עדכוני אבטחה דחופים

רוצים לקבל עדכוני אבטחה דחופים ל-Cloud Service Mesh? תוכלו להירשם לפיד ה-XML הזה. הרשמה

בדף הזה מפורטים עדכוני האבטחה הדחופים ל-Cloud Service Mesh.

GCP-2026-067

תאריך פרסום: 12 באוקטובר 2026

תיאור רמת סיכון הערות

תיקון של סיום תהליך חריג ב-Envoy Proxy כשמסנן HTTP (כמו ext_proc שמוגדר עם route_cache_action: RETAIN) משנה את הכותרת :path אחרי בחירת הנתיב למחרוזת קצרה יותר מהקידומת של הנתיב התואם בנתיב שמוגדר עם prefix_rewrite.

מה לעשות?

איך בודקים אם האשכולות מושפעים

גרסאות 1.30 ו-1.29 של Cloud Service Mesh באשכול מושפעות מנקודת החולשה הזו. ‫Cloud Service Mesh בתוך האשכול (in-cluster) בגרסה 1.28 לא מושפע.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.30.5-asm.8
  • 1.29.8-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.27 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. צריך לשדרג לגרסה נתמכת.

אם אתם משתמשים ב-Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת מתעדכנת באופן אוטומטי.

גבוהה

envoyproxy/envoy#47841

GCP-2026-057

תאריך פרסום: 26 באוגוסט 2026

תיאור רמת סיכון הערות

תוקנה בעיה שבה שירות upstream לא מהימן ששולח טריילרים של תגובת HTTP/2 ללא הדגל END_STREAM למופע oghttp2 עלול לגרום להשחתת מצב הסטרימינג ולסיום חריג של התהליך.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-73513
תיאור רמת סיכון הערות

תוקנה בעיה שבה התאמה של safe_regex התייחסה לבייטים של כותרת HTTP שאינם UTF-8 כאל אי-התאמה רגילה, וכתוצאה מכך כללי מדיניות RBAC שמשתמשים בלוגיקה של התאמה שלילית נכשלו.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-73552
תיאור רמת סיכון הערות

תוקנה שגיאת Use-after-free במטפל ב-datagram של QUIC HTTP, שבה בקשה באמצעות פרוטוקול Capsule עלולה לגרום להרס של מפענח הזרם שלה, בזמן ש-datagrams מאוחרים של HTTP/3 עדיין מפנים אליה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-73512
תיאור רמת סיכון הערות

תוקנה סיום חריג של תהליך במסנן ext_authz כשמעבדים בקשות CONNECT ללא פסאודו-כותרת :path.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-73547
תיאור רמת סיכון הערות

תיקון של סיום תהליך חריג במהלך טיפול בכתובת IPv6 מוגבלת באשכולות DST מקוריים לבקשות HTTP/3.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-73549
תיאור רמת סיכון הערות

תיקון של use-after-free בצד הלקוח ב-HTTP הגולמי של ext_authz כשמשלימים בקשות הרשאה עם תשובות דחייה מקומיות.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-50572
תיאור רמת סיכון הערות

תיקון בעיה של פרצת אבטחה XSS‏ (cross-site scripting) ששמורה בממשק הנתונים הסטטיסטיים של HTML‏ (‎/stats?format=html).

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-73546
תיאור רמת סיכון הערות

בוצע תיקון של סיום תהליך לא תקין במהלך בחירה של מאגר חיבורים מבוסס-ALPN ל-HTTP/3, שנגרם כתוצאה מביטול ההפניה של אפשרויות שקע תחבורה מסוג null.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-48521
תיאור רמת סיכון הערות

תוקן נירמול כתובות URL של מקטעי נתיב עם נקודה ונקודה-נקודה שמכילים פרמטרים שיכולים לאפשר עקיפה של מדיניות הרשאה מבוססת-נתיב.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-73551
תיאור רמת סיכון הערות

בוצע תיקון של התאמת נתיבים לנתיבים שמכילים פרמטרים של מטריצה לכל פלח, על ידי החלת הסרת פרמטרים באופן עקבי על פלחי נתיבים.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-73511
תיאור רמת סיכון הערות

תוקנה בעיה של הרעלת תגובות בין משתמשים שקשורה לשדרוגי HTTP כלליים שאינם WebSocket, על ידי השהיית מטען ייעודי עד שהשדרוג יאושר.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-73548
תיאור רמת סיכון הערות

תוקנה בעיה של ניצול יתר של הזיכרון ב-HTTP/2, שבה כותרות Host כפולות שהושלכו לא נכללו במגבלות של כותרות הבקשה, וכך נמנעת אפשרות לסיום של proxy.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-73550
תיאור רמת סיכון הערות

תיקון של עקיפת הרשאה כשהאפשרות ignore_path_parameters_in_path_matching הופעלה, על ידי הבטחה שההתאמות של נתיב RBAC מחילות את אותו טיפול בפרמטר של הנתיב כמו הניתוב.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.7-asm.2
  • 1.28.10-asm.24
  • 1.27.9-asm.34

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.27 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-73553

GCP-2026-045

תאריך פרסום: 29 ביוני 2026

תיאור רמת סיכון הערות

תיקון של נקודת חולשה שבה פענוח חסום של QPACK יכול לגרום להתקפת מניעת שירות (DoS) נגד מחסנית HTTP/3.

מה לעשות?

איך בודקים אם האשכולות הושפעו

כל הגרסאות של Cloud Service Mesh באשכול מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.29.5-asm.5
  • 1.28.9-asm.4
  • 1.27.9-asm.9

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.26 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף מחזור החיים שלה והיא כבר לא נתמכת. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. צריך לשדרג לגרסה 1.26 ואילך.

‫Cloud Service Mesh המנוהל לא מושפע מה-CVE הזה.

גבוהה

GHSA-p7c7-7c47-pwch

GCP-2026-040

תאריך פרסום: 23 ביוני 2026

תיאור רמת סיכון הערות

התיקון מסיר בצורה נכונה את ה-TLV שחורגים ממגבלת הגודל.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-47692
תיאור רמת סיכון הערות

תיקון בעיה ב-ext_proc עם תגובות ארוזות.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-47207
תיאור רמת סיכון הערות

תיקון קריסה של ext_authz לכל לקוח uaf של מסלול.

מה לעשות?

איך בודקים אם האשכולות מושפעים

רק גרסאות Cloud Service Mesh האחרונות, 1.28 ו-1.29, מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.9-asm.2
  • 1.27.9-asm.8

בינוני

CVE-2026-47205
תיאור רמת סיכון הערות

תיקון באג שבו REQUESTED_SERVER_NAME עלול לגרום לקריסה של Envoy.

מה לעשות?

