Buletin keamanan

Gunakan feed XML ini untuk berlangganan buletin keamanan Cloud Service Mesh. Berlangganan

Halaman ini mencantumkan buletin keamanan untuk Cloud Service Mesh.

GCP-2026-067

Dipublikasikan: 12-10-2026

Deskripsi Keparahan Catatan

Memperbaiki penghentian proses yang tidak normal di Envoy Proxy saat filter HTTP (seperti ext_proc yang dikonfigurasi dengan route_cache_action: RETAIN) mengubah header :path setelah pemilihan rute menjadi string yang lebih pendek daripada awalan rute yang cocok pada rute yang dikonfigurasi dengan prefix_rewrite.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cloud Service Mesh v1.30 dan v1.29 dalam cluster terpengaruh oleh kerentanan ini. Cloud Service Mesh v1.28 dalam cluster tidak terpengaruh.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.30.5-asm.8
  • 1.29.8-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.27 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Upgrade ke versi yang didukung.

Untuk Cloud Service Mesh terkelola, pelanggan tidak perlu melakukan tindakan apa pun. Sistem Anda diupdate secara otomatis.

Tinggi

envoyproxy/envoy#47841

GCP-2026-057

Dipublikasikan: 26-08-2026

Deskripsi Keparahan Catatan

Memperbaiki masalah saat upstream yang tidak tepercaya mengirimkan trailer respons HTTP/2 tanpa flag END_STREAM ke instance oghttp2 dapat merusak status streaming dan menyebabkan penghentian proses yang tidak normal.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-73513
Deskripsi Keparahan Catatan

Memperbaiki masalah saat pencocokan safe_regex memperlakukan byte header HTTP non-UTF-8 sebagai ketidakcocokan biasa, sehingga menyebabkan kebijakan RBAC yang menggunakan logika pencocokan negatif gagal terbuka.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-73552
Deskripsi Keparahan Catatan

Memperbaiki use-after-free di pengendali datagram HTTP QUIC, yang memungkinkan decoder aliran permintaan yang menggunakan Protokol Capsule dihancurkan saat datagram HTTP/3 yang terlambat masih mereferensikannya.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-73512
Deskripsi Keparahan Catatan

Memperbaiki penghentian proses yang tidak normal di filter ext_authz saat memproses permintaan CONNECT tanpa pseudo-header :path.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-73547
Deskripsi Keparahan Catatan

Memperbaiki penghentian proses yang tidak normal selama penanganan alamat IPv6 tercakup dalam cluster DST asli untuk permintaan HTTP/3.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-73549
Deskripsi Keparahan Catatan

Memperbaiki use-after-free di klien HTTP mentah ext_authz saat menyelesaikan permintaan otorisasi dengan balasan penolakan lokal.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-50572
Deskripsi Keparahan Catatan

Memperbaiki masalah pembuatan skrip lintas situs yang tersimpan di antarmuka statistik HTML (/stats?format=html).

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-73546
Deskripsi Keparahan Catatan

Memperbaiki penghentian proses yang tidak normal selama pemilihan kumpulan koneksi HTTP/3 berbasis ALPN yang disebabkan oleh dereferensi opsi soket transport null.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-48521
Deskripsi Keparahan Catatan

Memperbaiki normalisasi URL segmen jalur titik dan titik-titik yang berisi parameter yang dapat memungkinkan melewati kebijakan otorisasi berbasis jalur.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-73551
Deskripsi Keparahan Catatan

Memperbaiki pencocokan jalur untuk jalur yang berisi parameter matriks per segmen dengan menerapkan penghapusan parameter secara konsisten di seluruh segmen jalur.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-73511
Deskripsi Keparahan Catatan

Memperbaiki keracunan respons lintas pengguna yang melibatkan upgrade HTTP generik non-WebSocket dengan menjeda payload hingga upgrade diterima.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-73548
Deskripsi Keparahan Catatan

Memperbaiki masalah kehabisan memori HTTP/2 saat header Host duplikat yang dihapus tidak disertakan dalam batas header permintaan, sehingga mencegah potensi penghentian proxy.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-73550
Deskripsi Keparahan Catatan

Memperbaiki pengabaian otorisasi saat ignore_path_parameters_in_path_matching diaktifkan dengan memastikan pencocok jalur RBAC menerapkan penanganan parameter jalur yang sama seperti pemilihan rute.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.27 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-73553

GCP-2026-045

Dipublikasikan: 29-06-2026

Deskripsi Keparahan Catatan

Memperbaiki kerentanan yang menyebabkan decoding QPACK yang diblokir dapat menyebabkan serangan denial-of-service terhadap stack HTTP/3.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh dalam cluster terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.5-asm.5
  • 1.28.9-asm.4
  • 1.27.9-asm.9

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke v1.26 atau yang lebih baru.

Cloud Service Mesh terkelola tidak terpengaruh oleh CVE ini.

Tinggi

GHSA-p7c7-7c47-pwch

GCP-2026-040

Dipublikasikan: 23-06-2026

Deskripsi Keparahan Catatan

Perbaikan ini akan menghapus TLV yang melebihi batas ukuran dengan benar.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-47692
Deskripsi Keparahan Catatan

Memperbaiki masalah ext_proc dengan respons yang dipaketkan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-47207
Deskripsi Keparahan Catatan

Memperbaiki error uaf klien per rute ext_authz.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Hanya versi Cloud Service Mesh 1.28 dan 1.29 terbaru yang terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.28.9-asm.2
  • 1.27.9-asm.8

Sedang

CVE-2026-47205
Deskripsi Keparahan Catatan

Memperbaiki bug yang menyebabkan REQUESTED_SERVER_NAME dapat membuat envoy error.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Hanya versi Cloud Service Mesh 1.29 terbaru yang terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.5-asm.3

Tinggi

CVE-2026-47220
Deskripsi Keparahan Catatan

Memperbaiki masalah saat menangani pengalihan internal HTTP untuk permintaan tanpa isi.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-47221
Deskripsi Keparahan Catatan

Menerapkan MaxInflateRatio di dalam loop dalam dekompresor untuk mencegah OOM dari payload yang dibuat.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-48044
Deskripsi Keparahan Catatan

Batalkan klien token saat penghancuran filter untuk menghindari UAF.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-48090
Deskripsi Keparahan Catatan

Memperbaiki kerentanan bypass validasi SAN byte NUL yang disematkan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-47778
Deskripsi Keparahan Catatan

