הזו מתבצע ביציאה 15017 ב-TLS, אבל לא מחייב אימות כלשהו מצד התוקף.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מ-CVE הזה.

הערה: אם אתם משתמשים ב-Managed Control Plane, נקודת החולשה הזו כבר תוקנה ולא תשפיע עליכם.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.5-asm.0
  • 1.11.8-asm.0
  • 1.10.6-asm.2

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

גבוהה

CVE-2022-24726

GCP-2022-007

תאריך פרסום: 22 בפברואר 2022
תיאור רמת סיכון הערות

‫Istiod קורס בזמן קבלת בקשות עם כותרת authorization שנוצרה במיוחד.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.

הערה: אם אתם משתמשים ב-Managed Control Plane, נקודת החולשה הזו כבר תוקנה ולא תשפיע עליכם.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

גבוהה

CVE-2022-23635
תיאור רמת סיכון הערות

ביטול האזכור הפוטנציאלי של מצביע null במהלך השימוש בהתאמת safe_regex של מסנן JWT.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכם השפעה אם אתם משתמשים בביטוי רגולרי של מסנן JWT.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

בינוני

CVE-2021-43824
תיאור רמת סיכון הערות

שגיאת Use-after-free שנוצרת בזמן שמסנני התגובה מגדילים את נתוני התגובה, ומספר הנתונים הגדול חורג מהמגבלות של מאגר הנתונים הזמני ב-downstream.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן דקומפרסיה.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

בינוני

CVE-2021-43825
תיאור רמת סיכון הערות

שגיאת Use-after-free במהלך מנהור של TCP דרך HTTP, ‏ אם הלקוח ב-downstream מתנתק במהלך ביסוס החיבור ב-upstream.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן מנהור.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

בינוני

CVE-2021-43826
תיאור רמת סיכון הערות

טיפול שגוי בהגדרות שמאפשר שימוש מחדש בסשן של mTLS בלי אימות מחדש אחרי שהגדרות האימות השתנו.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • כל השירותים של Cloud Service Mesh שמשתמשים ב-mTLS מושפעים מה-CVE הזה.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

גבוהה

CVE-2022-21654
תיאור רמת סיכון הערות

טיפול שגוי בביצוע של הפניות פנימיות אוטומטיות בנתיבים עם רשומה של תגובה ישירה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן תגובה ישירה.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

גבוהה

CVE-2022-21655
תיאור רמת סיכון הערות

מיצוי סטאק כאשר אשכול נמחק באמצעות Cluster Discovery Service.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות ‎1.12.4-asm.1 או ‎1.11.7-asm.1.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.4-asm.1
  • 1.11.7-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 ואילך.

בינוני

CVE-2022-23606

GCP-2021-016

תאריך פרסום: 24 באוגוסט 2021
תיאור רמת סיכון הערות

‫Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה בקשת HTTP עם מקטע (קטע בסוף URI שמתחיל בתו #) בנתיב ה-URI עלולה לעקוף את מדיניות ההרשאה מבוססת-הנתיב URI של Istio.

לדוגמה, מדיניות הרשאות של Istio דוחה בקשות שנשלחות לנתיב ה-URI‏ /user/profile. בגרסאות הפגיעות, בקשה עם נתיב ה-URI‏ /user/profile#section1 עוקפת את מדיניות הדחייה ומופנית אל ה-backend (עם נתיב ה-URI המנורמל /user/profile%23section1), מה שמוביל לאירוע אבטחה.

התיקון הזה תלוי בתיקון ב-Envoy, שמשויך ל-CVE-2021-32779.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • היא משתמשת בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • היא משתמשת במדיניות הרשאות עם DENY actions ו-operation.paths, או עם ALLOW actions ו-operation.notPaths.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

בגרסאות החדשות, החלק של המקטע ב-URI של הבקשה מוסר לפני ההרשאה והניתוב. כך בקשה עם מקטע ב-URI שלה לא יכולה לעקוף מדיניות הרשאות שמבוססת על ה-URI בלי חלק המקטע.