איך בודקים אם האשכולות מושפעים

רק הגרסה האחרונה של Cloud Service Mesh‏ (1.29) מושפעת מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3

גבוהה

CVE-2026-47220
תיאור רמת סיכון הערות

תוקנה בעיה בטיפול בהפניות פנימיות של HTTP לבקשות ללא גוף.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-47221
תיאור רמת סיכון הערות

כדי למנוע שגיאות OOM ממטען ייעודי (payload) שנוצר במיוחד, צריך לאכוף את MaxInflateRatio בתוך הלולאה הפנימית של רכיב ביטול הדחיסה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-48044
תיאור רמת סיכון הערות

ביטול של לקוח האסימון בזמן השמדת המסנן כדי למנוע UAF.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-48090
תיאור רמת סיכון הערות

תיקון פרצת אבטחה שמאפשרת לעקוף את אימות ה-SAN של בייט NUL מוטמע.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-47778
תיאור רמת סיכון הערות

תוקנה בעיה בסטטוס grpc של תגובה ישירה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-47204
תיאור רמת סיכון הערות

תיקון בדיקת התקינות של אורך שם השאילתה כדי למנוע סיום חריג של התהליך.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-48497
תיאור רמת סיכון הערות

תיקון בעיה של גלישת מאגר נתונים זמני ב-TcpStatsdSync עם שם סטטוס ארוך.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-48706
תיאור רמת סיכון הערות

מאמת את אורך התוכן של בקשה ותגובה של כותרות HTTP/3 בלבד.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-48743
תיאור רמת סיכון הערות

תיקון של padding oracle בקוד OAuth2.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ל-Cloud Service Mesh מנוהל, פועלים לפי ההוראות בהסכם ה-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

בינוני

CVE-2026-47775
תיאור רמת סיכון הערות

תיקון גלישת מחסנית ב-destructor על ידי הגבלת עומק הקינון.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.29.5-asm.3
  • 1.28.9-asm.2
  • 1.27.9-asm.8

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.26 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקון הזה של CVE לא הועבר לגרסאות קודמות. כדאי לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2026-48042

GCP-2026-035

תאריך פרסום: 8 ביוני 2026

תיאור רמת סיכון הערות

פגיעות בעיבוד בקשות במורד הזרם של HTTP/2 ב-Envoy מאפשרת ללקוח מרוחק לא מאומת להפעיל שימוש מוגזם בזיכרון, מה שעלול לגרום לסיום התהליך של Envoy בגלל חוסר זיכרון (OOM) ולמניעת שירות (DoS).

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.7-asm.4
  • 1.27.9-asm.5
  • 1.26.8-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.25 או בגרסה מוקדמת יותר, הגרסה הגיעה לסוף חיי התמיכה שלה ולא נתמכת יותר. התיקון הזה של CVE לא הוסב בגרסאות מוקדמות יותר. כדאי לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

גבוהה

CVE-2026-47774

GCP-2026-013

תאריך פרסום: 11 במרץ 2026

תיאור רמת סיכון הערות

תיקון מעקף של כותרת עם כמה ערכים ב-RBAC.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.25 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

גבוהה

CVE-2026-26308
תיאור רמת סיכון הערות

תיקון של שגיאת off-by-one בכתיבה שעלולה להשחית את תו הסיום null של המחרוזת.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.25 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-26309
תיאור רמת סיכון הערות

תיקון קריסה ב-`getAddressWithPort() כשמתבצעת קריאה עם כתובת IPv6 מוגדרת.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.25 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-26310
תיאור רמת סיכון הערות

מוודא ששיטות decode* ‎ נחסמות אחרי איפוס במורד הזרם.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.25 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2026-26311
תיאור רמת סיכון הערות

תוקן באג שבו מגבלת שלב התגובה עלולה לגרום לקריסה.

מה לעשות?

איך בודקים אם האשכולות הושפעו

רק גרסה 1.28.2-asm.4 של Cloud Service Mesh בתוך האשכול מושפעת מ-CVE הזה.

ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לגרסת התיקון הבאה: >1.28.5-asm.9.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

בינוני

CVE-2026-26330
תיאור רמת סיכון הערות

תיקון נקודת חולשה שגורמת לדליפה של מפתח פרטי ב-JSON Web Key Set.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.5-asm.9
  • 1.27.8-asm.7
  • 1.26.8-asm.3

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.25 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל, פועלים לפי ההוראות ב-MSA. כל הגרסאות ממשיכות להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

גבוהה

CVE-2026-31837
תיאור רמת סיכון הערות

תוקן באג שבו נקודות קצה (endpoints) לניפוי באגים מאפשרות גישה לנתוני שרת proxy במרחבי שמות שונים

מה לעשות?

איך בודקים אם האשכולות הושפעו

רק גרסאות 1.27 ו-1.28 של Cloud Service Mesh באשכול מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.28.5-asm.9
  • 1.27.8-asm.7

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.25 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. צריך לשדרג לגרסה 1.26 ואילך.

ב-Cloud Service Mesh המנוהל לא נדרשת פעולה. ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

בינוני

CVE-2026-31838

GCP-2025-073

תאריך פרסום: 3 בדצמבר 2025

תיאור רמת סיכון הערות

התאמת אישורי TLS ל-match_typed_subject_alt_names עלולה לטפל באופן שגוי באישורים שמכילים בית אפס מוטמע.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם משתמשים בגרסת תיקון של Cloud Service Mesh באשכול שקודמת לגרסאות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.25 ואילך.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

בינוני

CVE-2025-66220
תיאור רמת סיכון הערות

Envoy קורס כשמגדירים אימות JWT עם אחזור JWKS מרחוק.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם משתמשים בגרסת תיקון של Cloud Service Mesh באשכול שקודמת לגרסאות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

האשכול שלכם מושפע אם הוא משתמש בגרסה מנוהלת של Cloud Service Mesh שקודמת לגרסאות הבאות:

  • 1.21.6-asm.7
  • 1.20.8-asm.59
  • 1.19.10-asm.54
השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.25 ואילך.

ב-Cloud Service Mesh המנוהל, צריך לפעול לפי ההוראות ב-MSA. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2025-64527
תיאור רמת סיכון הערות

בקשה פוטנציאלית להברחת נתונים מוקדמים אחרי השדרוג של CONNECT.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול מושפע אם משתמשים בגרסת תיקון של Cloud Service Mesh באשכול שקודמת לגרסאות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.4-asm.1
  • 1.26.7-asm.1
  • 1.25.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.25 ואילך.

ב-Cloud Service Mesh המנוהל לא נדרשת פעולה. ה-CVE הזה לא משפיע על Cloud Service Mesh עם מישור בקרה מנוהל.

בינוני

CVE-2025-64763

GCP-2025-064

תאריך פרסום: 28 באוקטובר 2025

תיאור רמת סיכון הערות

מסנני Lua עלולים לגרום לקריסה של Envoy כשהם מטפלים בגוף תגובה גדול.

מה לעשות?