Memperbaiki masalah status grpc respons langsung.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-47204
Deskripsi Keparahan Catatan

Memperbaiki pemeriksaan kewajaran panjang nama kueri untuk menghindari penghentian proses yang tidak normal.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-48497
Deskripsi Keparahan Catatan

Memperbaiki masalah buffer overflow TcpStatsdSync dengan nama status yang panjang.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-48706
Deskripsi Keparahan Catatan

Memvalidasi panjang konten permintaan dan respons khusus header HTTP/3.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-48743
Deskripsi Keparahan Catatan

Memperbaiki padding oracle dalam kode OAuth2.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-47775
Deskripsi Keparahan Catatan

Memperbaiki stack overflow di destruktor dengan membatasi kedalaman bertingkat.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

Jika Anda menggunakan Cloud Service Mesh v1.26 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-48042

GCP-2026-035

Dipublikasikan: 08-06-2026

Deskripsi Keparahan Catatan

Kerentanan dalam pemrosesan permintaan downstream HTTP/2 Envoy memungkinkan klien jarak jauh yang tidak diautentikasi memicu konsumsi memori yang berlebihan, yang berpotensi mengakibatkan penghentian proses Envoy karena OOM (kehabisan memori) dan denial of service.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.28.7-asm.4
  • 1.27.9-asm.5
  • 1.26.8-asm.11

Jika Anda menggunakan Cloud Service Mesh v1.25 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke v1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-47774

GCP-2026-013

Dipublikasikan: 11-03-2026

Deskripsi Keparahan Catatan

Memperbaiki header multi-nilai yang melewati RBAC.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Jika Anda menggunakan Cloud Service Mesh v1.25 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-26308
Deskripsi Keparahan Catatan

Memperbaiki penulisan off-by-one yang dapat merusak terminator null string.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Jika Anda menggunakan Cloud Service Mesh v1.25 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-26309
Deskripsi Keparahan Catatan

Memperbaiki error di `getAddressWithPort()` saat dipanggil dengan alamat IPv6 yang memiliki cakupan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Jika Anda menggunakan Cloud Service Mesh v1.25 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-26310
Deskripsi Keparahan Catatan

Memastikan metode decode* diblokir setelah reset hilir.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Jika Anda menggunakan Cloud Service Mesh v1.25 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2026-26311
Deskripsi Keparahan Catatan

Memperbaiki bug yang menyebabkan batas fase respons dapat mengakibatkan error.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Hanya Cloud Service Mesh dalam cluster versi 1.28.2-asm.4 yang terpengaruh oleh CVE ini.

CVE ini tidak memengaruhi Cloud Service Mesh dengan bidang kontrol terkelola.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke versi yang telah di-patch berikut: >1.28.5-asm.9.

Untuk Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. CVE ini tidak memengaruhi Cloud Service Mesh dengan bidang kontrol terkelola.

Sedang

CVE-2026-26330
Deskripsi Keparahan Catatan

Memperbaiki kerentanan kebocoran kunci pribadi JSON Web Key Set.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

Jika Anda menggunakan Cloud Service Mesh v1.25 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2026-31837
Deskripsi Keparahan Catatan

Memperbaiki bug yang menyebabkan Endpoint debug Mengizinkan Akses Data Proxy Lintas Namespace

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Hanya Cloud Service Mesh dalam cluster versi 1.27 dan 1.28 yang terpengaruh oleh CVE ini.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.28.5-asm.9
  • 1.27.8-asm.7

Jika Anda menggunakan Cloud Service Mesh v1.25 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Lakukan upgrade ke versi 1.26 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. CVE ini tidak memengaruhi Cloud Service Mesh dengan bidang kontrol terkelola.

Sedang

CVE-2026-31838

GCP-2025-073

Dipublikasikan: 03-12-2025

Deskripsi Keparahan Catatan

Pencocokan sertifikat TLS untuk match_typed_subject_alt_names mungkin salah memperlakukan sertifikat yang berisi byte null tersemat.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh dalam cluster yang lebih lama dari:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

CVE ini tidak memengaruhi Cloud Service Mesh dengan bidang kontrol terkelola.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.24 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.25 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, tidak ada tindakan yang diperlukan. CVE ini tidak memengaruhi Cloud Service Mesh dengan bidang kontrol terkelola.

Sedang

CVE-2025-66220
Deskripsi Keparahan Catatan

Envoy mengalami error saat autentikasi JWT dikonfigurasi dengan pengambilan JWKS jarak jauh.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh dalam cluster yang lebih lama dari:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Cluster Anda terpengaruh jika menggunakan versi Cloud Service Mesh terkelola yang lebih lama dari:

  • 1.21.6-asm.7
  • 1.20.8-asm.59
  • 1.19.10-asm.54
Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.24 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.25 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, ikuti petunjuk dalam MSA. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2025-64527
Deskripsi Keparahan Catatan

Potensi penyelundupan permintaan dari data awal setelah upgrade CONNECT.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh dalam cluster yang lebih lama dari:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

CVE ini tidak memengaruhi Cloud Service Mesh dengan bidang kontrol terkelola.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.24 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.25 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. CVE ini tidak memengaruhi Cloud Service Mesh dengan bidang kontrol terkelola.

Sedang

CVE-2025-64763

GCP-2025-064

Dipublikasikan: 28-10-2025

Deskripsi Keparahan Catatan

Filter Lua dapat menyebabkan error Envoy saat menangani isi respons yang besar.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh:

Cluster Anda akan terpengaruh jika versi patch Anda lebih lama dari:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Jika Anda menggunakan Cloud Service Mesh v1.24 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.25 atau yang lebih baru.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Untuk Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2025-62504
Deskripsi Keparahan Catatan

Permintaan atau respons yang besar dapat menyebabkan error pada kumpulan koneksi TCP.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh:

Cluster Anda akan terpengaruh jika versi patch Anda lebih lama dari:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Jika Anda menggunakan Cloud Service Mesh v1.24 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Upgrade ke versi 1.25 atau yang lebih baru.

Mitigasi

Untuk Cloud Service Mesh dalam cluster, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

Untuk Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2025-62409

GCP-2025-048

Dipublikasikan: 02-09-2025

Deskripsi Keparahan Catatan

Penggunaan setelah tersedia di cache DNS.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Hanya cluster yang menjalankan Cloud Service Mesh dalam cluster versi 1.26 yang terpengaruh.

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak akan terpengaruh dan tidak perlu melakukan tindakan apa pun.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh dalam cluster 1.26, upgrade cluster yang terpengaruh ke 1.26.4-asm.1.