ביטול הסכמה

אם תבטלו את ההסכמה לשינוי הזה, קטע הפרגמנט ב-URI יישמר. כדי לבטל את ההסכמה, אפשר להגדיר את ההתקנה באופן הבא: 

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: opt-out-fragment-cve-fix
  namespace: istio-system
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false"

הערה: ביטול ההסכמה להתנהגות הזו חושף את האשכול ל-CVE הזה.

גבוהה

CVE-2021-39156
תיאור רמת סיכון הערות

‫Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה בקשת HTTP עלולה לעקוף את מדיניות ההרשאה של Istio במהלך שימוש בכללים שמבוססים על hosts או על notHosts.

בגרסאות הפגיעות, מדיניות ההרשאה של Istio משווה את כותרות ה-HTTP Host או :authority באופן תלוי-אותיות רישיות, שלא עולה בקנה אחד עם RFC 4343. לדוגמה, יכול להיות שלמשתמש יש מדיניות הרשאות שדוחה בקשות עם מארח secret.com, אבל התוקף יכול לעקוף את זה על ידי שליחת הבקשה בשם המארח Secret.com. תהליך הניתוב מנתב את התנועה אל ה-Backend של secret.com, וזה גורם לאירוע אבטחה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • היא משתמשת בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • היא משתמשת במדיניות הרשאות עם DENY actions שמבוססת על operation.hosts או ALLOW actions שמבוססת על operation.notHosts.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

הפתרון הזה מבטיח שהכותרות HTTP‏ Host או :authority ייבדקו מול המפרטים hosts או notHosts במדיניות ההרשאות באופן לא תלוי רישיות.

גבוהה

CVE-2021-39155
תיאור רמת סיכון הערות

‫Envoy כולל נקודת חולשה שאפשר לנצל מרחוק, שבה בקשת HTTP עם כותרות עם ערכים מרובים עלולה לבצע בדיקה חלקית של מדיניות הרשאה כשנעשה שימוש בתוסף ext_authz. כשכותרת של בקשה מכילה כמה ערכים, שרת ההרשאה החיצוני יראה רק את הערך האחרון של הכותרת.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • היא משתמשת בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • הוא משתמש בתכונה External Authorization.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

גבוהה

CVE-2021-32777
תיאור רמת סיכון הערות

‫Envoy כולל נקודת חולשה שאפשר לנצל מרחוק, שמשפיעה על התוספים או התוספים הקנייניים decompressor, ‏ json-transcoder ו-grpc-web של Envoy שמשנים ומגדילים את גוף הבקשה או התשובה. שינוי והגדלת הגוף בתוסף של Envoy מעבר לשטח האחסון הזמני הפנימי עלולים לגרום ל-Envoy לגשת לזיכרון שההקצאה שלו בוטלה ולהיסגר בצורה חריגה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם מתקיימים שני התנאים הבאים:

  • היא משתמשת בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • הוא משתמש ב-EnvoyFilters.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

גבוהה

CVE-2021-32781
תיאור רמת סיכון הערות

‫Envoy כולל נקודת חולשה שאפשר לנצל מרחוק, שבה לקוח Envoy שפותח ואז מאתחל מספר גדול של בקשות HTTP/2 עלול לגרום לשימוש חריג במעבד (CPU).

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.10.4-asm.6
  • 1.9.8-asm.1

הערה: אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.8 או בגרסאות קודמות, מומלץ לשדרג לגרסאות העדכניות של תיקוני האבטחה של Cloud Service Mesh 1.9 ואילך כדי לצמצם את הסיכון לניצול לרעה של הפגיעות הזו.