כדי לבדוק אם האשכולות שלכם מושפעים:

האשכול מושפע אם גרסאות התיקונים שלו קודמות לגרסאות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). כדאי לשדרג לגרסה 1.25 ואילך.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

ב-Cloud Service Mesh המנוהל לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2025-62504
תיאור רמת סיכון הערות

בקשות או תגובות גדולות עלולות לגרום לקריסה של מאגר החיבורים של TCP.

מה לעשות?

כדי לבדוק אם האשכולות שלכם מושפעים:

האשכול מושפע אם גרסאות התיקונים שלו קודמות לגרסאות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.24 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). כדאי לשדרג לגרסה 1.25 ואילך.

השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.27.2-asm.1
  • 1.26.5-asm.1
  • 1.25.5-asm.9

ב-Cloud Service Mesh המנוהל לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2025-62409

GCP-2025-048

תאריך פרסום: 2 בספטמבר 2025

תיאור רמת סיכון הערות

שימוש לאחר שחרור במטמון DNS.

מה לעשות?

איך בודקים אם האשכולות הושפעו

רק אשכולות שמריצים את Cloud Service Mesh בתוך האשכול בגרסה 1.26 מושפעים.

אם אתם מפעילים Cloud Service Mesh מנוהל, לא תושפעו ולא תצטרכו לבצע שום פעולה.

השבתה זמנית של אותות אכיפה

אם אתם מפעילים את Cloud Service Mesh 1.26 בתוך האשכול, שדרגו את כל האשכולות המושפעים לגרסה 1.26.4-asm.1.

גבוהה

CVE-2025-54588

GCP-2024-065

תיאור רמת סיכון הערות

‫Happy Eyeballs: אימות ש-additional_address הן כתובות IP במקום קריסה בזמן המיון.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם גרסאות התיקון מוקדמות יותר מ:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.23.4-asm.1
  • 1.22.7-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף חיי התמיכה וכבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.21 ואילך.

ב-Cloud Service Mesh המנוהל לא נדרשת פעולה. כל הגרסאות ימשיכו להיות נתמכות, והמערכת שלכם תתעדכן אוטומטית בשבועות הקרובים.

בינוני

CVE-2024-53269
תיאור רמת סיכון הערות

‫HTTP/1: קריסות של עומס יתר בשליחה כשהבקשה מאופסת מראש.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם גרסאות התיקון מוקדמות יותר מ:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17
  • 1.20.8-asm.14
  • 1.19.10-asm.24
השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.23.4-asm.1
  • 1.22.7-asm.1
  • 1.21.5-asm.17

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). כדאי לשדרג לגרסה 1.21 ואילך.

ב-Cloud Service Mesh מנוהל, לא נדרשת פעולה. כל הגרסאות עדיין נתמכות, והמערכת שלך תתעדכן באופן אוטומטי בשבועות הקרובים.

גבוהה

CVE-2024-53270
תיאור רמת סיכון הערות

‫HTTP/1.1: כמה בעיות עם envoy.reloadable_features.http1_balsa_delay_reset.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם גרסאות התיקון מוקדמות יותר מ:

  • 1.23.4-asm.1
השבתה זמנית של אותות אכיפה

ב-Cloud Service Mesh בתוך האשכול, משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.23.4-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף מחזור החיים שלה והיא כבר לא נתמכת. אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.20 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). כדאי לשדרג לגרסה 1.21 ואילך.

ב-Cloud Service Mesh המנוהל לא נדרשת פעולה. כל הגרסאות עדיין נתמכות, והמערכת תתעדכן באופן אוטומטי במהלך השבועות הקרובים.

גבוהה

CVE-2024-53271

GCP-2024-052

תאריך פרסום: 19 בספטמבר 2024

תיאור רמת סיכון הערות

קריסה של oghttp2 ב-OnBeginHeadersForStream

מה לעשות?

איך בודקים אם האשכולות מושפעים

רק אשכולות שמופעלת בהם גרסה Cloud Service Mesh v1.23 מושפעים

השבתה זמנית של אותות אכיפה

התיקון לבעיה הזו כלול ב-Cloud Service Mesh 1.23.2-asm.2. לא נדרשת שום פעולה.

גבוהה

CVE-2024-45807
תיאור רמת סיכון הערות

הזרקת יומן זדונית דרך יומני גישה

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45808
תיאור רמת סיכון הערות

אפשרות לשנות כותרות `x-envoy` ממקורות חיצוניים

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45806
תיאור רמת סיכון הערות

קריסת מסנן JWT בניקוי מטמון המסלולים עם מפתחות JWK מרוחקים

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45809
תיאור רמת סיכון הערות

קריסה של Envoy ב-LocalReply בלקוח HTTP אסינכרוני

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.20.8-asm.7
  • 1.21.5-asm.7
  • 1.22.5-asm.1
  • 1.23.2-asm.2

בינוני

CVE-2024-45810

GCP-2024-032

תאריך פרסום: 24 ביוני 2024

תיאור רמת סיכון הערות

‫Envoy מקבל בטעות תגובת HTTP 200 לכניסה למצב שדרוג.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • גרסה v1.19.10-asm.6
  • גרסה v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ומעלה.

בינוני

CVE-2024-23326
תיאור רמת סיכון הערות

קריסה ב-EnvoyQuicServerStream::OnInitialHeadersComplete().

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקון:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • גרסה v1.19.10-asm.6
  • גרסה v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ומעלה.

בינוני

CVE-2024-32974
תיאור רמת סיכון הערות

קריסה ב-QuicheDataReader::PeekVarInt62Length().

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • גרסה v1.19.10-asm.6
  • גרסה v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ומעלה.

בינוני

CVE-2024-32975
תיאור רמת סיכון הערות

לולאה אינסופית במהלך פתיחת הדחיסה של נתוני Brotli עם קלט נוסף.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • גרסה v1.19.10-asm.6
  • גרסה v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג ל-Cloud Service Mesh בגרסה 1.18 ואילך.

גבוהה

CVE-2024-32976
תיאור רמת סיכון הערות

קריסה (שימוש אחרי שחרור) ב-EnvoyQuicServerStream.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • גרסה v1.19.10-asm.6
  • גרסה v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ומעלה.

בינוני

CVE-2024-34362
תיאור רמת סיכון הערות

קריסה עקב חריגת JSON של nlohmann שלא נתפסה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • גרסה v1.19.10-asm.6
  • גרסה v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג ל-Cloud Service Mesh בגרסה 1.18 ואילך.

גבוהה

CVE-2024-34363
תיאור רמת סיכון הערות

וקטור OOM של Envoy מלקוח HTTP אסינכרוני עם מאגר תגובות לא מוגבל לתגובת מראה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אחרת, צריך לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • v1.21.3-asm.3
  • v1.20.7-asm.2
  • גרסה v1.19.10-asm.6
  • גרסה v1.18.7-asm.26
  • אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.18 ומעלה.