Tinggi

CVE-2025-54588

GCP-2024-065

Deskripsi Keparahan Catatan

Happy Eyeballs: Validasi bahwa additional_address adalah alamat IP, bukan error saat mengurutkan.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika versi patchnya lebih lama dari:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
Mitigasi

Untuk Cloud Service Mesh dalam cluster, Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.23.4-asm.1
  • 1.22.7-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.20 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke versi 1.21 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Sedang

CVE-2024-53269
Deskripsi Keparahan Catatan

HTTP/1: Error kelebihan beban saat permintaan direset sebelumnya.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika versi patchnya lebih lama dari:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17
  • 1.20.8-asm.14
  • 1.19.10-asm.24
Mitigasi

Untuk Cloud Service Mesh dalam cluster, Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17

Jika Anda menggunakan Cloud Service Mesh v1.20 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Jika Anda menggunakan Cloud Service Mesh v1.20 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke versi 1.21 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, tidak ada tindakan yang diperlukan. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2024-53270
Deskripsi Keparahan Catatan

HTTP/1.1 Beberapa masalah dengan envoy.reloadable_features.http1_balsa_delay_reset.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika versi patchnya lebih lama dari:

  • 1.23.4-asm.1
Mitigasi

Untuk Cloud Service Mesh dalam cluster, Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.23.4-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.20 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Jika Anda menggunakan Cloud Service Mesh v1.20 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke versi 1.21 atau yang lebih baru.

Untuk Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Semua versi tetap didukung dan sistem Anda akan otomatis diupdate dalam beberapa minggu mendatang.

Tinggi

CVE-2024-53271

GCP-2024-052

Dipublikasikan: 19-09-2024

Deskripsi Keparahan Catatan

Error oghttp2 di OnBeginHeadersForStream

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Hanya cluster yang menjalankan Cloud Service Mesh v1.23 yang terpengaruh

Mitigasi

Cloud Service Mesh 1.23.2-asm.2 berisi perbaikan untuk masalah ini. Anda tidak perlu melakukan tindakan apa pun.

Tinggi

CVE-2024-45807
Deskripsi Keparahan Catatan

Injeksi log berbahaya melalui log akses

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Sedang

CVE-2024-45808
Deskripsi Keparahan Catatan

Potensi manipulasi header `x-envoy` dari sumber eksternal

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Sedang

CVE-2024-45806
Deskripsi Keparahan Catatan

Error filter JWT dalam cache rute yang jelas dengan JWK jarak jauh

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Sedang

CVE-2024-45809
Deskripsi Keparahan Catatan

Envoy mengalami error untuk LocalReply di klien asinkron http

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

Sedang

CVE-2024-45810

GCP-2024-032

Dipublikasikan: 24-06-2024

Deskripsi Keparahan Catatan

Envoy salah menerima respons HTTP 200 untuk memasuki mode upgrade.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika tidak, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Sedang

CVE-2024-23326
Deskripsi Keparahan Catatan

Error di EnvoyQuicServerStream::OnInitialHeadersComplete().

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika tidak, upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Sedang

CVE-2024-32974
Deskripsi Keparahan Catatan

Error di QuicheDataReader::PeekVarInt62Length().

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika tidak, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Sedang

CVE-2024-32975
Deskripsi Keparahan Catatan

Loop tanpa akhir saat mendekompresi data Brotli dengan input tambahan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika tidak, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Tinggi

CVE-2024-32976
Deskripsi Keparahan Catatan

Error (use-after-free) di EnvoyQuicServerStream.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika tidak, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Sedang

CVE-2024-34362
Deskripsi Keparahan Catatan

Error karena pengecualian JSON nlohmann yang tidak tertangkap.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika tidak, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Tinggi

CVE-2024-34363
Deskripsi Keparahan Catatan

Vektor OOM Envoy dari klien asinkron HTTP dengan buffer respons tanpa batas untuk respons mirror.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika tidak, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • v1.19.10-asm.6
  • v1.18.7-asm.26
  • Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Sedang

CVE-2024-34364

GCP-2024-023

Dipublikasikan: 24-04-2024

Deskripsi Keparahan Catatan

HTTP/2: kehabisan memori karena banjir frame CONTINUATION.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan diupdate secara otomatis dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh v1.18 atau yang lebih baru.

Tinggi

CVE-2024-27919
Deskripsi Keparahan Catatan

HTTP/2: CPU exhaustion due to CONTINUATION frame flood

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan diupdate secara otomatis dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Sedang

CVE-2024-30255
Deskripsi Keparahan Catatan

Penghentian tidak normal saat menggunakan auto_sni dengan header ':authority' yang lebih panjang dari 255 karakter.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan diupdate secara otomatis dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.18 atau yang lebih baru.

Tinggi

CVE-2024-32475
Deskripsi Keparahan Catatan

Frame CONTINUATION HTTP/2 dapat digunakan untuk serangan DoS.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan diupdate secara otomatis dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

Jika Anda menggunakan Cloud Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke versi v1.18 atau yang lebih baru.

Tidak Tersedia

CVE-2023-45288

GCP-2024-007

Dipublikasikan: 08-02-2024

Deskripsi Keparahan Catatan

Envoy mengalami error saat tidak ada aktivitas dan waktu tunggu habis per permintaan terjadi dalam interval backoff.

Apa yang harus saya lakukan?

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Jika Anda menggunakan Anthos Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Meskipun perbaikan CVE ini telah di-backport ke 1.17, Anda harus mengupgrade ke 1.18 atau yang lebih baru.

Tinggi

CVE-2024-23322
Deskripsi Keparahan Catatan

Penggunaan CPU yang berlebihan saat pencocok template URI dikonfigurasi menggunakan ekspresi reguler.

Apa yang harus saya lakukan?

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Jika Anda menggunakan Anthos Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Meskipun perbaikan CVE ini telah di-backport ke 1.17, Anda harus mengupgrade ke 1.18 atau yang lebih baru.

Sedang

CVE-2024-23323
Deskripsi Keparahan Catatan

Otorisasi eksternal dapat diabaikan jika filter protokol Proxy menetapkan metadata UTF-8 yang tidak valid.

Apa yang harus saya lakukan?

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Jika Anda menggunakan Anthos Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Meskipun perbaikan CVE ini telah di-backport ke 1.17, Anda harus mengupgrade ke 1.18 atau yang lebih baru.

Tinggi

CVE-2024-23324
Deskripsi Keparahan Catatan

Envoy error saat menggunakan jenis alamat yang tidak didukung oleh OS.