גבוהה

CVE-2021-32778
תיאור רמת סיכון הערות

‫Envoy כולל נקודת חולשה שאפשר לנצל מרחוק, שבה שירות upstream לא מהימן עלול לגרום ל-Envoy להיסגר בצורה חריגה על ידי שליחת המסגרת GOAWAY ואחריה המסגרת SETTINGS כשהפרמטר SETTINGS_MAX_CONCURRENT_STREAMS מוגדר ל-0.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם הוא משתמש ב-Cloud Service Mesh 1.10 עם גרסת תיקון מוקדמת יותר מ-1.10.4-asm.6.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לגרסת התיקון הבאה:

  • 1.10.4-asm.6

גבוהה

CVE-2021-32780

GCP-2021-012

תאריך פרסום: 24 ביוני 2021
תיאור רמת סיכון הערות

‫Istio secure Gateway או workloads using the DestinationRule יכולים לטעון מפתחות פרטיים ואישורים של TLS מסודות של Kubernetes באמצעות ההגדרה credentialName. מגרסה Istio 1.8 ואילך, הסודות נקראים מ-istiod ומועברים לשערי גישה ולעומסי עבודה באמצעות XDS.

בדרך כלל, פריסה של שער או של עומס עבודה יכולה לגשת רק לאישורי TLS ולמפתחות פרטיים שמאוחסנים בסוד במרחב השמות שלה. עם זאת, באג ב-istiod מאפשר ללקוח שמורשה לגשת אל Istio XDS API לאחזר כל אישור TLS ומפתחות פרטיים שנשמרו במטמון ב-istiod. פגיעות האבטחה הזו משפיעה רק על הגרסאות המשניות 1.8 ו-1.9 של Cloud Service Mesh.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם כל התנאים הבאים מתקיימים:

  • הוא משתמש בגרסה 1.9.x לפני 1.9.6-asm.1 או בגרסה 1.8.x לפני 1.8.6-asm.4.
  • הוגדר Gateways או DestinationRules עם השדה credentialName.
  • לא צוין הסימון istiod PILOT_ENABLE_XDS_CACHE=false.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.9.6-asm.1
  • 1.8.6-asm.4

אם שדרוג לא אפשרי, אפשר לצמצם את נקודת החולשה הזו על ידי השבתת istiod שמירה במטמון. כדי להשבית את השמירה במטמון, צריך להגדיר את משתנה הסביבה istiod לערך PILOT_ENABLE_XDS_CACHE=false. ההשבתה של שמירת נתונים במטמון של XDS עלולה להשפיע על הביצועים של המערכת ושל istiod.

גבוהה

CVE-2021-34824

GCP-2021-008

תאריך פרסום: 17 במאי 2021
תיאור רמת סיכון הערות

‫Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה לקוח חיצוני יכול לגשת לשירותים בלתי צפויים באשכול תוך עקיפה של בדיקות ההרשאה, כאשר יש שער שמוגדר באמצעות הגדרת הניתוב AUTO_PASSTHROUGH.

מה לעשות?

איך בודקים אם האשכולות מושפעים

הפגיעות הזו משפיעה רק על השימוש בסוג השער AUTO_PASSTHROUGH, שבדרך כלל משמש רק בפריסות מרובות רשתות ומרובות אשכולות.

מריצים את הפקודה הבאה כדי לזהות את מצב ה-TLS של כל שערים באשכול: 

kubectl get gateways.networking.istio.io -A -o \
  "custom-columns=NAMESPACE:.metadata.namespace, \
  NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode"

אם הפלט מציג שערים מסוג AUTO_PASSTHROUGH, יכול להיות שהדבר ישפיע עליכם.

השבתה זמנית של אותות אכיפה

מעדכנים את האשכולות לגרסאות האחרונות של Cloud Service Mesh:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* הערה: השקת Managed Control Plane של Cloud Service Mesh (זמין רק בגרסאות 1.9.x) תסתיים בימים הקרובים.

גבוהה

CVE-2021-31921

GCP-2021-007

תאריך פרסום: 17 במאי 2021
תיאור רמת סיכון הערות

‫Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה נתיב של בקשת HTTP שמכיל כמה קווים נטויים או תווים של קו נטוי עם תווי בריחה (escape)‏ (%2F או %5C) עלול לעקוף את מדיניות האימות של Istio כשמשתמשים בכללי אימות מבוססי-נתיב.