בינוני

CVE-2024-34364

GCP-2024-023

תאריך פרסום: 24 באפריל 2024

תיאור רמת סיכון הערות

‫HTTP/2: הזיכרון נגמר בגלל הצפה של מסגרות CONTINUATION.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. צריך לשדרג לגרסה 1.18 ואילך של Cloud Service Mesh.

גבוהה

CVE-2024-27919
תיאור רמת סיכון הערות

‫HTTP/2: ניצול יתר של המעבד בגלל הצפה של מסגרת CONTINUATION

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה וכבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.18 של Cloud Service Mesh או לגרסה חדשה יותר.

בינוני

CVE-2024-30255
תיאור רמת סיכון הערות

סיום חריג כשמשתמשים ב-auto_sni עם כותרת ":authority" באורך של יותר מ-255 תווים.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh 1.18 ומעלה.

גבוהה

CVE-2024-32475
תיאור רמת סיכון הערות

אפשר להשתמש בפריימים של HTTP/2 CONTINUATION למתקפות DoS.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.6-asm.0
  • 1.19.10-asm.0
  • 1.18.7-asm.21

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. כדאי לשדרג לגרסה v1.18 ואילך.

לא צוין

CVE-2023-45288

GCP-2024-007

תאריך פרסום: 8 בפברואר 2024

תיאור רמת סיכון הערות

מערכת Envoy קורסת כשהיא במצב המתנה ומתרחש פסק זמן של בקשות לניסיון חוזר בתוך מרווח ההשהיה לפני ניסיון חוזר.

מה לעשות?

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. למרות שהתיקונים האלה של CVE הועברו לגרסה 1.17, כדאי לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23322
תיאור רמת סיכון הערות

שימוש מוגזם במעבד (CPU) כשמגדירים את ההתאמה לתבנית URI באמצעות ביטוי רגולרי.

מה לעשות?

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. למרות שהתיקונים האלה של CVE הועברו לגרסה 1.17, כדאי לשדרג לגרסה 1.18 ואילך.

בינוני

CVE-2024-23323
תיאור רמת סיכון הערות

אפשר לעקוף את ההרשאה החיצונית כשמסנן פרוטוקול ה-Proxy מגדיר מטא-נתונים לא חוקיים ב-UTF-8.

מה לעשות?

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. למרות שהתיקונים האלה של CVE הועברו לגרסה 1.17, כדאי לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23324
תיאור רמת סיכון הערות

מערכת Envoy קורסת כשמשתמשים בסוג כתובת שלא נתמך על ידי מערכת ההפעלה.

מה לעשות?

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. למרות שהתיקונים האלה של CVE הועברו לגרסה 1.17, כדאי לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23325
תיאור רמת סיכון הערות

קריסה בפרוטוקול של שרת ה-proxy כשסוג הפקודה הוא LOCAL.

מה לעשות?

אם אתם מריצים את Cloud Service Mesh מנוהל, אתם לא צריכים לעשות כלום. המערכת שלכם תתעדכן אוטומטית בימים הקרובים.

אם אתם מריצים את Cloud Service Mesh בתוך האשכול, אתם צריכים לשדרג את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.20.3-asm.4
  • 1.19.7-asm.3
  • 1.18.7-asm.4
  • 1.17.8-asm.20

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.17 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. למרות שהתיקונים האלה של CVE הועברו לגרסה 1.17, כדאי לשדרג לגרסה 1.18 ואילך.

גבוהה

CVE-2024-23327

GCP-2023-031

תאריך פרסום: 10 באוקטובר 2023

תיאור רמת סיכון הערות

התקפת מניעת שירות יכולה להשפיע על מישור הנתונים כשמשתמשים בפרוטוקול HTTP/2.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh מוקדמות יותר מ-1.18.4,‏ 1.17.7 או 1.16.7.

השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.18.4-asm.0
  • 1.17.7-asm.0
  • 1.16.7-asm.10

אם אתם מריצים את Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי תוך כמה ימים.

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.15 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף מחזור החיים שלה והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.16 ואילך.

גבוהה

CVE-2023-44487

GCP-2023-021

Updated:2023-07-26

תאריך פרסום: 25 ביולי 2022
תיאור רמת סיכון הערות

בתרחישים ספציפיים, לקוח זדוני יכול ליצור פרטי כניסה עם תוקף קבוע. לדוגמה, השילוב של המארח וזמן התפוגה במטען הייעודי (payload) של HMAC יכול להיות תמיד תקף בבדיקת ה-HMAC של מסנן OAuth2.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג ל-ASM בגרסה 1.15 ואילך.

גבוהה

CVE-2023-35941
תיאור רמת סיכון הערות

יומני הגישה ל-gRPC שמשתמשים בהיקף הגלובלי של ה-listener עלולים לגרום לקריסה מסוג use-after-free כשה-listener מתרוקן. הפעולה הזו יכולה להיגרם מעדכון של LDS עם אותה הגדרה של יומן גישה ל-gRPC.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-ASM 1.15 ומעלה.

בינוני

CVE-2023-35942
תיאור רמת סיכון הערות

אם הכותרת origin מוגדרת להסרה באמצעות request_headers_to_remove: origin, מסנן ה-CORS יגרום לשגיאת פילוח (segmentation fault) ולקריסה של Envoy.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-ASM 1.15 ומעלה.

בינוני

CVE-2023-35943
תיאור רמת סיכון הערות

תוקפים יכולים לשלוח בקשות עם Scheme משולב כדי לעקוף חלק מבדיקות ה-Scheme ב-Envoy. לדוגמה, אם בקשה עם סכימה משולבת htTp נשלחת למסנן OAuth2, היא נכשלת בבדיקות ההתאמה המדויקת ל-http, ונשלחת הודעה לנקודת הקצה המרוחקת שהסכימה היא https. כתוצאה מכך יכול להיות שתהיה עקיפה של בדיקות פרוטוקול OAuth2 שספציפיות לבקשות HTTP.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.5-asm.0
  • 1.16.7-asm.0
  • 1.15.7-asm.23

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג ל-ASM בגרסה 1.15 ואילך.

גבוהה

CVE-2023-35944

GCP-2023-019

תיאור רמת סיכון הערות

תגובה שנוצרה במיוחד משירות upstream לא מהימן עלולה לגרום להתקפת מניעת שירות (DoS) בגלל מיצוי הזיכרון. הבעיה הזו נגרמת בגלל רכיב ה-codec של Envoy HTTP/2, שעלול להדליף מיפוי של כותרות ומבני ניהול ספרים עם קבלת RST_STREAM מיד אחרי מסגרות GOAWAY משרת במעלה הזרם.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.17.4
  • 1.16.6
  • 1.15.7
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.17.4-asm.2
  • 1.16.6-asm.3
  • 1.15.7-asm.21

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת שלכם תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג ל-ASM בגרסה 1.15 ואילך.