Apa yang harus saya lakukan?

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Jika Anda menggunakan Anthos Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Meskipun perbaikan CVE ini telah di-backport ke 1.17, Anda harus mengupgrade ke 1.18 atau yang lebih baru.

Tinggi

CVE-2024-23325
Deskripsi Keparahan Catatan

Error dalam protokol proxy saat jenis perintah adalah LOCAL.

Apa yang harus saya lakukan?

Jika Anda menjalankan Cloud Service Mesh terkelola, Anda tidak perlu melakukan tindakan apa pun. Sistem Anda akan otomatis diupdate dalam beberapa hari mendatang.

Jika Anda menjalankan Cloud Service Mesh dalam cluster, Anda harus mengupgrade cluster ke salah satu versi yang telah di-patch berikut:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

Jika Anda menggunakan Anthos Service Mesh v1.17 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Meskipun perbaikan CVE ini telah di-backport ke 1.17, Anda harus mengupgrade ke 1.18 atau yang lebih baru.

Tinggi

CVE-2024-23327

GCP-2023-031

Dipublikasikan: 10-10-2023

Deskripsi Keparahan Catatan

Serangan penolakan layanan dapat memengaruhi bidang data saat menggunakan protokol HTTP/2.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.18.4, 1.17.7, atau 1.16.7.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.18.4-asm.0
  • 1.17.7-asm.0
  • 1.16.7-asm.10

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari ke depan.

Jika Anda menggunakan Cloud Service Mesh v1.15 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke v1.16 atau yang lebih baru.

Tinggi

CVE-2023-44487

GCP-2023-021

Updated:2023-07-26

Dipublikasikan: 25-07-2022
Deskripsi Keparahan Catatan

Klien berbahaya dapat membuat kredensial dengan validitas permanen dalam beberapa skenario tertentu. Misalnya, kombinasi host dan waktu habis masa berlaku dalam payload HMAC dapat selalu valid dalam pemeriksaan HMAC filter OAuth2.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari ke depan.

Jika Anda menggunakan Anthos Service Mesh 1.14 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke ASM 1.15 atau yang lebih baru.

Tinggi

CVE-2023-35941
Deskripsi Keparahan Catatan

Logger akses gRPC yang menggunakan cakupan global pemroses dapat menyebabkan error use-after-free saat pemroses dikosongkan. Hal ini dapat dipicu oleh update LDS dengan konfigurasi log akses gRPC yang sama.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari ke depan.

Jika Anda menggunakan Anthos Service Mesh 1.14 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke ASM 1.15 atau yang lebih baru.

Sedang

CVE-2023-35942
Deskripsi Keparahan Catatan

Jika header origin dikonfigurasi untuk dihapus dengan request_headers_to_remove: origin, filter CORS akan mengalami segfault dan error Envoy.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari ke depan.

Jika Anda menggunakan Anthos Service Mesh 1.14 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke ASM 1.15 atau yang lebih baru.

Sedang

CVE-2023-35943
Deskripsi Keparahan Catatan

Penyerang dapat mengirim permintaan skema campuran untuk mengabaikan beberapa pemeriksaan skema di Envoy. Misalnya, jika permintaan dengan skema campuran htTp dikirim ke filter OAuth2, permintaan tersebut akan gagal dalam pemeriksaan pencocokan persis untuk http, dan memberi tahu endpoint jarak jauh bahwa skemanya adalah https, sehingga berpotensi mengabaikan pemeriksaan OAuth2 khusus untuk permintaan HTTP.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari ke depan.

Jika Anda menggunakan Anthos Service Mesh 1.14 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke ASM 1.15 atau yang lebih baru.

Tinggi

CVE-2023-35944

GCP-2023-019

Deskripsi Keparahan Catatan

Respons yang dibuat secara khusus dari layanan upstream yang tidak tepercaya dapat menyebabkan denial of service melalui kehabisan memori. Hal ini disebabkan oleh codec HTTP/2 Envoy yang dapat membocorkan peta header dan struktur pembukuan setelah menerima RST_STREAM yang langsung diikuti oleh frame GOAWAY dari server upstream.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari

  • 1.17.4
  • 1.16.6
  • 1.15.7
Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.17.4-asm.2
  • 1.16.6-asm.3
  • 1.15.7-asm.21

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari ke depan.

Jika Anda menggunakan Anthos Service Mesh 1.14 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke ASM 1.15 atau yang lebih baru.

Tinggi

CVE-2023-35945

GCP-2023-002

Deskripsi Keparahan Catatan

Jika Envoy berjalan dengan filter OAuth yang diaktifkan dan diekspos, pihak berniat jahat dapat membuat permintaan yang akan menyebabkan denial of service dengan membuat Envoy error.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Jika Anda menggunakan Cloud Service Mesh v1.13 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.14 atau yang lebih baru.

Sedang

CVE-2023-27496
Deskripsi Keparahan Catatan

Penyerang dapat menggunakan kerentanan ini untuk melewati pemeriksaan autentikasi saat ext_authz digunakan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Jika Anda menggunakan Cloud Service Mesh v1.13 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh} 1.14 atau yang lebih baru.

Sedang

CVE-2023-27488
Deskripsi Keparahan Catatan

Konfigurasi Envoy juga harus menyertakan opsi untuk menambahkan header permintaan yang dibuat menggunakan input dari permintaan, yaitu SAN sertifikat peer.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Jika Anda menggunakan Cloud Service Mesh v1.13 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.14 atau yang lebih baru.

Tinggi

CVE-2023-27493
Deskripsi Keparahan Catatan

Penyerang dapat mengirimkan isi permintaan besar untuk rute yang mengaktifkan filter Lua dan memicu error.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Jika Anda menggunakan Cloud Service Mesh v1.13 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.14 atau yang lebih baru.

Sedang

CVE-2023-27492
Deskripsi Keparahan Catatan

Penyerang dapat mengirim permintaan HTTP/2 atau HTTP/3 yang dibuat secara khusus untuk memicu error penguraian pada layanan upstream HTTP/1.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Jika Anda menggunakan Cloud Service Mesh v1.13 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.14 atau yang lebih baru.

Sedang

CVE-2023-27491
Deskripsi Keparahan Catatan

Header x-envoy-original-path seharusnya merupakan header internal, tetapi Envoy tidak menghapus header ini dari permintaan di awal pemrosesan permintaan saat dikirim dari klien yang tidak tepercaya.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari:

  • 1.16.4
  • 1.15.7
  • 1.14.6
Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

Jika Anda menggunakan Cloud Service Mesh v1.13 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.14 atau yang lebih baru.