בתרחיש שבו אדמין של אשכול Istio מגדיר מדיניות דחייה של הרשאה כדי לדחות את הבקשה בנתיב "/admin", בקשה שנשלחת לנתיב כתובת ה-URL "//admin" לא תידחה על ידי מדיניות ההרשאה.

לפי RFC 3986, מבחינה טכנית, הנתיב "//admin" עם כמה לוכסנים צריך להיחשב כנתיב שונה מהנתיב "/admin". עם זאת, חלק מהשירותים העורפיים בוחרים לנרמל את נתיבי כתובות ה-URL על ידי מיזוג של כמה לוכסנים ללוכסן יחיד. התוצאה יכולה להיות עקיפה של מדיניות ההרשאות ("//admin" לא תואם ל-"/admin"), ומשתמש יכול לגשת למשאב בנתיב "/admin" בקצה העורפי.

מה לעשות?

איך בודקים אם האשכולות מושפעים

הפגיעות הזו משפיעה על האשכול שלכם אם יש לכם מדיניות הרשאות שמשתמשת בדפוסים הבאים: 'ALLOW action + notPaths field' או 'DENY action + paths field'. התבניות האלה פגיעות לעקיפות לא צפויות של המדיניות, ולכן מומלץ לשדרג כדי לפתור את בעיית האבטחה בהקדם האפשרי.

הדוגמה הבאה היא של מדיניות פגיעה שמשתמשת בתבנית 'שדה נתיבים + פעולת דחייה': 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-path-admin
spec:
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/admin"]

דוגמה נוספת למדיניות פגיעה שמשתמשת בתבנית 'ALLOW action + notPaths field': 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-path-not-admin
spec:
  action: ALLOW
  rules:
  - to:
    - operation:
        notPaths: ["/admin"]

האשכול שלכם לא מושפע מנקודת החולשה הזו אם:

  • אין לכם מדיניות הרשאות.
  • במדיניות ההרשאות לא מוגדרים השדות paths או notPaths.
  • במדיניות ההרשאות שלכם נעשה שימוש בדפוסים 'ALLOW action + paths field' או 'DENY action + notPaths field'. הדפוסים האלה עלולים לגרום לדחייה בלתי צפויה במקום לעקוף את המדיניות.

    • השדרוג הוא אופציונלי במקרים האלה.

הפחתת הסיכון

מעדכנים את האשכולות לגרסאות הנתמכות האחרונות של Cloud Service Mesh*. הגרסאות האלה תומכות בהגדרת שרתי ה-proxy של Envoy במערכת עם אפשרויות נורמליזציה נוספות:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* הערה: השקת Managed Control Plane של Cloud Service Mesh (זמין רק בגרסאות 1.9.x) תסתיים בימים הקרובים.

כדי להגדיר את מדיניות ההרשאות, פועלים לפי השיטות המומלצות לאבטחה ב-Istio.

גבוהה

CVE-2021-31920

GCP-2021-004

תאריך פרסום: 6 במאי 2021
תיאור רמת סיכון הערות

בפרויקטים Envoy ו-Istioדיווחו לאחרונה על מספר נקודות חולשה חדשות באבטחה (CVE-2021-28682, ‏ CVE-2021-28683 ו-CVE-2021-29258), שעלולות לאפשר לתוקף לגרום לקריסת Envoy, ואולי להוציא חלקים מהאשכול ממצב אונליין ולמנוע גישה אליהם.

הדבר משפיע על שירותים שסופקו, כמו Cloud Service Mesh.

מה לעשות?

כדי לתקן את נקודות החולשה האלה, צריך לשדרג את חבילת Cloud Service Mesh לאחת מהגרסאות המתוקנות הבאות:

  • 1.9.3-asm.2
  • 1.8.5-asm.2
  • 1.7.8-asm.1
  • 1.6.14-asm.2

מידע נוסף זמין בהערות על הגרסה של Cloud Service Mesh.

גבוהה

CVE-2021-28682
CVE-2021-28683
CVE-2021-29258