גבוהה

CVE-2023-35945

GCP-2023-002

תיאור רמת סיכון הערות

אם Envoy פועל עם מסנן OAuth מופעל וחשוף, גורם זדוני יכול ליצור בקשה שתגרום להתקפת מניעת שירות (DoS) על ידי קריסת Envoy.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.14 ומעלה של Cloud Service Mesh.

בינוני

CVE-2023-27496
תיאור רמת סיכון הערות

התוקף יכול להשתמש בנקודת החולשה הזו כדי לעקוף את בדיקות האימות כשמשתמשים ב-ext_authz.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh} 1.14 או לגרסה מתקדמת יותר.

בינוני

CVE-2023-27488
תיאור רמת סיכון הערות

הגדרת Envoy חייבת לכלול גם אפשרות להוסיף כותרות לבקשות שנוצרו באמצעות מקורות קלט מהבקשה, כלומר ה-SAN של אישור הרשת השכנה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.14 ומעלה של Cloud Service Mesh.

גבוהה

CVE-2023-27493
תיאור רמת סיכון הערות

תוקפים יכולים לשלוח גופי בקשות גדולים למסלולים שבהם מסנן Lua מופעל ולגרום לקריסות.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.14 ומעלה של Cloud Service Mesh.

בינוני

CVE-2023-27492
תיאור רמת סיכון הערות

תוקפים יכולים לשלוח בקשות HTTP/2 או HTTP/3 שנוצרו במיוחד כדי להפעיל שגיאות בניתוח בשירות במעלה הזרם של HTTP/1.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.14 ומעלה של Cloud Service Mesh.

בינוני

CVE-2023-27491
תיאור רמת סיכון הערות

הכותרת x-envoy-original-path צריכה להיות כותרת פנימית, אבל Envoy לא מסיר את הכותרת הזאת מהבקשה בתחילת העיבוד שלה כשהיא נשלחת מלקוח לא מהימן.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכולות שלכם מושפעים אם הם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות:

  • 1.16.4
  • 1.15.7
  • 1.14.6
השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.16.4-asm.2
  • 1.15.7-asm.1
  • 1.14.6-asm.11

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.13 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.14 ומעלה של Cloud Service Mesh.

גבוהה

CVE-2023-27487

GCP-2022-020

פורסם: 5 באוקטובר 2022
עודכן: 12 באוקטובר 2022
עדכון מ-12 באוקטובר 2022: עודכן הקישור לתיאור של CVE ונוסף מידע על עדכונים אוטומטיים ל-Cloud Service Mesh מנוהל.
תיאור רמת סיכון הערות

רמת הבקרה ב-Istio‏ istiod חשופה לשגיאה בעיבוד בקשות. כתוצאה מכך, תוקף זדוני עלול לשלוח הודעה שנוצרה במיוחד כדי לגרום לקריסה של רמת הבקרה, בזמן שה-validating webhook של האשכול חשוף באופן ציבורי. מילוי הבקשה של נקודת הקצה (endpoint) הזו מתבצע ביציאה 15017 ב-TLS, אבל לא מחייב אימות כלשהו מצד התוקף.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות ל-1.14.4,‏ 1.13.8 או 1.12.9.

השבתה זמנית של אותות אכיפה

אם אתם מריצים את Cloud Service Mesh כרשת נפרדת, שדרגו את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.14, שדרגו לגרסה v1.14.4-asm.2
  • אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.13, שדרגו לגרסה v1.13.8-asm.4
  • אם אתם משתמשים ב-Anthos Service Mesh בגרסה 1.12, שדרגו לגרסה v1.12.9-asm.3

אם אתם מפעילים Cloud Service Mesh מנוהל, המערכת תתעדכן באופן אוטומטי בימים הקרובים.

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.11 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג לגרסה 1.12 של Cloud Service Mesh או לגרסה חדשה יותר.

גבוהה

CVE-2022-39278

GCP-2022-015

תאריך פרסום: 9 ביוני 2022
תאריך עדכון: 10 ביוני 2022
עדכון מ-10 ביוני 2022: עודכנו גרסאות התיקון של Cloud Service Mesh.
תיאור רמת סיכון הערות

כשהתוספים Metadata Exchange ו-Stats מופעלים, מישור הנתונים של Istio עלול לגשת לזיכרון באופן לא בטוח.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות מ-1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

השבתה זמנית של אותות אכיפה ב-Cloud Service Mesh

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף תקופת החיים שלה ולא נתמכת יותר. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). צריך לשדרג ל-Cloud Service Mesh בגרסה 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או במאמר שדרוג מגרסאות קודמות (on-premises).

גבוהה

CVE-2022-31045
תיאור רמת סיכון הערות

במקרים שבהם תוקף זדוני מעביר מטען ייעודי (payload) קטן מאוד (התקפת פצצת ZIP), הנתונים עלולים לגרום לחריגה מהמגבלות של האחסון הזמני.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן דחיסה.

השבתה זמנית של אותות אכיפה ב-Cloud Service Mesh

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh גרסה 1.10 או בגרסאות קודמות, הגרסה שלכם הגיעה לסוף תקופת החיים שלה ולא נתמכת יותר. תיקוני ה-CVE האלה לא הועברו לאחור. צריך לשדרג ל-Cloud Service Mesh בגרסה 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או במאמר שדרוג מגרסאות קודמות (on-premises).

השבתה זמנית של אותות אכיפה ב-Envoy

משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

גבוהה

CVE-2022-29225
תיאור רמת סיכון הערות

שגיאת הפניית מצביע אפס (null pointer dereference) עלולה להתרחש ב-GrpcHealthCheckerImpl.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות מ-1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

השבתה זמנית של אותות אכיפה ב-Cloud Service Mesh

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.10 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או במאמר שדרוג מגרסאות קודמות (במקום).

השבתה זמנית של אותות אכיפה ב-Envoy

משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

בינוני

CVE-2021-29224
תיאור רמת סיכון הערות

המסנן של OAuth מאפשר מעקף פשוט.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכם השפעה אם אתם משתמשים במסנן OAuth.

השבתה זמנית של אותות אכיפה ב-Cloud Service Mesh

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.10 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או במאמר שדרוג מגרסאות קודמות (במקום).

השבתה זמנית של אותות אכיפה ב-Envoy

משתמשי Envoy שמנהלים מערכות Envoy משלהם ומשתמשים במסנן OAuth צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

קריטית

CVE-2021-29226
תיאור רמת סיכון הערות

המסנן של OAuth עלול לפגום בזיכרון (בגרסאות קודמות) או לגרום להפעלה של ASSERT()‎ (בגרסאות מאוחרות יותר).

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות 1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכם השפעה אם אתם משתמשים במסנן OAuth.

השבתה זמנית של אותות אכיפה ב-Cloud Service Mesh

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.10 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. תיקוני ה-CVE האלה לא הועברו לאחור. צריך לשדרג ל-Cloud Service Mesh בגרסה 1.11 ואילך.