Tinggi

CVE-2023-27487

GCP-2022-020

Dipublikasikan: 05-10-2022
Diperbarui: 12-10-2022
Update 12-10-2022: Memperbarui link ke deskripsi CVE dan menambahkan informasi tentang update otomatis untuk Cloud Service Mesh terkelola.
Deskripsi Keparahan Catatan

Bidang kontrol Istio istiod rentan terhadap error pemrosesan permintaan, sehingga memungkinkan penyerang berbahaya yang mengirim pesan yang dibuat khusus menyebabkan bidang kontrol mengalami error saat webhook validasi untuk cluster diekspos secara publik. Endpoint ini disajikan melalui port TLS 15017, tetapi tidak memerlukan autentikasi apa pun dari penyerang.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.14.4, 1.13.8, atau 1.12.9.

Mitigasi

Jika Anda menjalankan Cloud Service Mesh mandiri, upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • Jika Anda menggunakan Anthos Service Mesh 1.14, upgrade ke v1.14.4-asm.2
  • Jika Anda menggunakan Anthos Service Mesh 1.13, upgrade ke v1.13.8-asm.4
  • Jika Anda menggunakan Anthos Service Mesh 1.12, upgrade ke v1.12.9-asm.3

Jika Anda menjalankan Cloud Service Mesh terkelola, sistem Anda akan otomatis diupdate dalam beberapa hari ke depan.

Jika Anda menggunakan Cloud Service Mesh v1.11 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.12 atau yang lebih baru.

Tinggi

CVE-2022-39278

GCP-2022-015

Dipublikasikan: 09-06-2022
Diperbarui: 10-06-2022
Pembaruan 10-06-2022: Versi patch yang diperbarui untuk Cloud Service Mesh.
Deskripsi Keparahan Catatan

Bidang data Istio berpotensi mengakses memori secara tidak aman saat ekstensi Pertukaran Metadata dan Statistik diaktifkan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.13.4-asm.4, 1.12.7-asm.2, atau 1.11.8-asm.4.

Mitigasi Cloud Service Mesh

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Jika Anda menggunakan Cloud Service Mesh v1.10 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.11 atau yang lebih baru. Untuk mengetahui informasi selengkapnya, lihat Mengupgrade dari versi sebelumnya (GKE atau Mengupgrade dari versi sebelumnya (on-premise).

Tinggi

CVE-2022-31045
Deskripsi Keparahan Catatan

Data dapat melampaui batas buffer perantara jika penyerang berbahaya meneruskan payload kecil yang sangat terkompresi (juga dikenal sebagai serangan bom zip).

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.13.4-asm.4, 1.12.7-asm.2, atau 1.11.8-asm.4.

Meskipun Cloud Service Mesh tidak mendukung filter Envoy, Anda dapat terpengaruh jika menggunakan filter dekompresi.

Mitigasi Cloud Service Mesh

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Jika Anda menggunakan Cloud Service Mesh v1.10 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.11 atau yang lebih baru. Untuk mengetahui informasi selengkapnya, lihat Mengupgrade dari versi sebelumnya (GKE atau Mengupgrade dari versi sebelumnya (on-premise).

Mitigasi Envoy

Pengguna Envoy yang mengelola Envoy mereka sendiri harus memastikan bahwa mereka menggunakan Envoy rilis 1.22.1. Pengguna Envoy yang mengelola Envoy mereka sendiri membangun biner dari sumber seperti GitHub dan men-deploy-nya.

Tidak ada tindakan yang perlu dilakukan oleh pengguna yang menjalankan Envoy terkelola (Google Cloud menyediakan biner Envoy), yang produk cloud-nya akan beralih ke 1.22.1.

Tinggi

CVE-2022-29225
Deskripsi Keparahan Catatan

Potensi dereferensi pointer null di GrpcHealthCheckerImpl.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.13.4-asm.4, 1.12.7-asm.2, atau 1.11.8-asm.4.

Mitigasi Cloud Service Mesh

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Jika Anda menggunakan Cloud Service Mesh v1.10 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.11 atau yang lebih baru. Untuk mengetahui informasi selengkapnya, lihat Mengupgrade dari versi sebelumnya (GKE atau Mengupgrade dari versi sebelumnya (on-premise).

Mitigasi Envoy

Pengguna Envoy yang mengelola Envoy mereka sendiri harus memastikan bahwa mereka menggunakan Envoy rilis 1.22.1. Pengguna Envoy yang mengelola Envoy mereka sendiri membangun biner dari sumber seperti GitHub dan men-deploy-nya.

Tidak ada tindakan yang perlu dilakukan oleh pengguna yang menjalankan Envoy terkelola (Google Cloud menyediakan biner Envoy), yang produk cloud-nya akan beralih ke 1.22.1.

Sedang

CVE-2021-29224
Deskripsi Keparahan Catatan

Filter OAuth memungkinkan bypass yang mudah.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.13.4-asm.4, 1.12.7-asm.2, atau 1.11.8-asm.4.

Meskipun Cloud Service Mesh tidak mendukung filter Envoy, Anda dapat terpengaruh jika menggunakan filter OAuth.

Mitigasi Cloud Service Mesh

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Jika Anda menggunakan Cloud Service Mesh v1.10 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.11 atau yang lebih baru. Untuk mengetahui informasi selengkapnya, lihat Mengupgrade dari versi sebelumnya (GKE atau Mengupgrade dari versi sebelumnya (lokal).

Mitigasi Envoy

Pengguna Envoy yang mengelola Envoy mereka sendiri dan juga menggunakan filter OAuth harus memastikan bahwa mereka menggunakan Envoy rilis 1.22.1. Pengguna Envoy yang mengelola Envoy mereka sendiri membangun biner dari sumber seperti GitHub dan men-deploy-nya.

Tidak ada tindakan yang perlu dilakukan oleh pengguna yang menjalankan Envoy terkelola (Google Cloud menyediakan biner Envoy), yang produk cloud-nya akan beralih ke 1.22.1.

Kritis

CVE-2021-29226
Deskripsi Keparahan Catatan

Filter OAuth dapat merusak memori (versi sebelumnya) atau memicu ASSERT() (versi yang lebih baru).

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.13.4-asm.4, 1.12.7-asm.2, atau 1.11.8-asm.4.

