ISTIO-SECURITY-2024-006

CVE

CVEs de Envoy

• CVE-2024-45807: (CVSS Score 7.5, High): oghttp2 puede causar un crash en OnBeginHeadersForStream.

• CVE-2024-45808: (CVSS Score 6.5, Moderate): La falta de validación del campo REQUESTED_SERVER_NAME en los logs de acceso permite inyectar contenido inesperado en los logs de acceso.

• CVE-2024-45806: (CVSS Score 6.5, Moderate): Posibilidad de que fuentes externas manipulen las cabeceras x-envoy.

• CVE-2024-45809: (CVSS Score 5.3, Moderate): Crash del filtro JWT al limpiar la caché de rutas con JWKs remotos.

• CVE-2024-45810: (CVSS Score 6.5, Moderate): Envoy causa un crash en LocalReply del cliente HTTP asíncrono.

¿Estoy afectado?

Estás afectado si utilizas Istio 1.22.0 a 1.22.4 o 1.23.0 a 1.23.1.

Si despliegas un Istio Ingress Gateway, eres potencialmente vulnerable a la manipulación de cabeceras x-envoy por fuentes externas. Envoy anteriormente consideraba todas las IPs privadas como internas por defecto y, como resultado, no saneaba las cabeceras de fuentes externas con IPs privadas. Envoy añadió soporte para el flag envoy.reloadable_features.explicit_internal_address_config para no confiar explícitamente en todas las IPs. Envoy e Istio actualmente deshabilitan el flag por defecto por compatibilidad con versiones anteriores. En futuras versiones de Envoy e Istio, el flag envoy.reloadable_features.explicit_internal_address_config se habilitará por defecto. El flag de Envoy puede configurarse a nivel de toda la mesh o por proxy mediante ProxyConfig en runtimeValues.

Ejemplo de configuración a nivel de mesh:

meshConfig:
  defaultConfig:
    runtimeValues:
      "envoy.reloadable_features.explicit_internal_address_config": "true"

Ejemplo de configuración por proxy:

annotations:
  proxy.istio.io/config: |
    runtimeValues:
      "envoy.reloadable_features.explicit_internal_address_config": "true"

Ten en cuenta que los campos de ProxyConfig no se configuran dinámicamente; los cambios requerirán un reinicio de los workloads para tener efecto.