השבתה זמנית של אותות אכיפה ב-Envoy

משתמשי Envoy שמנהלים מערכות Envoy משלהם ומשתמשים גם במסנן OAuth צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

גבוהה

CVE-2022-29228
תיאור רמת סיכון הערות

שגיאה של קריסת הניתובים הפנימיים מתרחשת בבקשות שיש בהן גוף (body) או סוגרים (trailers).

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שמוקדמות מ-1.13.4-asm.4,‏ 1.12.7-asm.2 או 1.11.8-asm.4.

השבתה זמנית של אותות אכיפה ב-Cloud Service Mesh

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.13.4-asm.4
  • 1.12.7-asm.2
  • 1.11.8-asm.4

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.10 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh 1.11 ואילך. מידע נוסף זמין במאמר שדרוג מגרסאות קודמות (GKE) או במאמר שדרוג מגרסאות קודמות (on-premises).

השבתה זמנית של אותות אכיפה ב-Envoy

משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לוודא שהם משתמשים בגרסה 1.22.1 של Envoy. משתמשי Envoy שמנהלים מערכות Envoy משלהם צריכים לפתח את הקבצים הבינאריים ממקור כמו GitHub ולפרוס אותם.

משתמשים שמריצים מערכות Envoy מנוהלות לא צריכים לעשות שום דבר (Google Cloud תספק את הקבצים הבינאריים של Envoy), ומוצרי Cloud שבמערכות שלהם יעברו לגרסה 1.22.1.

גבוהה

CVE-2022-29227

GCP-2022-010

תאריך פרסום: 10 במרץ 2022
תאריך עדכון: 16 במרץ 2022
תיאור רמת סיכון הערות

מישור הבקרה ב-Istio,‏ istiod, חשוף לשגיאה בעיבוד בקשות. כתוצאה מכך, תוקף זדוני עלול לשלוח הודעה שנוצרה במיוחד כדי לגרום לקריסה של מישור הבקרה, בזמן שה-validating webhook של האשכול חשוף באופן ציבורי. מילוי הבקשה של נקודת הקצה (endpoint) הזו מתבצע ביציאה 15017 ב-TLS, אבל לא מחייב אימות כלשהו מצד התוקף.

מה לעשות?

איך בודקים אם האשכולות מושפעים

כל הגרסאות של Cloud Service Mesh מושפעות מה-CVE הזה.

הערה: אם אתם משתמשים במישור בקרה מנוהל, נקודת החולשה הזו כבר תוקנה ולא הושפעתם ממנה.

השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.12.5-asm.0
  • 1.11.8-asm.0
  • 1.10.6-asm.2

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה ולא נתמכת יותר. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

גבוהה

CVE-2022-24726

GCP-2022-007

תאריך פרסום: 22 בפברואר 2022
תיאור רמת סיכון הערות

‫Istiod קורס בזמן קבלת בקשות עם כותרת authorization שנוצרה במיוחד.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.

הערה: אם אתם משתמשים ב-Managed Control Plane, נקודת החולשה הזו כבר תוקנה ולא תשפיע עליכם.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר ואין לה יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

גבוהה

CVE-2022-23635
תיאור רמת סיכון הערות

ביטול האזכור הפוטנציאלי של מצביע null במהלך השימוש בהתאמת safe_regex של מסנן JWT.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים בביטוי רגולרי של מסנן JWT.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

בינוני

CVE-2021-43824
תיאור רמת סיכון הערות

שגיאת Use-after-free שנוצרת בזמן שמסנני התגובה מגדילים את נתוני התגובה, ומספר הנתונים הגדול חורג מהמגבלות של מאגר הנתונים הזמני ב-downstream.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן דקומפרסיה.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

בינוני

CVE-2021-43825
תיאור רמת סיכון הערות

שגיאת Use-after-free במהלך מנהור של TCP דרך HTTP, ‏ אם הלקוח ב-downstream מתנתק במהלך ביסוס החיבור ב-upstream.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכם בעיה אם אתם משתמשים במסנן מנהור.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה קודמת, הגרסה שלכם הגיעה לסוף חיי המוצר והיא כבר לא נתמכת. תיקוני ה-CVE האלה לא הועברו לאחור. מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

בינוני

CVE-2021-43826
תיאור רמת סיכון הערות

טיפול שגוי בהגדרות שמאפשר שימוש מחדש בסשן של mTLS בלי אימות מחדש אחרי שהגדרות האימות השתנו.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • כל השירותים של Cloud Service Mesh שמשתמשים ב-mTLS מושפעים מה-CVE הזה.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה ולא תקבל יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

גבוהה

CVE-2022-21654
תיאור רמת סיכון הערות

טיפול שגוי בביצוע של הפניות פנימיות אוטומטיות בנתיבים עם רשומה של תגובה ישירה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות הבאות: ‎1.12.4-asm.1, ‎1.11.7-asm.1, או ‎1.10.6-asm.1.
  • למרות ש-Cloud Service Mesh לא תומך במסנני Envoy, יכול להיות שתהיה לכך השפעה אם אתם משתמשים במסנן תגובה ישירה.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.12.4-asm.1
  • 1.11.7-asm.1
  • 1.10.6-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה ולא תקבל יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

גבוהה

CVE-2022-21655
תיאור רמת סיכון הערות

מיצוי סטאק כאשר אשכול נמחק באמצעות Cluster Discovery Service.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • היא משתמשת בגרסאות תיקון של Cloud Service Mesh שקודמות לגרסאות ‎1.12.4-asm.1 או ‎1.11.7-asm.1.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.12.4-asm.1
  • 1.11.7-asm.1

אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.9 או בגרסה מוקדמת יותר, הגרסה שלכם הגיעה לסוף תקופת החיים שלה ולא תקבל יותר תמיכה. התיקונים האלה של CVE לא הוסבו בגרסאות מוקדמות יותר (backporting). מומלץ לשדרג ל-Cloud Service Mesh 1.10 או לגרסה מתקדמת יותר.

בינוני

CVE-2022-23606

GCP-2021-016

תאריך פרסום: 24 באוגוסט 2021
תיאור רמת סיכון הערות

Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה בקשת HTTP עם מקטע (קטע בסוף URI שמתחיל בתו #) בנתיב ה-URI עלולה לעקוף את מדיניות ההרשאה מבוססת-הנתיב URI של Istio.

לדוגמה, מדיניות הרשאה של Istio דוחה בקשות שנשלחות לנתיב ה-URI‏ /user/profile. בגרסאות הפגיעות, בקשה עם נתיב ה-URI‏ /user/profile#section1 עוקפת את מדיניות הדחייה ומופנית אל ה-backend (עם נתיב ה-URI המנורמל /user/profile%23section1), מה שמוביל לאירוע אבטחה.