Meskipun Cloud Service Mesh tidak mendukung filter Envoy, Anda dapat terpengaruh jika menggunakan filter OAuth.

Mitigasi Cloud Service Mesh

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Jika Anda menggunakan Cloud Service Mesh v1.10 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.11 atau yang lebih baru.

Mitigasi Envoy

Pengguna Envoy yang mengelola Envoy mereka sendiri dan juga menggunakan filter OAuth harus memastikan bahwa mereka menggunakan Envoy rilis 1.22.1. Pengguna Envoy yang mengelola Envoy mereka sendiri membangun biner dari sumber seperti GitHub dan men-deploy-nya.

Tidak ada tindakan yang perlu dilakukan oleh pengguna yang menjalankan Envoy terkelola (Google Cloud menyediakan biner Envoy), yang produk cloud-nya akan beralih ke 1.22.1.

Tinggi

CVE-2022-29228
Deskripsi Keparahan Catatan

Pengalihan internal error untuk permintaan dengan isi atau trailer.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.13.4-asm.4, 1.12.7-asm.2, atau 1.11.8-asm.4.

Mitigasi Cloud Service Mesh

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

Jika Anda menggunakan Cloud Service Mesh v1.10 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.11 atau yang lebih baru. Untuk mengetahui informasi selengkapnya, lihat Mengupgrade dari versi sebelumnya (GKE atau Mengupgrade dari versi sebelumnya (lokal).

Mitigasi Envoy

Pengguna Envoy yang mengelola Envoy mereka sendiri harus memastikan bahwa mereka menggunakan Envoy rilis 1.22.1. Pengguna Envoy yang mengelola Envoy mereka sendiri membangun biner dari sumber seperti GitHub dan men-deploy-nya.

Tidak ada tindakan yang perlu dilakukan oleh pengguna yang menjalankan Envoy terkelola (Google Cloud menyediakan biner Envoy), yang produk cloud-nya akan beralih ke 1.22.1.

Tinggi

CVE-2022-29227

GCP-2022-010

Dipublikasikan: 10-03-2022
Diperbarui: 16-03-2022
Deskripsi Keparahan Catatan

Bidang kontrol Istio, istiod, rentan terhadap error pemrosesan permintaan, sehingga memungkinkan penyerang berbahaya mengirim pesan yang dibuat secara khusus yang mengakibatkan bidang kontrol error saat webhook validasi untuk cluster terekspos secara publik. Endpoint ini disajikan melalui port TLS 15017, tetapi tidak memerlukan autentikasi apa pun dari penyerang.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Semua versi Cloud Service Mesh terpengaruh oleh CVE ini.

Catatan: Jika Anda menggunakan Bidang Kontrol Terkelola, kerentanan ini telah diperbaiki dan Anda tidak akan terpengaruh.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.5-asm.0
  • 1.11.8-asm.0
  • 1.10.6-asm.2

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Tinggi

CVE-2022-24726

GCP-2022-007

Dipublikasikan: 22-02-2022
Deskripsi Keparahan Catatan

Istiod error saat menerima permintaan dengan header authorization yang dibuat khusus.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Cluster ini menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.12.4-asm.1, 1.11.7-asm.1, atau 1.10.6-asm.1.

Catatan: Jika Anda menggunakan Bidang Kontrol Terkelola, kerentanan ini telah diperbaiki dan Anda tidak akan terpengaruh.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses (EOL) dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Tinggi

CVE-2022-23635
Deskripsi Keparahan Catatan

Potensi dereferensi pointer null saat menggunakan kecocokan filter JWT safe_regex.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Cluster ini menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.12.4-asm.1, 1.11.7-asm.1, atau 1.10.6-asm.1.
  • Meskipun Cloud Service Mesh tidak mendukung filter Envoy, Anda dapat terpengaruh jika menggunakan regex filter JWT.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Sedang

CVE-2021-43824
Deskripsi Keparahan Catatan

Use-after-free saat filter respons meningkatkan data respons, dan peningkatan data melebihi batas buffer downstream.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Menggunakan versi patch Cloud Service Mesh sebelum 1.12.4-asm.1, 1.11.7-asm.1, atau 1.10.6-asm.1.
  • Meskipun Cloud Service Mesh tidak mendukung filter Envoy, Anda dapat terpengaruh jika menggunakan filter dekompresi.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Sedang

CVE-2021-43825
Deskripsi Keparahan Catatan

Use-after-free saat melakukan tunneling TCP melalui HTTP, jika downstream terputus selama pembuatan koneksi upstream.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Menggunakan versi patch Cloud Service Mesh sebelum 1.12.4-asm.1, 1.11.7-asm.1, atau 1.10.6-asm.1.
  • Meskipun Cloud Service Mesh tidak mendukung filter Envoy, Anda dapat terpengaruh jika menggunakan filter tunneling.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Sedang

CVE-2021-43826
Deskripsi Keparahan Catatan

Penanganan konfigurasi yang salah memungkinkan penggunaan kembali sesi mTLS tanpa validasi ulang setelah setelan validasi berubah.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Cluster ini menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.12.4-asm.1, 1.11.7-asm.1, atau 1.10.6-asm.1.
  • Semua layanan Cloud Service Mesh yang menggunakan mTLS terpengaruh oleh CVE ini.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Tinggi

CVE-2022-21654
Deskripsi Keparahan Catatan

Penanganan pengalihan internal yang salah ke rute dengan entri respons langsung.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Menggunakan versi patch Cloud Service Mesh sebelum 1.12.4-asm.1, 1.11.7-asm.1, atau 1.10.6-asm.1.
  • Meskipun Cloud Service Mesh tidak mendukung filter Envoy, Anda dapat terpengaruh jika menggunakan filter respons langsung.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Tinggi

CVE-2022-21655
Deskripsi Keparahan Catatan

Stack habis saat cluster dihapus melalui Cluster Discovery Service.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Cluster menggunakan patch versi Cloud Service Mesh yang lebih lama dari 1.12.4-asm.1 atau 1.11.7-asm.1.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.12.4-asm.1
  • 1.11.7-asm.1

Jika Anda menggunakan Cloud Service Mesh v1.9 atau yang lebih lama, rilis Anda telah mencapai akhir siklus proses dan tidak lagi didukung. Perbaikan CVE ini belum di-backport. Anda harus mengupgrade ke Cloud Service Mesh 1.10 atau yang lebih baru.