התיקון הזה תלוי בתיקון ב-Envoy, שמשויך ל-CVE-2021-32779.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות ל-1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • היא משתמשת בכללי מדיניות הרשאה עם DENY actions ו-operation.paths, או עם ALLOW actions ו-operation.notPaths.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

בגרסאות החדשות, החלק של המקטע ב-URI של הבקשה מוסר לפני ההרשאה והניתוב. כך נמנעת עקיפה של מדיניות הרשאות שמבוססת על ה-URI בלי החלק של המקטע, על ידי בקשה עם מקטע ב-URI שלה.

ביטול ההסכמה

אם תבטלו את ההסכמה להתנהגות החדשה הזו, קטע ה-fragment ב-URI יישמר. כדי לבטל את ההסכמה, אתם יכולים להגדיר את ההתקנה באופן הבא: 

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: opt-out-fragment-cve-fix
  namespace: istio-system
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        HTTP_STRIP_FRAGMENT_FROM_PATH_UNSAFE_IF_DISABLED: "false"

הערה: אם תבטלו את ההסכמה לפעולה הזו, האשכול שלכם יהיה חשוף לפרצת האבטחה הזו.

גבוהה

CVE-2021-39156
תיאור רמת סיכון הערות

Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה בקשת HTTP עלולה לעקוף את מדיניות האימות של Istio כשמשתמשים בכללים שמבוססים על hosts או על notHosts.

בגרסאות הפגיעות, מדיניות ההרשאה של Istio משווה את כותרות ה-HTTP Host או :authority באופן תלוי-אותיות רישיות, וזה לא עולה בקנה אחד עם RFC 4343. לדוגמה, יכול להיות שלמשתמש יש מדיניות הרשאות שדוחה בקשות עם מארח secret.com, אבל התוקף יכול לעקוף את זה על ידי שליחת הבקשה בשם המארח Secret.com. תהליך הניתוב מנתב את התנועה לקצה העורפי של secret.com, וזה גורם לאירוע אבטחה.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות ל-1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • היא משתמשת בכללי מדיניות הרשאה עם DENY actions שמבוססים על operation.hosts או ALLOW actions שמבוססים על operation.notHosts.
הפחתת הסיכון

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

הפתרון הזה מבטיח שהכותרות של HTTP Host או :authority ייבדקו מול המפרטים של hosts או notHosts במדיניות ההרשאות באופן לא תלוי רישיות.

גבוהה

CVE-2021-39155
תיאור רמת סיכון הערות

Envoy כולל נקודת חולשה שאפשר לנצל מרחוק, שבה בקשת HTTP עם כותרות עם ערכים מרובים עלולה לבצע בדיקה חלקית של מדיניות הרשאה כשנעשה שימוש בתוסף ext_authz. כשכותרת של בקשה מכילה כמה ערכים, שרת ההרשאה החיצוני יראה רק את הערך האחרון של הכותרת.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות ל-1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • הוא משתמש בתכונה הרשאה חיצונית.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

גבוהה

CVE-2021-32777
תיאור רמת סיכון הערות

ב-Envoy יש נקודת חולשה שאפשר לנצל מרחוק, שמשפיעה על התוספים או התוספים הקנייניים decompressor, ‏ json-transcoder ו-grpc-web של Envoy שמשנים ומגדילים את גוף הבקשה או התשובה. שינוי והגדלת הגוף בתוסף של Envoy מעבר לשטח האחסון הזמני הפנימי עלולים לגרום ל-Envoy לגשת לזיכרון שההקצאה שלו בוטלה ולהיסגר בצורה חריגה.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול שלכם מושפע אם שני התנאים הבאים מתקיימים:

  • הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות ל-1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.
  • הוא משתמש ב-EnvoyFilters.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.10.4-asm.6
  • 1.9.8-asm.1
  • 1.8.6-asm.8
  • 1.7.8-asm.10

גבוהה

CVE-2021-32781
תיאור רמת סיכון הערות

‫Envoy כולל נקודת חולשה שאפשר לנצל מרחוק, שבה לקוח Envoy שפותח ואז מאתחל מספר גדול של בקשות HTTP/2 עלול לגרום לשימוש חריג במעבד (CPU).

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם הוא משתמש בגרסאות תיקון של Cloud Service Mesh שקודמות ל-1.7.8-asm.10,‏ 1.8.6-asm.8,‏ 1.9.8-asm.1 ו-1.10.4-asm.6.

השבתה זמנית של אותות אכיפה

צריך לשדרג את האשכול לאחת מהגרסאות הבאות עם תיקוני אבטחה:

  • 1.10.4-asm.6
  • 1.9.8-asm.1

הערה: אם אתם משתמשים ב-Cloud Service Mesh בגרסה 1.8 או בגרסה מוקדמת יותר, עליכם לשדרג לגרסאות העדכניות של תיקוני האבטחה של Cloud Service Mesh 1.9 ואילך כדי לצמצם את הסיכון לניצול לרעה של הפגיעות הזו.

גבוהה

CVE-2021-32778
תיאור רמת סיכון הערות

ב-Envoy יש נקודת חולשה שאפשר לנצל מרחוק, שבה שירות upstream לא מהימן עלול לגרום ל-Envoy להיסגר בצורה חריגה על ידי שליחת המסגרת GOAWAY ואחריה המסגרת SETTINGS כשהפרמטר SETTINGS_MAX_CONCURRENT_STREAMS מוגדר ל-0.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע אם משתמשים ב-Cloud Service Mesh בגרסה 1.10 עם גרסת תיקון שקודמת ל-‎1.10.4-asm.6.

השבתה זמנית של אותות אכיפה

משדרגים את האשכול לגרסת התיקון הבאה:

  • 1.10.4-asm.6

גבוהה

CVE-2021-32780

GCP-2021-012

תאריך פרסום: 24 ביוני 2021
תיאור רמת סיכון הערות

‫Istio secure Gateway או workloads באמצעות DestinationRule יכולים לטעון מפתחות פרטיים ואישורים של TLS מסודות של Kubernetes דרך ההגדרה של credentialName. מגרסה 1.8 של Istio ואילך, הסודות נקראים מ-istiod ומועברים לשערים ולעומסי העבודה באמצעות XDS.

בדרך כלל, פריסה של שער או של עומס עבודה יכולה לגשת רק לאישורי TLS ולמפתחות פרטיים שמאוחסנים בסוד במרחב השמות שלה. עם זאת, באג ב-istiod מאפשר ללקוח שמורשה לגשת ל-Istio XDS API לאחזר כל אישור TLS ומפתחות פרטיים ששמורים במטמון ב-istiod. נקודת החולשה הזו משפיעה רק על הגרסאות המשניות 1.8 ו-1.9 של Cloud Service Mesh.

מה לעשות?

איך בודקים אם האשכולות מושפעים

האשכול שלכם מושפע אם כל התנאים הבאים מתקיימים:

  • הגרסה שבה נעשה שימוש היא 1.9.x לפני 1.9.6-asm.1 או 1.8.x לפני 1.8.6-asm.4.
  • הוא הגדיר את Gateways או את DestinationRules עם השדה credentialName.
  • לא מציינים את הדגל istiod PILOT_ENABLE_XDS_CACHE=false.
השבתה זמנית של אותות אכיפה

משדרגים את האשכול לאחת מהגרסאות המתוקנות הבאות:

  • 1.9.6-asm.1
  • 1.8.6-asm.4

אם אי אפשר לבצע שדרוג, אפשר לצמצם את הפגיעות הזו על ידי השבתת istiod שמירה במטמון. כדי להשבית את השמירה במטמון, צריך להגדיר את משתנה הסביבה istiod לערך PILOT_ENABLE_XDS_CACHE=false. הביצועים של המערכת ושל istiod עלולים להיפגע כי הפעולה הזו משביתה את השמירה במטמון של XDS.

גבוהה

CVE-2021-34824

GCP-2021-008

תאריך פרסום: 17 במאי 2021
תיאור רמת סיכון הערות

‫Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה לקוח חיצוני יכול לגשת לשירותים בלתי צפויים באשכול תוך עקיפה של בדיקות ההרשאה, כאשר יש שער שמוגדר באמצעות הגדרת הניתוב AUTO_PASSTHROUGH.

מה לעשות?

איך בודקים אם האשכולות מושפעים

הפגיעות הזו משפיעה רק על השימוש בסוג השער AUTO_PASSTHROUGH, שבדרך כלל משתמשים בו רק בפריסות של כמה רשתות וכמה אשכולות.

מריצים את הפקודה הבאה כדי לזהות את מצב ה-TLS של כל שער בקלאסטר: 

kubectl get gateways.networking.istio.io -A -o \
  "custom-columns=NAMESPACE:.metadata.namespace, \
  NAME:.metadata.name,TLS_MODE:.spec.servers[*].tls.mode"

אם הפלט מציג שערים מסוג AUTO_PASSTHROUGH, יכול להיות שתהיה לכך השפעה.

השבתה זמנית של אותות אכיפה

מעדכנים את האשכולות לגרסאות העדכניות של Cloud Service Mesh:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* הערה: השקת Managed Control Plane של Cloud Service Mesh (זמין רק בגרסאות 1.9.x) תסתיים בימים הקרובים.

גבוהה

CVE-2021-31921

GCP-2021-007

תאריך פרסום: 17 במאי 2021
תיאור רמת סיכון הערות

Istio כולל נקודת חולשה שאפשר לנצל מרחוק, שבה נתיב של בקשת HTTP שמכיל כמה קווים נטויים או תווים של קו נטוי עם תווי בריחה (escape)‏ (%2F או %5C) עלול לעקוף את מדיניות האימות של Istio כשמשתמשים בכללי אימות מבוססי-נתיב.

בתרחיש שבו מנהל אשכול של Istio מגדיר מדיניות הרשאה מסוג DENY כדי לדחות את הבקשה בנתיב "/admin", בקשה שנשלחת לנתיב כתובת ה-URL‏ "//admin" לא תידחה על ידי מדיניות ההרשאה.

לפי RFC 3986, מבחינה טכנית, הנתיב "//admin" עם כמה לוכסנים צריך להיות מטופל כנתיב שונה מ-"/admin". עם זאת, בחלק מהשירותים לקצה העורפי, נתיבי כתובות ה-URL עוברים נרמול על ידי מיזוג של כמה לוכסנים ללוכסן אחד. זה יכול לגרום לעקיפה של מדיניות ההרשאה ("//admin" לא תואם ל-"/admin"), והמשתמש יכול לגשת למשאב בנתיב "/admin" בקצה העורפי.

מה לעשות?

איך בודקים אם האשכולות הושפעו

האשכול מושפע מהפגיעוּת הזו אם יש לכם כללי מדיניות הרשאה שמשתמשים בתבניות "ALLOW action + notPaths field" או "DENY action + paths field". התבניות האלה פגיעות לעקיפות לא צפויות של המדיניות, ולכן מומלץ לשדרג בהקדם כדי לפתור את בעיית האבטחה.

הדוגמה הבאה היא של מדיניות פגיעה שמשתמשת בתבנית 'שדה נתיבים + פעולת דחייה': 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-path-admin
spec:
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/admin"]

דוגמה נוספת למדיניות פגיעה שמשתמשת בתבנית "פעולת ALLOW + שדה notPaths": 

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-path-not-admin
spec:
  action: ALLOW
  rules:
  - to:
    - operation:
        notPaths: ["/admin"]

האשכול שלכם לא מושפע מנקודת החולשה הזו אם:

  • אין לכם כללי מדיניות הרשאה.
  • במדיניות ההרשאות לא מוגדרים השדות paths או notPaths.
  • מדיניות ההרשאות שלך משתמשת בתבניות "ALLOW action + paths field" או "DENY action + notPaths field". התבניות האלה יכולות לגרום רק לדחייה בלתי צפויה במקום לעקיפת המדיניות.

    • השדרוג הוא אופציונלי במקרים האלה.

השבתה זמנית של אותות אכיפה

מעדכנים את האשכולות לגרסאות הנתמכות האחרונות של Cloud Service Mesh*. בגרסאות האלה אפשר להגדיר את שרתי ה-proxy של Envoy במערכת עם עוד אפשרויות נורמליזציה:

  • 1.9.5-asm.2
  • 1.8.6-asm.3
  • 1.7.8-asm.8

* הערה: השקת Managed Control Plane של Cloud Service Mesh (זמין רק בגרסאות 1.9.x) תסתיים בימים הקרובים.

כדי להגדיר את מדיניות ההרשאות, פועלים לפי השיטות המומלצות לאבטחה ב-Istio.

גבוהה

CVE-2021-31920

GCP-2021-004

תאריך פרסום: 6 במאי 2021
תיאור רמת סיכון הערות

בפרויקטים Envoy ו-Istio דיווחו לאחרונה על כמה נקודות חולשה חדשות באבטחה (CVE-2021-28682, ‏ CVE-2021-28683 ו-CVE-2021-29258), שעלולות לאפשר לתוקף לגרום לקריסת Envoy, וכתוצאה מכך חלקים מהאשכול עלולים להיות אופליין ולא נגישים.

השינוי הזה משפיע על שירותים כמו Cloud Service Mesh.

מה לעשות?

כדי לתקן את נקודות החולשה האלה, צריך לשדרג את חבילת Cloud Service Mesh לאחת מהגרסאות המתוקנות הבאות:

  • 1.9.3-asm.2
  • 1.8.5-asm.2
  • 1.7.8-asm.1
  • 1.6.14-asm.2

מידע נוסף זמין בנתוני הגרסה של Cloud Service Mesh.

גבוהה

CVE-2021-28682
CVE-2021-28683
CVE-2021-29258