Sedang

CVE-2022-23606

GCP-2021-016

Dipublikasikan: 24-08-2021
Deskripsi Keparahan Catatan

Istio berisi kerentanan yang dapat dieksploitasi dari jarak jauh, di mana permintaan HTTP dengan fragmen (bagian di akhir URI yang dimulai dengan karakter #) di jalur URI dapat melewati kebijakan otorisasi berbasis jalur URI Istio.

Misalnya, kebijakan otorisasi Istio menolak permintaan yang dikirim ke jalur URI /user/profile. Dalam versi yang rentan, permintaan dengan jalur URI /user/profile#section1 akan mengabaikan kebijakan penolakan dan merutekan ke backend (dengan jalur URI yang dinormalisasi /user/profile%23section1), yang menyebabkan insiden keamanan.

Perbaikan ini bergantung pada perbaikan di Envoy, yang terkait dengan CVE-2021-32779.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Dengan versi baru, bagian fragmen URI permintaan akan dihapus sebelum otorisasi dan pemilihan rute. Hal ini mencegah permintaan dengan fragmen di URI-nya melewati kebijakan otorisasi yang didasarkan pada URI tanpa bagian fragmen.

Tidak ikut

Jika Anda memilih tidak menggunakan perilaku baru ini, bagian fragmen di URI akan tetap dipertahankan. Untuk memilih tidak ikut, Anda dapat mengonfigurasi penginstalan sebagai berikut: 

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: opt-out-fragment-cve-fix
  namespace: istio-system
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false"

Catatan: Memilih tidak ikut perilaku ini akan membuat cluster Anda rentan terhadap CVE ini.

Tinggi

CVE-2021-39156
Deskripsi Keparahan Catatan

Istio berisi kerentanan yang dapat dieksploitasi dari jarak jauh, yang memungkinkan permintaan HTTP mengabaikan kebijakan otorisasi Istio saat menggunakan aturan berdasarkan hosts atau notHosts.

Dalam versi yang rentan, kebijakan otorisasi Istio membandingkan header HTTP Host atau :authority dengan cara peka huruf besar/kecil, yang tidak konsisten dengan RFC 4343. Misalnya, pengguna dapat memiliki kebijakan otorisasi yang menolak permintaan dengan host secret.com, tetapi penyerang dapat mengabaikannya dengan mengirimkan permintaan di nama host Secret.com. Alur perutean merutekan traffic ke backend untuk secret.com, yang menyebabkan insiden keamanan.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Mitigasi ini memastikan bahwa header HTTP Host atau :authority dievaluasi terhadap spesifikasi hosts atau notHosts dalam kebijakan otorisasi dengan cara yang tidak peka huruf besar/kecil.

Tinggi

CVE-2021-39155
Deskripsi Keparahan Catatan

Envoy berisi kerentanan yang dapat dieksploitasi dari jarak jauh, yaitu permintaan HTTP dengan header beberapa nilai dapat melakukan pemeriksaan kebijakan otorisasi yang tidak lengkap saat ekstensi ext_authz digunakan. Jika header permintaan berisi beberapa nilai, server otorisasi eksternal hanya akan melihat nilai terakhir dari header yang diberikan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1, dan 1.10.4-asm.6.
  • Fitur ini menggunakan Otorisasi Eksternal.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Tinggi

CVE-2021-32777
Deskripsi Keparahan Catatan

Envoy berisi kerentanan yang dapat dieksploitasi dari jarak jauh yang memengaruhi ekstensi decompressor, json-transcoder, atau grpc-web Envoy atau ekstensi eksklusif yang mengubah dan meningkatkan ukuran isi permintaan atau respons. Mengubah dan meningkatkan ukuran isi dalam ekstensi Envoy melebihi ukuran buffer internal dapat menyebabkan Envoy mengakses memori yang tidak dialokasikan dan berhenti secara tidak normal.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika kedua hal berikut terpenuhi:

  • Menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1, dan 1.10.4-asm.6.
  • API ini menggunakan EnvoyFilters.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

Tinggi

CVE-2021-32781
Deskripsi Keparahan Catatan

Envoy berisi kerentanan yang dapat dieksploitasi dari jarak jauh. Klien Envoy yang membuka lalu mereset sejumlah besar permintaan HTTP/2 dapat menyebabkan konsumsi CPU yang berlebihan.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan versi patch Cloud Service Mesh yang lebih lama dari 1.7.8-asm.10, 1.8.6-asm.8, 1.9.8-asm.1, dan 1.10.4-asm.6.

Mitigasi

Upgrade cluster Anda ke salah satu versi yang telah di-patch berikut:

  • 1.10.4-asm.6
  • 1.9.8-asm.1

Catatan: Jika Anda menggunakan Cloud Service Mesh 1.8 atau yang lebih lama, harap upgrade ke versi patch terbaru Cloud Service Mesh 1.9 dan yang lebih baru untuk mengurangi kerentanan ini.

Tinggi

CVE-2021-32778
Deskripsi Keparahan Catatan

Envoy berisi kerentanan yang dapat dieksploitasi dari jarak jauh, yang memungkinkan layanan upstream yang tidak tepercaya menyebabkan Envoy berhenti secara tidak normal dengan mengirimkan frame GOAWAY diikuti dengan frame SETTINGS dengan parameter SETTINGS_MAX_CONCURRENT_STREAMS yang ditetapkan ke 0.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika menggunakan Cloud Service Mesh 1.10 dengan versi patch yang lebih lama dari 1.10.4-asm.6.

Mitigasi

Upgrade cluster Anda ke versi patch berikut:

  • 1.10.4-asm.6

Tinggi

CVE-2021-32780

GCP-2021-012

Dipublikasikan: 24-06-2021
Deskripsi Keparahan Catatan

Gateway Istio yang aman atau workload yang menggunakan DestinationRule dapat memuat kunci pribadi dan sertifikat TLS dari secret Kubernetes melalui konfigurasi credentialName. Mulai dari Istio 1.8, secret dibaca dari istiod dan disampaikan ke gateway dan workload melalui XDS.

Biasanya, deployment gateway atau workload hanya dapat mengakses sertifikat TLS dan kunci pribadi yang disimpan dalam secret dalam namespace-nya. Namun, bug di istiod memungkinkan klien yang diberi otorisasi untuk mengakses Istio XDS API mengambil sertifikat TLS dan kunci pribadi yang di-cache di istiod. Kerentanan keamanan ini hanya memengaruhi rilis minor 1.8 dan 1.9 dari Cloud Service Mesh.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda akan terpengaruh jika SEMUA kondisi berikut terpenuhi:

  • Cluster ini menggunakan versi 1.9.x sebelum 1.9.6-asm.1 atau 1.8.x sebelum 1.8.6-asm.4.
  • Telah menentukan Gateways atau DestinationRules dengan kolom credentialName yang ditentukan.
  • Flag istiod PILOT_ENABLE_XDS_CACHE=false tidak ditentukan.
Mitigasi

Upgrade cluster Anda ke salah satu versi yang di-patch berikut:

  • 1.9.6-asm.1
  • 1.8.6-asm.4

Jika upgrade tidak memungkinkan, Anda dapat mengurangi kerentanan ini dengan menonaktifkan caching istiod. Anda dapat menonaktifkan caching dengan menetapkan variabel lingkungan istiod ke PILOT_ENABLE_XDS_CACHE=false. Performa sistem dan istiod dapat terpengaruh karena tindakan ini menonaktifkan caching XDS.

Tinggi

CVE-2021-34824

GCP-2021-008

Dipublikasikan: 17-05-2021
Deskripsi Keparahan Catatan

Istio berisi kerentanan yang dapat dieksploitasi dari jarak jauh, yang memungkinkan klien eksternal mengakses layanan yang tidak terduga dalam cluster, sehingga mengabaikan pemeriksaan otorisasi, saat gateway dikonfigurasi dengan konfigurasi perutean AUTO_PASSTHROUGH.

Apa yang harus saya lakukan?

Memeriksa apakah cluster Anda terpengaruh

Kerentanan ini hanya memengaruhi penggunaan jenis Gateway AUTO_PASSTHROUGH, yang biasanya hanya digunakan dalam deployment multi-jaringan dan multi-cluster.

Deteksi mode TLS semua Gateway di cluster dengan perintah berikut: 

kubectl get gateways.networking.istio.io -A -o \
  "custom-columns=NAMESPACE:.metadata.namespace, \
  NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode"

Jika output menampilkan Gateway AUTO_PASSTHROUGH, Anda mungkin akan terpengaruh.

Mitigasi

Update cluster Anda ke versi Cloud Service Mesh terbaru:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* Catatan: Peluncuran Bidang Kontrol Terkelola Cloud Service Mesh (hanya tersedia dalam versi 1.9.x) akan selesai dalam beberapa hari ke depan.

Tinggi

CVE-2021-31921

GCP-2021-007

Dipublikasikan: 17-05-2021
Deskripsi Keparahan Catatan

Istio berisi kerentanan yang dapat dieksploitasi dari jarak jauh, di mana jalur permintaan HTTP dengan beberapa garis miring atau karakter garis miring yang di-escape (%2F atau %5C) berpotensi mengabaikan kebijakan otorisasi Istio saat aturan otorisasi berbasis jalur digunakan.

Dalam skenario ketika administrator cluster Istio menentukan kebijakan otorisasi DENY untuk menolak permintaan di jalur "/admin", permintaan yang dikirim ke jalur URL "//admin" TIDAK akan ditolak oleh kebijakan otorisasi.

Menurut RFC 3986, jalur "//admin" dengan beberapa garis miring secara teknis harus diperlakukan sebagai jalur yang berbeda dari "/admin". Namun, beberapa layanan backend memilih untuk menormalisasi jalur URL dengan menggabungkan beberapa garis miring menjadi satu garis miring. Hal ini dapat mengakibatkan bypass kebijakan otorisasi ("//admin" tidak cocok dengan "/admin"), dan pengguna dapat mengakses resource di jalur "/admin" di backend.

Apa yang harus saya lakukan?

Periksa apakah cluster Anda terpengaruh

Cluster Anda terpengaruh oleh kerentanan ini jika Anda memiliki kebijakan otorisasi yang menggunakan pola "tindakan IZINKAN + kolom notPaths" atau "tindakan TOLAK + kolom paths". Pola ini rentan terhadap pengabaian kebijakan yang tidak terduga dan Anda harus mengupgrade untuk memperbaiki masalah keamanan sesegera mungkin.

Berikut adalah contoh kebijakan rentan yang menggunakan pola "DENY action + paths field": 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-path-admin
spec:
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/admin"]

Berikut adalah contoh lain kebijakan rentan yang menggunakan pola "izinkan tindakan + kolom notPaths": 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-path-not-admin
spec:
  action: ALLOW
  rules:
  - to:
    - operation:
        notPaths: ["/admin"]

Cluster Anda tidak terpengaruh oleh kerentanan ini jika:

  • Anda tidak memiliki kebijakan otorisasi.
  • Kebijakan otorisasi Anda tidak menentukan kolom paths atau notPaths.
  • Kebijakan otorisasi Anda menggunakan pola "tindakan ALLOW + kolom paths" atau "tindakan DENY + kolom notPaths". Pola ini hanya dapat menyebabkan penolakan yang tidak terduga, bukan penyimpangan kebijakan.

    • Upgrade bersifat opsional untuk kasus ini.

Mitigasi

Update cluster Anda ke versi Cloud Service Mesh terbaru yang didukung*. Versi ini mendukung konfigurasi proxy Envoy dalam sistem dengan lebih banyak opsi normalisasi:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* Catatan: Peluncuran Managed Control Plane Cloud Service Mesh (hanya tersedia di versi 1.9.x) akan selesai dalam beberapa hari ke depan.

Ikuti panduan praktik terbaik keamanan Istio untuk mengonfigurasi kebijakan otorisasi Anda.

Tinggi

CVE-2021-31920

GCP-2021-004

Dipublikasikan: 06-05-2021
Deskripsi Keparahan Catatan

Project Envoy dan Istio baru-baru ini mengumumkan beberapa kerentanan keamanan baru (CVE-2021-28682, CVE-2021-28683, dan CVE-2021-29258), yang dapat memungkinkan penyerang membuat Envoy error dan berpotensi membuat bagian cluster offline dan tidak dapat dijangkau.

Hal ini memengaruhi layanan yang diberikan seperti Cloud Service Mesh.

Apa yang harus saya lakukan?

Untuk memperbaiki kerentanan ini, upgrade paket Cloud Service Mesh Anda ke salah satu versi yang telah di-patch berikut:

  • 1.9.3-asm.2
  • 1.8.5-asm.2
  • 1.7.8-asm.1
  • 1.6.14-asm.2

Untuk mengetahui informasi selengkapnya, lihat catatan rilis Cloud Service Mesh.

Tinggi

CVE-2021-28682
CVE-2021-28683
CVE-2021-29258